Muse entregó las llaves del sistema
Según dos desarrolladores, Meta Muse entregó casi sin resistencia el contenido de su sistema de archivos. Peter James y Jonny L. Saunders afirman por separado que lograron que el servicio crease un archivo ZIP y transfiriese prácticamente todo el contenido del sistema de archivos raíz.
Según se ha informado, no se trataba solo de datos de usuario. El archivo podría incluir archivos del sistema Ubuntu, plantillas de aplicaciones y documentación interna relacionada con el funcionamiento del entorno. En otras palabras, la máquina virtual, que debía ser un espacio de trabajo aislado, empezó a comportarse como ese vecino demasiado hablador que está dispuesto a llevarse hasta los cables de casa.
James fue el primero en describir públicamente el resultado, y Saunders afirmó que había repetido el experimento por su cuenta. Según él, fue «extraordinariamente fácil» y Muse tenía una «resistencia casi inexistente al prompt injection»: ataques en los que unas instrucciones formuladas deliberadamente hacen que la IA incumpla las restricciones establecidas.
No hay que confundir el prompt injection con el robo de una contraseña: el atacante no tiene por qué conseguir acceso directo al sistema. Intenta convencer al modelo para que realice una acción que sus desarrolladores no querían permitir. En este caso, según los investigadores, se podía inducir al modelo a empaquetar y entregar archivos de la máquina virtual.
Meta niega que lo ocurrido constituya un fallo de seguridad. La empresa señala que Muse se ejecuta para cada usuario en una máquina virtual Linux persistente e independiente. Esa arquitectura debería limitar las consecuencias de este tipo de experimentos y separar el entorno de trabajo de cada usuario tanto de la infraestructura de Meta como de los demás usuarios.
Sin embargo, la mera existencia de una máquina virtual no responde a la pregunta principal: qué archivos puede entregar el modelo y a quién pertenecen. Si el servicio realmente comparte componentes del sistema, plantillas y documentos internos tras recibir unas pocas instrucciones, el problema quizá no sea una «fuga» de la máquina virtual, sino los permisos excesivamente amplios de la propia Muse.
Por ahora, las declaraciones públicas de las partes no coinciden. Los desarrolladores afirman que el resultado se reproduce fácilmente y que la protección frente al prompt injection es débil, mientras que Meta no considera que haya habido un incidente de seguridad. La información disponible no confirma que se hayan revelado datos de otros usuarios ni la infraestructura básica de la empresa, pero la demostración deja claro que hasta un entorno aislado puede ser demasiado generoso si se deja que la IA decida por su cuenta qué puede compartir.
PEREC.RU
El caso de Meta Muse muestra una característica preocupante de los servicios de IA: una máquina virtual aislada no garantiza que el modelo se comporte de forma segura dentro de ella. Dos desarrolladores, Peter James y Jonny L. Saunders, aseguran que lograron, casi sin indicaciones, que Muse empaquetara y transfiriese en un archivo ZIP el contenido del sistema de archivos raíz. Según ellos, entre los materiales accesibles había archivos del sistema Ubuntu, plantillas de aplicaciones y documentación interna.
Saunders calificó de «extraordinariamente fácil» reproducir el experimento y escribió que Muse apenas tenía protección frente al prompt injection. El término describe ataques en los que se induce a un modelo, mediante instrucciones formuladas deliberadamente, a realizar acciones que contradicen las restricciones de sus desarrolladores. En este caso, el supuesto ataque no parecía un acceso directo al servidor: se podía convencer al modelo para que recopilara archivos y se los enviara al usuario.
Meta niega que lo ocurrido deba considerarse un fallo de seguridad. La empresa subraya que Muse se ejecuta para cada usuario en una máquina virtual Linux persistente e independiente. Esa arquitectura debería aislar el entorno de trabajo e impedir el acceso a la infraestructura de Meta o a los datos de otros usuarios.
Pero la propia máquina virtual no explica qué permisos tiene el modelo dentro de ese entorno. Si Muse realmente puede leer y enviar componentes del sistema, el problema podría estar relacionado con permisos demasiado amplios y no con una salida de los límites de la máquina virtual.
La información pública disponible no confirma que se hayan filtrado datos de otros usuarios ni que se haya accedido a la infraestructura principal de Meta. Por tanto, lo más preciso es hablar de una vulnerabilidad denunciada por investigadores y de una disputa sobre su gravedad, no de un ataque masivo demostrado. Sin embargo, si se confirma que el experimento se reproduce con tanta facilidad, quedará en entredicho la eficacia de las restricciones que la empresa ha impuesto al servicio de IA.
