Muse de Meta permite descargar su filesystem completo tras simples prompts

Dos investigadores, Peter James y Jonny L. Saunders, anunciaron que con un par de prompts simples consiguieron que Muse, el agente de IA personal de Meta, comprimiera y entregara todo su filesystem raíz, incluyendo archivos del sistema Ubuntu, plantillas de aplicaciones y documentación interna. Ambos describen el proceso como “extremadamente fácil” y afirman que Muse muestra "casi ninguna resistencia a inyección de prompts".

Meta respondió que no se trata de una brecha de seguridad, argumentando que los usuarios siempre pueden ver los archivos de su propia máquina virtual persistente. El portavoz Daniel Roberts señaló que exportar datos de la VM no otorga acceso privilegiado a la infraestructura de Meta ni a los datos de otros usuarios. Sin embargo, el contenido filtrado permite inspeccionar cómo el agente procesa peticiones, gestiona datos y se conecta a servicios externos como Gmail.

Esta revelación sigue a otro hallazgo de la semana, cuando el investigador Patrick Wardle descubrió un exploit que permitía secuestrar la cuenta de Muse y redirigir la transcripción de audio. Meta lanzó rápidamente un parche, pero la exposición del filesystem muestra que Muse almacena su memoria en archivos Markdown sin cifrar y realiza una revisión nocturna de conversaciones para generar guías de respuesta futuras.

Los archivos también contienen scripts Bash y Python que, según los investigadores, podrían haber sido generados con Claude, aunque no hay confirmación. Entre los hallazgos, referencias a una supuesta integración hardware llamada "Meta Home Link" que daría acceso a dispositivos domésticos, aunque Meta no ha anunciado tal función.

Nat Friedman, de Meta Superintelligence Labs, comentó que el comportamiento era "intended" (esperado), mientras que David Singleton lo describió como "una computadora libre en la nube". La comunidad de seguridad ya está analizando los binarios y bibliotecas expuestas, que según los autores incluyen cientos de megabytes de código preciso y compilado.

Implicaciones

Para administradores y arquitectos de IA, el caso subraya la necesidad de reforzar la resistencia a inyección de prompts y de aislar los entornos de ejecución. La exposición de la estructura de archivos también plantea preguntas sobre la gestión de credenciales y la posible superficie de ataque de futuros agentes de IA que operen en VM persistentes.

Enlaces útiles: documentación del runtime en mouse.dev y la presentación oficial de Muse por Meta.