Meta Muse y ChatGPT Agent: dos arquitecturas de seguridad para agentes autónomos
Meta ha lanzado Muse, un agente con acceso a correo y pagos, encerrado en una VM aislada con un proceso 'Sentinel' que filtra sus acciones. OpenAI opta por un modelo entrenado y supervisión. Análisis de sus dos enfoques.
Meta Muse: una VM aislada y un Sentinel vigilante
Meta ha lanzado Muse, un agente de IA personal que corre en su nube y que puede enviar correos, reservar viajes, negociar facturas y completar compras. Está disponible solo en Estados Unidos para mayores de 18 años, con una capa gratuita limitada y dos planes de pago: 20 y 100 dólares al mes. Para registrarse exige una tarjeta de crédito, incluso con la capa gratuita, un punto que TechCrunch considera fricción.
Lo que realmente importa no es que ejecute recados, sino la jaula que Meta ha construido alrededor. Cada usuario tiene una máquina virtual dedicada, con su propio navegador. Los datos no fiables procedentes de la web viven en un compartimento separado, y la parte del agente que puede tomar acciones reside en otro, sin acceso a tus credenciales. Si una página contiene un ataque de inyección de prompt, el texto queda atrapado en ese compartimento, sin nada valioso que robar.
Además, un proceso llamado Sentinel inspecciona cada acción saliente antes de que llegue a internet. Verifica que la acción cumple las políticas que aprobaste y, para pasos sensibles como enviar un correo o gastar dinero, escala a una aprobación humana. Meta afirma que esas aprobaciones no pasan por el modelo, de modo que un modelo secuestrado no puede forjar su propio permiso.
Para pagos, el proceso de compra sale por Stripe Link, que emite un número de tarjeta de un solo uso por transacción. El agente nunca maneja los datos reales de tu tarjeta. Meta dice que Muse es el primer agente cubierto por las protecciones de compra de Link, con devoluciones sin comisión.
También ofrece extras de privacidad poco habituales: puedes excluirte de que tus interacciones entrenen los modelos de Meta, pedir que olvide cosas concretas y revisar una auditoría de sus acciones. Una versión más fuerte llamada "Confidential VM" llegará más adelante, ejecutando toda la máquina en un entorno de ejecución fiable, con las claves de acceso en tu dispositivo, de modo que ni siquiera Meta pueda leer su contenido. Para ese diseño Meta colabora con Moxie Marlinspike, creador de Signal, y publicará los binarios con registro de transparencia. El programa de recompensas por errores ofrece hasta 300.000 dólares por una vulnerabilidad válida, incluyendo 130.000 por una inyección de prompt reproducible que comprometa a un solo usuario.
OpenAI apuesta por el modelo, no por el aislamiento
OpenAI ha acelerado con su agente. El original modo agente de ChatGPT se ha integrado en ChatGPT Work, lanzado el 9 de julio sobre GPT-5.6 con tecnología de Codex. Work corre en una VM persistente en los servidores de OpenAI, divide un objetivo en pasos y trabaja durante horas sobre tus aplicaciones y archivos conectados, generando documentos, hojas de cálculo y sitios completos.
Su modelo de seguridad es diferente en esencia. En lugar de muros arquitectónicos, OpenAI confía en un modelo entrenado y supervisado. Pide confirmación del usuario antes de acciones con consecuencias reales, activa un modo de observación cuando toca contextos sensibles (como correo o banca) que pausa la ejecución si apartas la mirada, y ofrece un modo de "toma de control" para que escribas tú las contraseñas. La terminal está restringida al principio a peticiones GET para descargar imágenes y conjuntos de datos públicos. La memoria se desactiva durante las tareas, de modo que un ataque de inyección exitoso no pueda leer el contexto a largo plazo. El system card de OpenAI publica los números, un detalle de transparencia que el autor respeta.
Dos filosofías de seguridad
Meta ha construido barreras arquitectónicas; OpenAI confía en el comportamiento aprendido y en la supervisión humana. Meta ofrece recompensas generosas para que terceros demuestren que su seguridad falla; OpenAI publica métricas en sus system cards. Ambas son cautiverios distintos para el mismo tipo de agente autonómo. La cuestión es cuál resiste mejor los ataques de inyección de prompt y el mal uso. Las primeras pruebas de campo lo dirán.
