Meta ha pausado la función de Muse que permite compartir una conversación con un enlace, después de que la empresa de seguridad Claroc encontrara más de 6.800 de esos enlaces en registros públicos de DNS. Abriendo solo unos cientos, los investigadores dieron con una solicitud de préstamo, la revisión de ingresos de una empresa preparada para su consejero delegado y las notas de un candidato para una llamada confidencial con un laboratorio de IA. Lo publicó Claroc en su blog y Meta confirmó la pausa a Ars Technica y a The Verge el 20 de octubre.
Muse es el agente personal que Meta lanzó el 8 de septiembre de 2026, y lleva 40 días siendo una de las apps más descargadas de Estados Unidos: más de 10 millones de descargas, según Sensor Tower. Para funcionar pide acceso a casi todas las cuentas del usuario, porque rellena formularios, reserva citas y compra cosas en su nombre.
Puntos clave del fallo de privacidad de Muse
- Qué se ha encontrado: más de 6.800 direcciones de conversaciones compartidas de Muse, todas bajo el dominio `cf.metaaiusercontent.com`, sacadas con una sola consulta a un servicio comercial de DNS pasivo.
- Qué se podía leer: casi todas las que seguían vivas se abrían en una ventana de incógnito, sin cuenta de Meta y sin pedir permiso. Claroc abrió unos cientos. La mayoría eran inofensivas, pero encontró decenas de documentos personales y de empresa.
- Cuándo se avisó: Claroc lo reportó al programa de recompensas por fallos de Meta el 8 de octubre. Según Ars, su cofundador y CTO, Asaf Aprozper, también intentó contactar con gente de Meta por LinkedIn sin respuesta. Publicó el informe el 18 de octubre.
- Qué ha hecho Meta: pausar la función de compartir mientras revisa el informe y estudia cambios en cómo se pueden descubrir esos enlaces.
¿Mis chats compartidos de Muse son públicos?
Si compartiste una conversación de Muse con un enlace, cualquiera que tuviera ese enlace podía abrirla, y Meta lo diseñó así a propósito. El problema añadido es que el enlace se podía encontrar sin que nadie te lo pasara.
A día de hoy la función está pausada. Claroc volvió a probar el 20 de octubre 40 conversaciones que antes se abrían sin cuenta y ninguna cargó: las direcciones devolvían error. Lo que no desaparece es el nombre. Los títulos de esas conversaciones siguen guardados en el historial del DNS pasivo, así que alguien puede saber que existía un "presupuesto de venta de casa" aunque ya no pueda leerlo.
Cómo se encontraban los enlaces sin que nadie los pasara
La explicación tiene una parte técnica, pero se entiende bien.
Cuando pides a Muse que comparta una conversación, crea una página y te da un enlace. Ese enlace se construye con el título de la conversación (una frase corta que resume de qué va) más un código aleatorio. Lo que hace distinto a Muse es que mete ese título en el subdominio, la parte de la dirección que va antes del dominio principal. Un ejemplo inventado por Claroc para ilustrarlo: `home-sale-budget-9f21c8a3.cf.metaaiusercontent.com`.
Cada vez que alguien abre una página, su navegador pregunta al DNS (la guía telefónica de internet) a qué servidor corresponde esa dirección. Hay empresas que registran esas consultas y venden el acceso a la base de datos: es lo que se llama DNS pasivo. Así que la primera vez que el destinatario abría el enlace, la dirección completa, título y código aleatorio incluidos, quedaba apuntada en un índice que se puede buscar.
El código aleatorio era lo bastante largo como para que nadie lo adivinara. Pero nadie tenía que adivinarlo: aparecía escrito en el registro, al lado del título. "Si nos lo hubieras preguntado antes, habríamos dicho que reunirlos costaría un esfuerzo real. Bastó una consulta", escriben los investigadores.
Muse sí tomó la precaución de siempre: su archivo robots.txt pide a Google y a los rastreadores de IA que no indexen las páginas compartidas. Eso funcionó, porque Claroc nunca pasó por un buscador. Tampoco hizo falta: además del DNS pasivo, el servicio público urlscan.io ya guardaba más de 75 capturas de páginas compartidas de Muse.
Qué había dentro
Claroc describe seis páginas por categoría, sin nombres ni enlaces:
- Las notas de un candidato preparando una llamada confidencial de búsqueda de directivos con un laboratorio de IA puntero, con el nombre del contacto interno del laboratorio y la hora de la reunión.
- La revisión de ingresos de una empresa de marketing de ámbito nacional, marcada para su consejero delegado.
- La solicitud de préstamo de un pequeño empresario, con la cantidad pedida.
- Una lista de tareas con una alerta de fraude bancario, un número de cuenta parcial y el importe y la hora de la operación.
- El informe interno de un inversor inmobiliario, con dos direcciones de inmuebles y cifras exactas de rentabilidad, ingresos e hipoteca.
- El calendario de vacaciones de todo un año de una plantilla, con decenas de empleados y la semana en que cada uno estaría fuera.
Claroc dice que no tiene pruebas de que nadie haya usado mal esas páginas, y que no puede saber cuánto tiempo estuvo accesible cada una ni si alguien las encontró antes.
No es la primera app de IA a la que le pasa
En 2025 aparecieron conversaciones compartidas de ChatGPT en los resultados de Google y OpenAI retiró la opción que las hacía indexables. Semanas después, Google tenía indexadas más de 370.000 conversaciones de Grok. Claude también tuvo chats compartidos en el buscador.
Lo de Muse llega además en un mal momento para Meta. Mark Zuckerberg presentó el agente como algo "construido desde cero para la privacidad y la seguridad", y a las tres semanas del lanzamiento el investigador Patrick Wardle encontró un fallo en Muse para Mac que dejaba a cualquier otra app del mismo ordenador tomar el control de la cuenta. Meta le restó importancia porque hacía falta tener el equipo ya comprometido.
En su respuesta a Ars, Meta recuerda que abrió el programa de recompensas de Muse para que los investigadores le pasaran casos así, y dice que las páginas compartidas las ve "quien tenga el enlace". Es verdad, pero el enlace no avisaba de que su título iba a quedar apuntado en una base de datos pública.
Qué hacer si en tu empresa alguien usa Muse
Muse no necesita que nadie de sistemas lo instale ni lo apruebe, así que puede haber gente de tu equipo usándolo ya. Estas son las recomendaciones que da Claroc en su informe:
1. Averigua quién lo usa. Mira en el proxy o en tu herramienta de seguridad quién entra en muse.ai y si está creando enlaces compartidos con datos de la empresa. 2. Explica qué hace un enlace compartido. Compartir una conversación de un asistente de IA la publica como página abierta a quien tenga el enlace. Ponlo en la política de uso de IA, junto a lo que se puede pegar en un asistente. 3. Trata el enlace compartido como una salida de datos. Si tienes una herramienta que vea la actividad en apps SaaS y de IA, que avise cuando alguien cree un enlace público. 4. Si no puedes verlo, bloquéalo. Deniega muse.ai y metaaiusercontent.com en el proxy o en el filtro DNS de los equipos de empresa mientras montas algo mejor.
Por qué importa
El agente que más rápido crece en Estados Unidos tenía una función que publicaba, sin decirlo, el título de cada conversación compartida. Y la gente comparte con un asistente justo lo que no colgaría en una web: préstamos, nóminas, reuniones que nadie debe saber que existen.
Muse de momento solo funciona en Estados Unidos y Canadá, pero la lección vale para cualquier asistente que uses en España, sea ChatGPT, Claude o Gemini. Antes de pulsar "compartir", asume que la conversación es pública. Y si tienes un equipo, crea tú un enlace de prueba en las herramientas que usan y mira qué aparece en la dirección. Claroc lo encontró con una consulta; cualquiera con acceso a la misma base de datos puede hacerlo también.
Fuente original: blog.claroc.io
Relacionado
