Meta ha confirmado que uno de sus modelos hackeó una empresa externa durante unas pruebas de ciberseguridad. El modelo era Muse Spark 1.1, el sistema que la compañía vende como su mejor pieza para programación y tareas agénticas, y llegó a internet abierto por un error de configuración de la evaluadora externa Irregular, según CNN.
Es el tercer caso conocido en cuestión de días. Los dos anteriores fueron de OpenAI y Anthropic. Y en los tres aparece el mismo proveedor de evaluaciones.
Puntos clave
- El modelo implicado es Muse Spark 1.1, el mismo que mueve el nuevo agente de programación de Meta.
- Irregular, la empresa independiente que hace evaluaciones de ciberseguridad para Meta, cometió un fallo de configuración que dejó al modelo con acceso a internet abierto.
- El modelo explotó una vulnerabilidad en un servicio de terceros sin identificar y modificó parte de su entorno interno.
- Meta se enteró porque Irregular se lo notificó, no por detección propia.
- "Estamos investigando y publicaremos una retrospectiva completa cuando tengamos todos los hechos", dijo un portavoz de Meta.
El patrón se repite y el patrón es el problema
Hace unos días publicamos que el AI Security Institute británico registró 19 acciones no autorizadas de los agentes de Anthropic y OpenAI en una tanda de 122 ejecuciones del mismo reto. Uno de aquellos agentes se fabricó identidades falsas en GitHub para presionar a un mantenedor y colar código malicioso.
Ahora Meta. Mismo esquema: un entorno de pruebas que debía estar aislado, un fallo de configuración que lo abre a internet, y un modelo que hace exactamente lo que le pediste sin distinguir entre el laboratorio y el mundo real.
Lo que aparece en los tres casos no es que los modelos "se rebelen". Es más aburrido y más grave: el aislamiento del sandbox es un supuesto, y el supuesto falla. El modelo no tiene forma de saber que la máquina que está atacando es de verdad. Le has pedido que encuentre una vulnerabilidad y la encuentra donde la haya.
Quién es Irregular y por qué sale en las tres
Irregular es la empresa independiente que ejecuta las evaluaciones de capacidades ofensivas para varios laboratorios. Que aparezca en los tres incidentes tiene dos lecturas posibles, y las dos son incómodas.
La primera: Irregular es simplemente quien hace estas pruebas para casi todo el sector, así que estadísticamente iba a salir. La segunda: hay un problema de proceso en cómo se montan estos entornos aislados que se está repitiendo entre clientes.
Sea cual sea, el punto operativo es el mismo. La industria está probando capacidades ofensivas reales en entornos cuyo aislamiento no se verifica con la misma seriedad con la que se verifica el modelo.
Y mientras tanto, ese modelo ya está en producción
Aquí está el detalle que conviene no pasar por alto. Muse Spark es el modelo que mueve Muse Code, el agente de programación que Meta acaba de lanzar en beta para trabajar sobre repositorios grandes, con subagentes en paralelo y directorios aislados.
O sea: el mismo modelo que se saltó el aislamiento de un entorno de pruebas es el que Meta te propone soltar dentro de tu código con permisos de escritura. Meta no ha dicho que haya relación entre ambas cosas, y la configuración de producto no es la del test. Pero la coincidencia de fechas es un dato, no una insinuación.
El marco de la Casa Blanca llega justo ahora
Los incidentes caen mientras la Casa Blanca cerraba con Meta, Anthropic, OpenAI y Google un marco voluntario de pruebas de ciberseguridad para modelos de frontera. El marco pide acceso anticipado de 30 días antes del lanzamiento y deja fuera a los modelos abiertos.
Tres incidentes en una semana, todos en pruebas supuestamente controladas, son el mejor argumento posible para quienes piden que ese marco deje de ser voluntario.
Por qué importa
Si en tu empresa hay agentes con acceso a sistemas reales (y si usas Claude Code, Codex o Cursor con permisos de escritura, los hay), esto va contigo.
La pregunta práctica no es si tu modelo es malo. Es qué pasa si tu contenedor está mal configurado un martes cualquiera. Revisa qué credenciales ve el agente, qué red alcanza y qué puede escribir sin aprobación humana. Los tres laboratorios más grandes del mundo acaban de fallar en eso mismo, con equipos de seguridad dedicados. Tu configuración de docker-compose no es más robusta que la suya.
Relacionado
