Meta suspende la función para compartir conversaciones de Muse tras una alerta

Meta ha suspendido la función para compartir mediante enlaces de Muse, su agente de inteligencia artificial, tras los hallazgos comunicados por los investigadores de Claroc. En una respuesta a Ars Technica, la empresa indica que está examinando el aviso y que estudia cambios en la forma en que pueden descubrirse estos enlaces. Esta suspensión constituye la respuesta anunciada a una exposición de contenidos personales y profesionales.

Según Claroc, los investigadores pudieron enumerar 6.800 enlaces para compartir conversaciones. Abrieron unos cientos y afirman haber encontrado información claramente destinada a un círculo restringido: la preparación para una entrevista confidencial, una revisión interna de ingresos, una solicitud de préstamo o un calendario de vacaciones de empleados. Por tanto, el número de enlaces localizados no debe confundirse con el de conversaciones efectivamente examinadas ni con un recuento de personas afectadas.

El problema descrito radica en la construcción de las direcciones. Muse incluía el título de la conversación en un subdominio, acompañado de una larga cadena de caracteres. Sin embargo, las respuestas DNS pueden observarse y conservarse después en bases de datos históricas consultables. Según la explicación publicada por Ars Technica, cuando el destinatario abría el enlace, podía dejar un rastro que permitiera encontrar posteriormente la dirección en estos servicios.

Por tanto, una cadena difícil de adivinar no bastaba para que el enlace fuera difícil de descubrir. El título integrado en la dirección también aportaba una pista sobre el contenido compartido. Esta distinción es fundamental: una página accesible para cualquier persona que disponga de su enlace también depende de que ese enlace se mantenga reservado. En el caso descrito, el diseño del subdominio debilitaba precisamente esa reserva.

Claroc afirma haber remitido sus resultados al programa de investigación de vulnerabilidades de Meta el 8 de octubre, sin recibir respuesta a sus gestiones. Meta, por su parte, confirma la suspensión de la funcionalidad mientras realiza su examen. Los elementos disponibles no permiten determinar cuántos terceros pudieron consultar las conversaciones antes de esta medida.

El incidente invita a examinar la confidencialidad al compartir contenidos como una propiedad del conjunto del proceso técnico. Para los asistentes que reciben documentos e intercambios sensibles, la facilidad de transmisión debe evaluarse junto con las posibilidades de descubrir las direcciones. La suspensión anunciada responde al mecanismo señalado; por sí sola, no documenta el alcance de las consultas anteriores.