Un solo ajuste no documentado bastó para convertir Muse de Meta en una puerta trasera para el dictado.

El 21 de septiembre de 2026, el investigador de seguridad Patrick Wardle publicó una prueba de concepto llamada not-a-mused que muestra que una preferencia no documentada dentro del asistente Muse de Meta para macOS decide adónde envía la aplicación lo que dictas. La clave es endo_voyager_dictation_endpoint, y cualquier proceso que se ejecute como el usuario con sesión iniciada puede reescribirla sin una contraseña de administrador ni un aviso de macOS. Si la apuntas a una dirección controlada por el atacante, el audio y la transcripción de Muse van allí en lugar de a Meta; Wardle demostró que un atacante puede entonces leer el dictado, inyectar instrucciones que Muse obedece y extraer un token que inicia sesión en la cuenta de Muse del usuario —alcanzando todos los dispositivos donde esa cuenta tenga la sesión iniciada. Meta dice que envió un hotfix al día siguiente. No se ha informado de ningún ataque en el mundo real. El propio registro del archivo sobre la divulgación, con su calificación de gravedad y sus fuentes citadas, se encuentra en el archivo de incidentes de IA junto con las demás entradas de vulnerabilidades de agentes de esta serie.

Qué hace el ajuste y por qué una sola clave fue suficiente

Wardle es cofundador de la organización sin ánimo de lucro Objective-See, según informa The Register. Muse es el agente personal de Meta, lanzado en Estados Unidos a principios de septiembre de 2026, y The Hacker News informa de que, una vez que el usuario lo activa, puede funcionar con sus archivos, correo electrónico, mensajes, calendario, compras y aplicaciones de hogar inteligente, usando cualquier acceso que la persona decida concederle. El hallazgo de Wardle no está en esa lista de accesos. Está en la infraestructura subyacente: la aplicación para Mac incluye una configuración que envía el audio de dictado fuera del dispositivo, y la dirección a la que lo envía se almacena donde el sistema operativo no la protege de otros programas que se ejecutan como el mismo usuario.

En palabras del propio repositorio, la prueba de concepto demuestra que «un atacante local o un malware pueden modificar este endpoint sin privilegios especiales», tras lo cual «se pueden enviar prompts dictados a un endpoint controlado por el atacante». El repositorio enumera lo que eso potencialmente permite: la captura del audio y los prompts dictados, la inyección de prompts en Muse, el robo del material de autenticación de Muse y el abuso de cualquier acceso que el usuario haya concedido a la aplicación. Resume la consecuencia en una línea: «El acceso de Muse puede potencialmente convertirse en el acceso del atacante». La prueba de concepto implementa lo que su README denomina un subconjunto de los más de 50 comandos que expone Muse.

La secuencia que describe The Hacker News es mecánica. Un programa que el atacante ejecuta en el mismo Mac reescribe la preferencia y luego espera. El usuario toca el micrófono y habla. El audio y el texto resultante van al programa del atacante en lugar de a Meta. Desde esa posición, Wardle demostró tres cosas: leer lo que el usuario dictó, añadir instrucciones adicionales en las que Muse confía y sobre las que actúa —el medio describe el efecto como inyección de prompts— y capturar el token que inicia sesión en la cuenta de Muse del usuario.

Un token, y cada dispositivo que hay detrás

El token es la parte que sale del Mac. The Hacker News informa que Muse envía su token de autenticación junto con el dictado redirigido, por lo que el mismo receptor que captura la transcripción también captura la credencial. Con él, según Wardle, un atacante puede leer el historial de chat de la cuenta y dar órdenes directamente al asistente — y, como una cuenta de Muse puede tener la sesión iniciada en varios dispositivos, esas órdenes no se limitan a la máquina comprometida.

Wardle ejecutó esa parte en su propio hardware. Desde la Mac, hizo que la app Muse de su iPhone informara su ubicación exacta, ejecutara un escaneo Bluetooth de los dispositivos cercanos y enumerara los comandos de hogar inteligente que podía enviar. The Hacker News añade un límite a la demostración: en sus pruebas, el asistente solo redactaba mensajes en lugar de enviarlos por su cuenta.

Ese es el argumento para tratar el fallo como algo más que una filtración de dictado. The Register informa del planteamiento de Wardle sobre el problema general: que macOS se diseñó para impedir que un programa leyera los datos de otro, y que un agente al que se le ha concedido un acceso amplio se convierte en un punto único de fallo para esos controles. «Que un mal vecino se mude no significa que ese vecino tenga automáticamente acceso a todos los apartamentos», declaró a The Register. Un asistente al que se le han dado las llaves es una cuestión distinta.

Lo que no hace

Las fuentes señalan tres límites que importan a cualquiera que evalúe la exposición. Primero, la falla no es una vía de entrada a un Mac por sí sola: necesita código que ya se esté ejecutando como el usuario que ha iniciado sesión, por lo que el repositorio de Wardle la etiqueta como «un ataque local» y Meta la llamó después «una escalada de privilegios local». Segundo, no anula el aislamiento de aplicaciones de macOS: The Hacker News informa de que no cruza el límite que impide que una aplicación lea las contraseñas y los tokens guardados de otra aplicación; el propio token de Muse viaja junto con el dictado redirigido, y el ataque funciona haciendo que Muse actúe con acceso que ya tiene. Tercero, no demuestra que el diseño en la nube de Meta, que la empresa construyó para mantener el agente de cada usuario aislado de los demás, estuviera roto.

Lo que sí muestra es por qué la seguridad de endpoints podría no darse cuenta. The Hacker News informa del argumento de Wardle de que los comandos llegan desde {{1}}Muse{{/1}}, una aplicación normal firmada, en lugar de desde algo que parece malware; {{2}}The Register{{/2}} recoge la misma preocupación en sus palabras: que un {{3}}producto EDR{{/3}} no puede saber si un comando provino del usuario, del agente o de un atacante.

Wardle también asigna una causa. The Register informa de que Apple ofrece dictado en el dispositivo y de que, a su juicio, la vulnerabilidad no existiría si Meta hubiera usado esa API; sugiere que Meta optó por no hacerlo porque quiere los datos, y añade: «Creo que parte de su codicia por los datos de los usuarios abre la puerta, de algún modo, y hace que la superficie de ataque sea mayor». Esa es su inferencia sobre el motivo de Meta, no un hecho documentado, y Meta no ha respondido a ello en la cobertura revisada aquí.

Divulgación, el hotfix y una discusión sobre la etiqueta

Wardle hizo públicos los detalles sin avisar primero a Meta. The Hacker News informa de que eligió la divulgación completa para que los usuarios entendieran el riesgo y porque a menudo es la vía más rápida para obtener una solución. The Register, que lo entrevistó, dice que Meta no respondió de inmediato a su solicitud de comentarios.

La respuesta llegó al día siguiente, y venía acompañada de una caracterización. En una publicación en redes sociales del 22 de septiembre, David Singleton, de Meta Superintelligence Labs, dijo que la aplicación Muse había sido revisada: «Se trató de un ataque de escalada de privilegios local, no de un exploit remoto. Por lo tanto, usarlo para causar daño requiere que ya se esté ejecutando código malicioso en la máquina del usuario bajo su cuenta de usuario, y el riesgo práctico para los usuarios de la aplicación Muse para Mac era, por tanto, bastante bajo». La publicación añadía: «No obstante, hemos lanzado un hotfix para la aplicación a fin de solucionar el problema».

En un punto concreto, las dos partes discrepan, y la discrepancia es sobre la clasificación, no sobre el mecanismo. La afirmación de Singleton se basa en el requisito de que exista código local. Wardle dijo a The Hacker News que un atacante remoto aún podría conseguirlo mediante un truco de ClickFix —el patrón que convence a un usuario de pegar un único comando en Terminal, sin nada que descargar ni instalar—, lo cual proporcionaría la ejecución local que necesita el exploit. Ninguna fuente consultada para este artículo informa de que alguien lo haya hecho realmente, y la vía de ClickFix es una posibilidad demostrada, no una campaña observada.

Lo que cambia el hotfix no es público. The Hacker News informó que no pudo confirmar qué hace el cambio y que Meta no había publicado un aviso de seguridad; el registro del archivo señala asimismo que no se ha emitido ningún aviso. Por lo tanto, un usuario de Muse tiene la palabra de Meta de que el problema está resuelto, y ningún documento que describa cómo.

Qué está establecido y qué no

El archivo califica este registro con confianza A —bien documentado, con fuentes primarias que coinciden— y no lo señala como disputado. Esa calificación no es una afirmación de que se haya producido daño: el registro marca el daño real como falso, y nada en la cobertura revisada describe a un usuario atacado, una cuenta robada o un archivo perdido. La evidencia es una prueba de concepto de un investigador, sus propias demostraciones y una declaración de un proveedor.

• Establecido: la aplicación Muse para macOS incluía una preferencia no documentada llamada endo_voyager_dictation_endpoint que controlaba dónde se enviaba el dictado, y un proceso que se ejecutara como el usuario que ha iniciado sesión podía reescribirla sin derechos elevados, según el repositorio de Wardle y ambos medios.

• Confirmado: redirigir ese endpoint envió el audio de dictado y la transcripción a una dirección controlada por el atacante, y el token de autenticación de Muse viajó con ellos, según The Hacker News.

• Establecido: un token obtenido de esa forma podría controlar Muse en otros dispositivos que hayan iniciado sesión en la misma cuenta; Wardle demostró el reporte de ubicación, un escaneo de Bluetooth y una lista de comandos de domótica en su propio iPhone, según The Hacker News.

• Establecido: el ataque requería ejecución de código como el usuario, no eludió el aislamiento de aplicaciones de macOS y no vulneró la separación de la nube de Meta, según The Hacker News y el repositorio de Wardle.

• Establecido:Wardle lo reveló sin notificar previamente a Meta, y Meta dijo el 22 de septiembre que había publicado un parche urgente, según The Register y The Hacker News.

• No determinado: qué cambió el hotfix, si la preferencia sigue existiendo en las compilaciones actuales y si la ruta de ClickFix sobrevive a él. No aparece ningún aviso, registro de cambios ni entrada de CVE que describa la corrección en la cobertura revisada.

• No establecido:si alguien fue objeto de un ataque dirigido en entornos reales y si la falla era alcanzable en alguna plataforma distinta de la aplicación macOS. Todas las demostraciones del registro se ejecutaron en las propias máquinas de Wardle.

• No establecido:reproducción independiente. Ambos medios informaron del hallazgo, y The Register entrevistó a Wardle por teléfono, pero ningún tercero ha publicado su propia prueba de la redirección, y Meta no ha descrito el fallo con sus propias palabras más allá de la clasificación de Singleton.

La recomendación provisional, y lo que se puede generalizar

Mientras la corrección no estaba confirmada, The Hacker News publicó una breve lista de precauciones para usuarios de Mac, y vale la pena registrarla porque traza con precisión la exposición. Cierra o elimina Muse, lo que cierra la vía por completo. Revisa las apps y los permisos que tiene Muse y revoca todo lo que no necesite, para que un agente secuestrado herede menos. Considera expuestas la cuenta de Muse y las cuentas conectadas a ella si el Mac ya podría estar comprometido, y cambia esas contraseñas. Evita la entrada de voz de Muse, que es el desencadenante específico que espera la prueba de concepto. Y no ejecutes comandos que un sitio web o un mensaje te digan que pegues en Terminal, que es como comienza la vía de ClickFix.

El hallazgo transferible es más pequeño que «la IA es insegura» y más preciso que «actualiza tus aplicaciones». La utilidad de un agente y su radio de explosión son el mismo número: los permisos que permiten a Muse leer archivos y enviar mensajes son los permisos que hereda un atacante al dirigirlo, y ninguno de los controles que superó fue vulnerado. macOS mantuvo su límite de aplicaciones, la nube de Meta mantuvo su separación y el token no fue extraído de un llavero. Una preferencia que debería haber sido inerte resultó ser estructural, y estaba fuera de cada capa construida para proteger los datos a los que apuntaba. El propio resumen de Wardle sobre la disyuntiva de diseño, dado a The Register, es el que perdura más allá del parche: «Son súper cómodos y súper empoderadores. Pero tienen tanto acceso si los configuras para que sean útiles. Básicamente podrían hacer cualquier cosa en tu computadora».