Meta parchea un zero-day en Muse: por qué comprometer un agente de IA es más peligroso que comprometer un chatbot

Meta ha corregido una vulnerabilidad de día cero en **Muse para macOS** que permitía a software malicioso ya presente en un Mac **secuestrar el agente de IA y aprovechar los permisos que el usuario le hubiera concedido**.

El matiz es importante: el fallo no significaba que cualquier atacante pudiera entrar directamente desde Internet en cualquier ordenador con Muse. El escenario demostrado por el investigador Patrick Wardle requería que código malicioso ya se ejecutara con la cuenta del usuario, algo que también puede conseguirse mediante técnicas de ingeniería social como ClickFix.

Una vez dentro, el problema era especialmente serio por la naturaleza del agente. Muse puede acceder, con permiso del usuario, a aplicaciones, archivos, calendario, correo y otras herramientas. **Un agente comprometido hereda parte del poder que le hemos dado para ayudarnos.**

Lee también: Frenar la IA no afecta igual a todos: por qué el debate de seguridad también es una pelea competitiva

Según la investigación publicada, una configuración no documentada permitía modificar el destino del tráfico utilizado para el dictado. Un proceso local sin privilegios especiales podía redirigir esa comunicación hacia infraestructura controlada por un atacante.

Eso abría la puerta a manipular las instrucciones que recibía el agente y a abusar de sus capacidades. Wardle mostró escenarios en los que el asistente podía ejecutar acciones no deseadas utilizando accesos que el propio usuario había autorizado.

Meta lanzó rápidamente un **hotfix** tras la divulgación. La empresa subrayó que el ataque necesitaba código malicioso previo en el equipo, un límite real que reduce el riesgo respecto de una vulnerabilidad explotable directamente desde la red.

Pero el caso deja una lección más amplia para los agentes. En software tradicional, comprometer una aplicación puede dar acceso a sus datos. En un agente capaz de actuar, el atacante puede además **convertir permisos legítimos en acciones**: enviar, modificar, reservar, consultar o ejecutar.

Por eso la seguridad de los agentes necesita dos capas: impedir que sean secuestrados y limitar el daño incluso si lo son. Permisos mínimos, confirmaciones para acciones sensibles, aislamiento, registros y separación entre datos y credenciales reducen el alcance de una intrusión.

El caso conecta directamente con la [primera brecha notificada en España atribuida a un agente autónomo](https://wiresdesk.com/noticia/aepd-primera-brecha-agente-ia-autonoma-espana-que-ocurrio-2026). Son situaciones distintas, pero ambas muestran el mismo cambio estructural: la IA ya no solo responde, también puede actuar sobre sistemas reales.

Para un usuario de Muse en Mac, la medida concreta es sencilla: **actualizar**. Para la industria, la conclusión es más incómoda: cuanto más útil se vuelve un agente porque recibe acceso a nuestra vida digital, más valiosa se vuelve también esa misma cadena de permisos para un atacante.