El asistente Muse de Meta mantiene dosieres de las personas cercanas y obtiene root en Ubuntu por defecto

El asistente personal Muse de Meta (organización reconocida como extremista en el territorio de Rusia, donde su actividad está prohibida) mantiene «dosieres» sobre los amigos y la familia de su propietario y, en la instalación por defecto, obtiene root, es decir, derechos de administrador completo, en el sistema operativo Ubuntu. Así lo indican los primeros análisis de los archivos del agente, realizados por especialistas en seguridad. Muse pertenece a la segunda oleada de asistentes personales de AI, en la que también figura Dots de OpenAI: leen el correo, los mensajeros y la cuenta bancaria, y pueden actuar en nombre del usuario.

Pero no recopilan datos solo del propietario, sino de todas las personas vinculadas a él, incluidas aquellas que nunca instalaron ningún asistente.

Qué se encontró en el sistema de archivos de Muse

Los asistentes de nueva generación sustituyen a los chatbots, que carecían de memoria avanzada y de acceso a datos personales. Continúan la línea de los primeros agentes como OpenClaw e Instinct. Las operaciones financieras de Muse siguen requiriendo confirmación física del propietario. La recopilación de datos privados, en cambio, es automática y no necesita peticiones específicas.

Los investigadores descubrieron que, con los parámetros de instalación por defecto, el agente obtiene derechos de root en Ubuntu, acceso a la memoria RAM y a cron.d, es decir, al planificador de tareas. También tiene acceso a gigabytes de archivos del usuario, incluidas las claves SSH. El nombre interno del agente en el código y la documentación es Hatch, y lo más interesante se encuentra en los directorios /home/hatch, /opt/hatch y /opt/hatch-image. En el directorio agents/ aparecieron registros de 113 subagentes en formato JSONL.

La parte más voluminosa del programa es el framework Spaces, para crear y publicar aplicaciones. La plantilla inicial incluye un cliente en React, actions de servidor, un esquema de Drizzle para SQLite, migraciones SQL y la configuración de Bun, todo en TypeScript.

Cómo funciona la memoria:

Markdown, tareas cada hora y «sueños»

La memoria de Muse se almacena en archivos Markdown corrientes. Los archivos con fecha en ~/memory/ registran los detalles de cada día, y el agente puede actualizarlos directamente durante una conversación. Las tareas en segundo plano se ejecutan cada hora: extraen los fragmentos relevantes, los clasifican por temas y los escriben en distintos archivos de memoria. PostgreSQL hace que esos archivos permitan búsquedas.

Por separado funciona un proceso nocturno de «sueños». Revisa las conversaciones recientes y escribe recomendaciones para sesiones futuras, mientras que los «sueños» antiguos se guardan en ~/dreams/. Según su descripción, el sistema de borrado de recuerdos está diseñado para eliminar todo rastro sin posibilidad de recuperación.

Dosieres sobre personas cercanas que no dieron su consentimiento

Otro especialista en seguridad analizó el sistema de archivos de forma independiente y halló un detalle más. Una de las instrucciones exige crear una «página para cada persona en la vida del usuario». Forma parte del mismo proceso horario en segundo plano. Este recopila datos sobre familiares, parejas, amigos, colegas, «coautores» (collaborators) y personas a las que el usuario «sigue».

La página empieza casi vacía y luego se rellena con las secciones «Hechos», «Historia», «Relaciones», «Lo común», «Temas abiertos» y «Fortalecimiento» (Strengthening). La instrucción exige basarse solo en «pruebas» reales: los detalles inventados se consideran peor que una página vacía. Los ejemplos incluyen el lugar de residencia, las ocupaciones, temas recurrentes como una mudanza a un piso o un objetivo común de ahorro, así como cumpleaños y aniversarios. En el dosier también pueden entrar eventos como un viaje en marzo o una discusión que ya se resolvió.

Además, el agente describe lo cercanas que son las personas, en qué se basa su relación, cómo se comportan entre sí y qué necesitan en ese momento, según su propia valoración. La sección «Fortalecimiento» propone motivos para llamar, fechas señaladas, temas que los interlocutores querían tratar más adelante y formas de apoyo moral. El objetivo oficial está claro: dar consejos sobre relaciones y sugerir lugares de encuentro. Pero en la práctica se acumula información personal sobre personas que no aceptaron esa recopilación. Esa información complementa el grafo social que las corporaciones ya han reunido en redes sociales y mensajeros.

Qué dice la defensa y qué preguntas quedan abiertas

Como protección, Muse crea una máquina virtual (VM) aislada con los datos y el contexto del usuario. Otros agentes no tienen acceso a ella, y el propietario puede borrar la memoria o desconectar los servicios externos en cualquier momento. Según el diseño, esta arquitectura impide la formación de un enjambre (swarm) de agentes personales que se comunicarían entre sí y formarían una inteligencia colectiva. En el desarrollo de la VM aislada participó un conocido especialista en seguridad, Moxie Marlinspike, autor de Signal.

El aislamiento protege los datos frente a otros agentes, pero no responde a la pregunta de qué tiene derecho a acumular el agente sobre terceros. La fuente no aclara si personas ajenas pueden ver esas páginas ni si es posible prohibir que se cree una página sobre uno mismo. Los amplios permisos por defecto también plantean dudas: el acceso root y las claves SSH en la configuración estándar parecen excesivos para un asistente. Quienes piensen instalar este tipo de agentes deberían revisar los parámetros de instalación, limitar el acceso al sistema de archivos y examinar periódicamente los directorios de memoria.