Meta suspende el intercambio de Muse tras vulnerabilidad que expuso 6.800 conversaciones

Meta desactivó la función de intercambio de conversaciones de su asistente de inteligencia artificial Muse después de que investigadores de seguridad descubrieran que más de 6.800 enlaces de conversaciones compartidas estaban accesibles públicamente en internet. La vulnerabilidad, apodada "GhostShares" por la firma de seguridad Claroc, revela un problema fundamental en cómo uno de los productos más ambiciosos de la compañía fue construido.

Qué pasó

Muse se lanzó el 8 de septiembre de 2026 como el asistente de IA de propósito general de Meta, posicionado por el director ejecutivo Mark Zuckerberg como "construido desde cero para la privacidad y la seguridad". El producto ganó rápido impulso, alcanzando 10 millones de descargas en Estados Unidos en solo 40 días — una marca alcanzada por apenas 11 otras aplicaciones. La compañía invirtió mucho en promoción, con Zuckerberg apareciendo en entrevistas defendiendo que Muse era diferente de competidores como ChatGPT por funcionar en una máquina virtual en la nube aislada para cada usuario.

La funcionalidad que generó críticas permitía que los usuarios compartieran sus conversaciones con Muse por medio de enlaces únicos. La función no exigía inicio de sesión para el acceso, lo cual no es inusual en servicios de intercambio de la web — Gmail, Google Docs e incluso herramientas de colaboración como Notion funcionan de la misma manera. El problema estaba en cómo Muse construía esas direcciones web.

Cada enlace de intercambio seguía la estructura `titulo-de-conversa-id-aleatorio.cf.metaaiusercontent.com`. El dominio era siempre el mismo, pero lo que hacía los enlaces descubribles era el hecho de que el título de la conversación aparecía directamente en la URL. Cuando alguien hacía clic en uno de estos enlaces, el registro DNS quedaba registrado en bases de datos comerciales de DNS pasivo, que almacenan todas las resoluciones de dominio observadas en internet.

El equipo de Claroc realizó una única consulta a un servicio comercial de DNS pasivo para el dominio `cf.metaaiusercontent.com` y, tras filtrar el ruido de escaneo DNS wildcard, encontró más de 6.800 hostnames de intercambio. Al abrir varios cientos de estos enlaces, confirmaron que la gran mayoría accedía al contenido sin requerir ningún tipo de autenticación.

Qué estaba expuesto

Entre las conversaciones que Claroc pudo acceder, los investigadores encontraron datos sensibles que claramente no eran destinados a audiencias externas: informes de desempeño interno de un inversionista inmobiliario con direcciones de propiedades y valores exactos de retorno, una revisión de ingresos de una empresa de marketing, una solicitud de préstamo de un pequeño empresario y un calendario de vacaciones de un lugar de trabajo listando a decenas de empleados contra las semanas en que estarían ausentes.

Un ejemplo simplificado de URL expuesto sería: `q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com` — donde "q3-revenue-review" es el título de la conversación, visible para cualquier persona que busque en DNS pasivo. Otro ejemplo: `loan-application-draft-a4c9e2.cf.metaaiusercontent.com`.

Claroc dijo que se abstuvo de publicar todos los identificadores, títulos y enlaces específicos en su informe, para que nada apuntara directamente al contenido afectado. La firma también afirmó que no inició sesión, no llenó formularios ni cargó nada en los sistemas accedidos. El descubrimiento fue reportado al programa de bug bounty de Meta el 8 de octubre de 2026, con pasos de reproducción y ejemplos de intercambios.

La respuesta de Meta

En respuesta a las preguntas de Ars Technica sobre el comportamiento, Meta confirmó que estaba suspendiendo la funcionalidad de intercambio mientras revisaba el problema. Al reexaminar 40 enlaces de intercambio el 20 de octubre que anteriormente se abrían sin cuenta, ninguno de ellos accedía más al contenido — los hostnames devolvían errores. Sin embargo, los propios hostnames, con los títulos de las conversas incluidos, permanecen en los registros históricos de DNS pasivo.

Tracy Clayton, portavoz del Muse, declaró: "Hemos pausado esta funcionalidad mientras revisamos este informe y consideramos cambios en cómo se pueden descubrir estos enlaces". La compañía también actualizó su documentación de Privacidad y Seguridad del Muse para reiterar que cada máquina virtual en la nube está aislada, que Muse no comparte conversaciones ni datos de la máquina virtual con los sistemas de publicidad de Meta, y que las credenciales de aplicaciones conectadas se almacenan en un Almacén Seguro de Credenciales.

Por qué importa

La vulnerabilidad GhostShares toca puntos sensibles sobre la confianza que los usuarios están depositando en asistentes de IA cada vez más integrados en su vida diaria. Muse no es solo un chatbot — tiene acceso a calendarios, correos electrónicos y documentos de los usuarios, operando como un agente que puede realizar acciones en su nombre. El propio documento de privacidad de Meta afirma que "las personas con el enlace podrán ver tu conversación", que "el enlace no expira" y que "las personas pueden reenviar el enlace".

Lo que hace este caso particularmente problemático es la naturaleza del descubrimiento. No fue necesaria ingeniería social, phishing ni explotación de vulnerabilidades tradicionales. Una única consulta a un servicio comercial de DNS pasivo fue suficiente. El robots.txt de Muse pide que los motores de búsqueda y agentes de IA se mantengan fuera de los caminos de intercambio, pero el robots.txt rige el crawling, no el acceso, y el descubrimiento de Claroc jamás pasó por un motor de búsqueda.

Este no es el primer problema de seguridad que involucra al Muse en sus seis semanas de existencia. A principios de octubre, el experto en seguridad Patrick Wardle había encontrado una vulnerabilidad zero-day que permitía que otras aplicaciones asumieran el control total de la cuenta de un usuario — Meta minimizó el incidente en la época. Ahora, con los GhostShares, la compañía nuevamente falló en responder a investigadores antes del contacto periodístico.

La comunidad de seguridad llama la atención hacia una cuestión más amplia: ningún otro servicio de IA de primer nivel enfrentó una vulnerabilidad de esta escala relacionada con el intercambio. ChatGPT y Gemini usan mecanismos de intercambio diferentes que no exponen títulos de conversación en las URLs. El caso del Muse plantea dudas sobre cómo la Meta probó su producto antes del lanzamiento a escala, considerando especialmente que Zuckerberg posicionó Muse como "construido desde cero para la privacidad y la seguridad" en sus promociones.

Lo que está claro es que, a medida que los asistentes de IA se vuelven centrales para gestionar información personal y empresarial, cada nueva funcionalidad de intercambio necesita auditorías de seguridad más rigurosas que las tradicionales. Un botón de "compartir" que parece inocuo puede, de hecho, transformar conversas privadas en un directorio público accesible por cualquier persona con acceso a un servicio de DNS pasivo — y la única barrera entre un secreto empresarial y la exposición mundial fue un error de diseño de URL.

Fuentes: The Verge, Unite.AI, Atlabyte

✓ Fuentes independientes cruzadas y verificadas antes de la publicación