Zero-day de Meta Muse en Mac: malware local secuestra prompts

El mérito, por delante: la vulnerabilidad que se describe aquí la encontró y la divulgó Patrick Wardle, fundador de la Objective-See Foundation y uno de los investigadores independientes de seguridad de macOS más respetados del momento. La prueba de concepto, not-a-mused, está publicada en su GitHub en github.com/pwardle/not-a-mused: léela para la fuente primaria y el detalle técnico. La cubrimos porque es un ejemplo nítido y concreto de un riesgo que todo responsable de seguridad que evalúe agentes de IA debe tener en cuenta: qué pasa cuando una función de comodidad de un agente (llegar a tus otros dispositivos) queda al alcance de cualquiera que ya esté en el equipo.

Qué es Muse

Muse es el agente personal de IA de Meta, lanzado públicamente el 8 de septiembre de 2026. Está diseñado para actuar en nombre del usuario (navegar por sitios web, rellenar formularios, enviar correos, hacer compras) en móvil, web y, desde que salió un cliente dedicado el 17 de septiembre, en Mac. Esa combinación de permisos reales y alcance sobre todos los dispositivos de un usuario es justo lo que hace que un fallo local en él merezca más atención que un fallo típico de una sola aplicación.

El fallo, en términos sencillos

La investigación de Wardle descubrió que el cliente de Mac expone un ajuste no documentado, endo_voyager_dictation_endpoint, que controla adónde envía la aplicación los prompts dictados. Lo crítico es que ese ajuste puede cambiarlo cualquier proceso local sin privilegios, sin permisos especiales. Apúntalo a un servidor que controles y la aplicación enviará obedientemente lo que diga el usuario directamente a ti.

A partir de ahí, la prueba de concepto demostró una cadena corta y dañina:

1. Interceptar el audio y los prompts dictados redirigiendo el endpoint.
2. Capturar el propio material de autenticación de Muse en tránsito.
3. Usar el diseño multidispositivo legítimo del agente para enumerar y llegar a un iPhone vinculado.
4. Consultar la ubicación del iPhone y lanzar escaneos de Bluetooth Low Energy contra él en remoto.

Nada en esa cadena es una primitiva de explotación nueva: no hay corrupción de memoria ni escape del sandbox. Es un fallo de diseño: un ajuste de enrutamiento sensible sin control de acceso, dentro de una aplicación construida a propósito para llegar a todos los dispositivos de un usuario. Esa combinación es la que convierte «un proceso local puede cambiar un ajuste» en «un proceso local puede localizar tu teléfono».

Qué requiere y por qué sigue importando

Es un zero-day local: el atacante necesita estar ya ejecutando código como el usuario del Mac. No es un compromiso remoto por simple visita de una máquina intacta. Es una salvedad real e importante, pero no consuela mucho. «Ya tiene ejecución de código local» describe una gran parte de los compromisos reales de Mac: una aplicación maliciosa, una dependencia comprometida, una carga entregada por phishing o cualquier otro punto de apoyo. La pregunta que debe hacerse un defensor nunca es solo «¿necesita acceso local?», sino «¿en qué se convierte el acceso local una vez que lo tiene?». Aquí se convierte en la ubicación de tu teléfono.

El patrón que conviene generalizar

En realidad esta no es una historia sobre un ajuste no documentado. Es un anticipo de una categoría de riesgo que va a seguir apareciendo a medida que los agentes de IA se conecten a más cuentas, dispositivos y permisos reales de los usuarios: un agente que es útil porque puede llegar a tu teléfono, tu correo, tu calendario y tu cartera es, por ese mismo diseño, un único punto que convierte un apoyo local en cualquier dispositivo en alcance sobre todos ellos. Ya hemos escrito sobre cómo el secuestro de agentes y los agentes de uso del ordenador amplían lo que puede hacer un solo compromiso: este es el mismo tipo de problema, solo que aparece en un producto de IA de consumo generalista y no en una demo de investigación.

Qué deben sacar de esto los responsables de seguridad

1. Inventaría los agentes de IA multidispositivo. ¿Sabes qué asistentes de IA han vinculado tus usuarios (o tus directivos) entre su portátil y su teléfono, y a qué pueden llegar esos vínculos?
2. Trata los «ajustes» como superficie de ataque. Un valor de configuración sin control de acceso es una vulnerabilidad aunque no haya corrupción de memoria. Cualquier aplicación que permita a un proceso local sin privilegios cambiar adónde envía datos sensibles necesita blindar esa vía.
3. Da por hecho que habrá compromisos locales. Diseña y evalúa los permisos de los agentes por lo que permiten alcanzar desde un apoyo local, no solo por si un atacante remoto puede entrar.
4. Acota los permisos de los agentes de forma deliberada. Un agente que puede navegar, enviar correos, comprar y llegar a un teléfono vinculado es potente y, en la misma medida, tiene un gran radio de impacto si se compromete. Cuestiona si de verdad necesita cada permiso que tiene.
5. Vigila si sale un parche y no des por hecho que el BYOD queda fuera del alcance. Los agentes de IA personales en dispositivos personales siguen tocando cuentas corporativas a través del correo y las sesiones del navegador. Esta clase de vulnerabilidad de la IA de consumo debe estar en la misma lista de vigilancia que cualquier otro software cliente que usen tus usuarios.

Preguntas frecuentes

¿Qué es Meta Muse?

Muse es un agente personal de IA que Meta lanzó públicamente el 8 de septiembre de 2026, diseñado para navegar por sitios web, rellenar formularios, enviar correos y hacer compras en nombre del usuario en clientes móviles, web y de escritorio. Un cliente dedicado para Mac llegó el 17 de septiembre de 2026.

¿Qué es la vulnerabilidad not-a-mused?

Es un zero-day local en el cliente de Mac de Muse, divulgado por el investigador Patrick Wardle el 21 de septiembre de 2026 y publicado como una prueba de concepto llamada «not-a-mused». El cliente de Mac expone un ajuste no documentado, endo_voyager_dictation_endpoint, que un proceso local sin privilegios puede modificar sin permisos especiales para redirigir los prompts dictados de la aplicación a un servidor que controla el atacante.

¿Qué puede hacer de verdad un atacante con ella?

La prueba de concepto de Wardle interceptó prompts dictados, capturó el propio material de autenticación de Muse y después usó el acceso multidispositivo legítimo del agente para llegar a un iPhone vinculado: consultó su ubicación e inició escaneos de Bluetooth Low Energy. Convierte un compromiso local del Mac en alcance remoto sobre un teléfono emparejado, usando permisos que el agente ya tiene legítimamente.

¿Requiere acceso remoto o puede explotarse por internet?

Requiere primero ejecución de código local: el atacante debe poder ejecutar ya código como el usuario del Mac. No es un compromiso por red, por simple visita, de una máquina por lo demás intacta, pero «ya tiene ejecución de código local» describe una gran parte de los compromisos reales de Mac.

¿Lo ha parcheado Meta?

En el momento de publicar no hay ningún parche, aviso ni CVE confirmados para el problema. Este artículo refleja los detalles del repositorio público de la prueba de concepto de Wardle en el momento de escribirlo; consulta el repositorio y los propios canales de Meta para conocer el estado actual.

PlayCISO no está afiliado a Meta, Muse, Patrick Wardle ni la Objective-See Foundation. Este artículo es un resumen independiente basado en el repositorio público de la prueba de concepto de Wardle y en la información pública disponible en el momento de escribirlo; los detalles pueden cambiar a medida que Meta responda y avance la divulgación.