Meta ha pagado unos 1,2 millones de dólares por informes de vulnerabilidades que afectan a su agente de IA Muse, entre ellos 300.000 dólares por un fallo que expuso conversaciones y tokens en sistemas de prueba internos antes del lanzamiento. SecurityWeek informó de que los hallazgos también incluían ataques que involucraban páginas web maliciosas, códigos de acceso de correo electrónico y las aplicaciones de escritorio y móvil de Muse.
Muse actúa en nombre de los usuarios en el correo electrónico, los calendarios, la mensajería y otras cuentas, y el agente de cada usuario se ejecuta en su propia máquina virtual, es decir, un equipo informático separado creado por software. Los hallazgos divulgados se refieren a varias formas en que los atacantes podrían cruzar esos límites de acceso, con condiciones que van desde pedirle a Muse que resuma una página maliciosa hasta que el atacante ya tenga acceso a un Mac.
David Singleton, de Meta, afirmó en una entrada de blog citada por SecurityWeek que el programa de recompensas comenzó en privado en abril y se abrió al público cuando Muse se lanzó el 8 de septiembre. Los investigadores enviaron más de 630 informes, de los cuales 64 eran válidos.
Un cambio de proxy rompió una comprobación de confianza
La recompensa más alta divulgada, de 300.000 dólares, se concedió cuatro meses antes del lanzamiento, durante las primeras pruebas internas. Un investigador demostró el acceso a conversaciones y tokens en máquinas virtuales previas al lanzamiento que los empleados de Meta usaban para probar Muse.
Singleton explicó que una comprobación de autenticación aceptaba una cabecera, un campo adjunto a una solicitud web, procedente de un proxy HTTPS local como prueba de que la solicitud provenía de una fuente de confianza. Una migración de sistemas introdujo una segunda capa de proxy, lo que permitió que las solicitudes externas también llevaran esa cabecera de confianza.
Meta desconectó el servicio, corrigió el fallo y dejó de considerar de confianza la máquina local.
Páginas maliciosas, códigos de acceso y credenciales de aplicaciones
Un informe aparte, por el que se pagaron 90.000 dólares, mostró cómo una página web maliciosa podía imitar mensajes de estado de la herramienta de navegación de Muse cuando se le pedía al agente que la resumiera. Se trataba de un ataque de inyección de prompt: el contenido de la página intentaba dirigir el comportamiento del agente. Singleton dijo que esto hizo que Muse realizara acciones que deberían haberse detectado.
Meta añadió señales de detección y cambió la forma en que Muse gestiona la salida sospechosa de las herramientas. La compañía afirma que sus clasificadores detectan ahora ese ataque y otras 100 variantes en las pruebas.
Otro investigador ganó 90.000 dólares por demostrar que un formato concreto podía eludir los filtros de redacción del correo electrónico de Muse que ocultan los códigos de acceso de un solo uso. Meta describió este bypass como un componente de un ataque de extremo a extremo.
Un fallo en Android valió 50.000 dólares. Una aplicación maliciosa podía pasar un enlace a una vista web privilegiada, un navegador integrado con acceso a las credenciales de la aplicación. El gestor de enlaces reconocía una ruta de página compartida sin comprobar el host, lo que permitía que una página controlada por el atacante se cargara y capturara esas credenciales.
Un hallazgo en una aplicación para Mac recibió 1.000 dólares. Requería que el atacante tuviera acceso al equipo, desde el que podía secuestrar la función de actualización automática y ejecutar código con los permisos de la aplicación.
Para los investigadores que evalúan Muse, Meta ofrece hasta 300.000 dólares por informe válido, un máximo que, según afirma, es varias veces superior a las recompensas más altas anunciadas por otros desarrolladores líderes de IA. Una inyección de prompt que afecte a un solo usuario puede ganar hasta 130.000 dólares; un compromiso en toda la flota puede llegar a 250.000 dólares.
