Por Canuto  

Investigadores de Claroc afirmaron que una sola consulta les permitió localizar 6.800 enlaces de conversaciones compartidas en Meta Muse. Tras revisar unos cientos, dijeron haber encontrado documentos empresariales, datos financieros y una agenda laboral. Meta pausó la función mientras revisa el reporte.
***

  • Claroc dijo que encontró 6.800 enlaces de Muse mediante una consulta y revisó unos cientos.
  • Entre el material revisado había información empresarial, financiera y laboral que no parecía destinada al público.
  • Meta pausó la función de compartir mientras analiza el reporte; el hallazgo también reaviva dudas sobre la seguridad del asistente.

 

Investigadores de Claroc afirmaron que la estructura de los enlaces para compartir conversaciones de Muse les permitió localizar páginas con información sensible. Meta suspendió temporalmente la función mientras analiza el hallazgo.

Enlaces localizables y documentos sensibles

Investigadores de la firma de seguridad Claroc aseguraron que encontraron 6.800 enlaces creados por usuarios de Muse para compartir conversaciones y otros contenidos. Según el reportaje de Ars Technica, los especialistas pudieron enumerarlos con una consulta y, después de abrir unos cientos, detectaron material que no parecía destinado a la difusión pública. El hallazgo no dependió de que alguien les entregara directamente cada dirección web.

Entre los documentos examinados había notas de un candidato que preparaba una llamada confidencial de búsqueda ejecutiva con un laboratorio de inteligencia artificial de vanguardia. El material identificaba a un contacto interno de ese laboratorio y la hora prevista para la reunión, detalles que podían revelar tanto la identidad de interlocutores como información sobre un proceso reservado.

Los investigadores también encontraron una revisión interna de ingresos de una empresa nacional de marketing, marcada para su CEO, y una solicitud de préstamo de un pequeño empresario que indicaba el monto solicitado. En otro caso, una lista de tareas incluía una alerta por fraude bancario, junto con un número parcial de cuenta y datos sobre el monto y la hora de la transacción.

El conjunto incluía además un informe interno de rendimiento de un inversor inmobiliario con dos direcciones de propiedades y cifras exactas de rendimiento, ingresos e hipoteca. También apareció el calendario anual de vacaciones de un lugar de trabajo, que relacionaba a decenas de empleados con las semanas en que estarían ausentes, información que podía exponer rutinas del personal.

«Si nos lo hubieran preguntado de antemano, habríamos adivinado que recolectar esto requeriría mucho esfuerzo. Tomó una consulta», escribieron los investigadores de Claroc al describir la facilidad del descubrimiento. La cifra de 6.800 corresponde a enlaces que pudieron enumerar, mientras que la revisión de contenido se limitó a unos cientos, de acuerdo con el reportaje.

El diseño de los enlaces y la respuesta de Meta

Como ocurre en muchos servicios digitales, Muse ofrecía la opción de compartir búsquedas, conversaciones, imágenes y otros contenidos mediante una URL única. Normalmente, estos enlaces incorporan una secuencia extensa de caracteres que dificulta que una persona ajena los adivine, aunque cualquiera que obtenga la dirección puede abrir la página correspondiente.

En el caso de Muse, los investigadores identificaron que los enlaces usaban el dominio cf.metaaiusercontent.com. La dirección incluía además el título de la conversación en un subdominio, junto con una cadena de texto, en lugar de colocar el título únicamente en la ruta de la URL; esa decisión permitió buscar nombres de conversaciones en registros DNS públicos.

El DNS traduce nombres de dominio en direcciones IP, y los servicios de DNS pasivo conservan registros históricos de esas resoluciones, además de información sobre servidores de nombres y correo. Según Claroc, cuando la persona destinataria abría un enlace de Muse, la actividad podía quedar registrada en una base de datos consultable; así, una dirección aparentemente difícil de adivinar podía aparecer en sistemas de búsqueda de infraestructura de internet.

Claroc llamó «GhostShares» a estas páginas compartidas que podían encontrar personas a quienes el usuario nunca había enviado el enlace. La firma sostuvo que el problema no era simplemente que Muse permitiera compartir por URL, una práctica extendida entre asistentes digitales, sino que el título legible de la conversación quedara expuesto en el subdominio que los registros DNS pueden recoger.

Meta informó a Ars Technica que pausó la función mientras revisa el reporte y considera cambios en la forma en que otras personas pueden descubrir esos enlaces. La compañía explicó que abrió el programa de recompensas por errores de Muse para que investigadores presentaran distintos escenarios y ayudaran a mejorar el producto, y señaló que los usuarios podían compartir artefactos específicos mediante páginas accesibles para quienes tuvieran el enlace.

Una función sensible en un asistente con amplios permisos

Asaf Aprozper, cofundador y director de tecnología de Claroc, dijo que reportó los hallazgos mediante el programa de recompensas por errores de Meta el 8 de octubre. También afirmó que intentó contactar a personas de la compañía por LinkedIn, aunque no recibió respuesta por esa vía ni a través del programa, según el relato recogido por Ars Technica.

Muse se posicionó rápidamente entre las aplicaciones más destacadas de la App Store de Apple y está diseñado para ejecutar tareas, además de responder consultas. El asistente puede rellenar formularios de forma autónoma, reservar citas, realizar compras y crear documentos, entre otras acciones, capacidades que, según la información disponible, requieren acceso a la mayoría de las cuentas de un usuario.

Ese alcance ayuda a explicar por qué la privacidad y la seguridad son centrales para evaluar el producto: un asistente que opera en cuentas y gestiona tareas puede manejar información de distintas áreas de la vida de una persona. Meta lo ha promocionado como una plataforma digna de la confianza que necesita para funcionar, y Mark Zuckerberg afirmó el mes pasado que Muse fue «construido desde cero con privacidad y seguridad».

El episodio de los enlaces llega después de otro hallazgo de seguridad relacionado con Muse. Tres semanas después del lanzamiento, el experto en seguridad de macOS Patrick Wardle identificó una vulnerabilidad de día cero que, según la información publicada, permitía que otra aplicación instalada en el mismo dispositivo obtuviera control completo de la cuenta del usuario en Muse.

Meta minimizó la gravedad de esa vulnerabilidad con el argumento de que la explotación requería que el dispositivo ya estuviera comprometido. La compañía no reconoció el hallazgo adicional de Wardle, quien sostuvo que un ataque ClickFix sencillo bastaba para secuestrar una cuenta; el reporte sobre los enlaces añade otra cuestión distinta, esta vez relacionada con la exposición de páginas compartidas.

La suspensión de la función reduce, por ahora, la posibilidad de que usuarios de Muse afronten esta vía específica de descubrimiento, pero Meta todavía debe determinar qué cambios aplicará y cómo comunicará el alcance de la revisión. La información disponible no indica que la compañía haya anunciado una solución definitiva, por lo que el riesgo señalado por Claroc debe entenderse en el contexto de una función pausada y bajo análisis.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados