Muse de Meta lleva US$1,2 millones pagados en recompensas por fallos, y el premio mayor no se lo llevó nadie por engañar al modelo: se lo llevó un investigador que entró por una cabecera de confianza mal puesta. Las recompensas por fallos de Muse de Meta, contadas por la propia empresa, dibujan un mapa claro de dónde se rompe un agente: en las credenciales, en los códigos de un solo uso y en las páginas que el agente lee por encargo del usuario.
David Singleton detalló las cifras en el blog oficial de Muse el 2 de noviembre: más de 630 reportes recibidos, 64 hallazgos válidos y cerca de US$1,2 millones entregados. El programa cubrió a Muse en privado desde abril y se abrió al público con el lanzamiento del 8 de septiembre. Muse es el agente personal de Meta: actúa sobre el correo, el calendario, la mensajería y otras cuentas de cada persona, con una máquina virtual propia para cada usuario. Con llaves de tantas cuentas, un fallo de un agente puede terminar en el buzón completo de alguien.
La privacidad de este agente ya le costó a Meta un producto entero: a principios de noviembre la empresa retiró Muse Image por dudas de privacidad. Las recompensas cuentan la otra cara del mismo problema: los fallos que nadie ve desde fuera y que solo aparecen cuando alguien con permiso para atacar cobra por contarlos.
El premio de US$300.000 fue por una cabecera de confianza
Cuatro meses antes del lanzamiento, con Muse en pruebas internas, un investigador demostró acceso a conversaciones y a tokens guardados en las máquinas virtuales previas al estreno, las que usaban empleados e ingenieros para probar el producto. La causa era vieja y simple: una comprobación de autenticación trataba una cabecera añadida por un proxy HTTPS local como prueba de que la petición venía de una fuente confiable. Durante una migración del sistema, el entorno ganó una segunda capa de proxy, y las peticiones llegadas desde fuera también podían cargar esa cabecera de confianza.
Meta apagó el servicio, corrigió el error de inmediato y eliminó toda confianza en la máquina local, contó Singleton en el blog de Muse. El pago por ese reporte fue de US$300.000. Muse presume que su premio mayor supera varias veces los máximos publicados por otros laboratorios grandes de inteligencia artificial. El fallo caro de un agente de 2026 fue un fallo de autenticación de manual, pegado a un producto nuevo. Ningún modelo falló ahí. Falló la plomería.
Una página que imitaba a la propia herramienta de navegación
Otro reporte cobró US$90.000 con una inyección de prompts disfrazada. Un investigador armó una página web que, al pedirle a Muse un resumen de esa página, imitaba los mensajes de estado de la herramienta de navegación del propio agente. El engaño funcionó: el agente ejecutó acciones que debieron quedar bloqueadas. Meta añadió señales nuevas a su detección de inyecciones y cambió la manera en que Muse trata las salidas sospechosas de sus herramientas; en las pruebas internas, los clasificadores marcan el ataque original y 100 variantes del mismo truco.
La inyección de prompts tiene precio de vulnerabilidad seria en las pautas del programa: hasta US$130.000 por un ataque que afecte a un solo usuario, de acuerdo con las pautas de Meta que repasó SecurityWeek en su nota de este 4 de noviembre. La cifra ordena el riesgo mejor que cualquier discurso. Una página cualquiera que el agente visita por encargo puede intentar darle órdenes, y esa orden falsa vale seis cifras cuando pasa.
Otros US$90.000 pagaron un hueco en la protección de credenciales: cierto formato de texto dejaba pasar códigos de un solo uso por los filtros que ocultan esos códigos en los correos que Muse lee. Singleton lo describió como una pieza de un ataque completo, un eslabón que solo no roba la cuenta, pero que combinado con otros pasos acerca al atacante a la puerta. La corrección ajustó la lógica con la que Muse oculta esos códigos antes de mostrar o usar el contenido de un correo.
Android y Mac completan el listado con precios menores. Una aplicación maliciosa de Android podía enviar un enlace a una vista web privilegiada dentro de la app de Muse, y demostrarlo pagó US$50.000: el manejador de enlaces reconocía una ruta de página compartida sin validar el anfitrión, cargaba la página del atacante y esa página podía quedarse con las credenciales de la vista web. Meta corrigió la validación y recortó el alcance de esas credenciales. En Mac, un atacante con acceso a la computadora podía abusar de la actualización automática para ejecutar código con los permisos de la app; ese reporte pagó US$1.000 y el componente de actualización quedó reemplazado.
El programa sigue abierto y paga hasta US$300.000 por reporte válido, con hasta US$250.000 para un compromiso que alcance a toda la flota de usuarios, cifras de las pautas de Meta recogidas por SecurityWeek. Quien done su recompensa a una organización benéfica reconocida recibe el doble, porque Muse iguala la donación. Para la persona que le entrega a un agente su correo y su calendario, el dato que queda es otro: 64 fallos válidos en poco más de seis meses de programa, y el más caro apareció antes de que el producto saliera a la calle, en máquinas de prueba que nadie miraba como objetivo.
Fuente: SecurityWeek
