Meta corrige vulnerabilidad en su aplicación Muse que permitía acceso no autorizado

Meta ha lanzado una actualización para su aplicación Muse en macOS tras identificar una vulnerabilidad de día cero que podría permitir a usuarios malintencionados tomar control del agente de inteligencia artificial. Este fallo, descubierto por el investigador de seguridad Patrick Wardle, aprovechaba una configuración no documentada de Muse, lo que habilitaba a atacantes con acceso local a redirigir el procesamiento de transcripciones desde los servidores de Meta hacia sus propios puntos finales, lo que les daba acceso a la cuenta de Muse, según un informe. Varios diseños de la aplicación facilitaron esta vulnerabilidad, incluyendo el hecho de que la dictado de Muse se procesara en la nube en lugar de realizarse en el dispositivo del usuario, así como la capacidad de cualquier aplicación para controlar todos los ajustes no documentados de Muse.

Wardle desarrolló ataques de prueba de concepto para verificar la explotación de esta vulnerabilidad, lo que le permitió tomar fotografías y escribir archivos maliciosos en el disco a través de Muse, sin que el usuario recibiera alertas en muchos casos. “Podemos manipular el agente y aprovechar sus privilegios para hacer lo que queramos. Así que, en lugar de tener que escribir un malware muy completo para Mac, podemos simplemente aprovechar el asistente de IA”, afirmó Wardle. Además, criticó la falta de atención a la seguridad desde el inicio del desarrollo de la aplicación: “Al menos deberían estar pensando en la seguridad desde el principio, y no lo están”, agregó.

La situación contrasta con el énfasis que Meta había puesto en las características de privacidad y seguridad de Muse al presentar el agente de inteligencia artificial a principios de septiembre. La empresa corrigió la vulnerabilidad en las horas posteriores a la publicación del informe y aseguró que los riesgos de seguridad en el mundo real eran mínimos, ya que el exploit requería acceso local al dispositivo del usuario. “Este fue un ataque de escalada de privilegios local, no un exploit remoto. Usarlo para causar daño requiere que ya haya un código malicioso en la máquina del usuario bajo su cuenta, y el riesgo práctico para los usuarios de la aplicación Muse para Mac era, por lo tanto, bastante bajo”, explicó David Singleton de Meta Superintelligence Labs.

A pesar de la rápida respuesta, la explotación de Muse llega en un momento en que el agente de Meta ya está siendo objeto de escrutinio, mientras la compañía intenta recuperar terreno frente a sus competidores en el ámbito de la inteligencia artificial. Recientemente, Amazon bloqueó el acceso de Muse a su plataforma de comercio electrónico, alegando que Meta nunca obtuvo su permiso para ello. Sin embargo, el lanzamiento ha sido exitoso para Meta; en sus primeros 12 días, las descargas estimadas de la aplicación móvil Muse han superado las de ChatGPT durante sus primeros 12 días en Estados Unidos y Canadá, y las acciones de Meta aumentaron un 11 por ciento este lunes.

Etiquetas: Inteligencia Artificial, Meta, Muse