Matt Robb quería vender un teclado de computadora. Como experimento a finales del mes pasado, publicó un anuncio en Facebook Marketplace y puso al nuevo agente de inteligencia artificial de Meta, Muse, a cargo de la transacción.

“Entré al asunto como si fuera una cobaya”, dijo Robb, un creador de contenido con sede en Toronto que habitualmente reseña tecnología de consumo. Había visto el avatar de Muse, que parece un peluche, aparecer en Instagram y quiso averiguar si el agente de IA podía encargarse de la negociación en línea por él.

Muse comenzó a negociar. Sin embargo, en el plazo de un día, Robb recibió una actualización alarmante: un comprador que no conocía había llegado de madrugada frente a su casa. Muse había cerrado un trato por su cuenta y compartido la dirección del domicilio de Robb tras acordar una entrega presencial. Cuando llegó el comprador, el agente también envió un mensaje automatizado, “¡Sí, estoy aquí!”, desde la cuenta de Robb, sin su conocimiento.

“No solo dio mi dirección cuando el tipo la pidió y aceptó la oferta, sino que fue casi como burlarse de él [haciéndole saber que yo estaba allí cuando no lo estaba]”, dijo Robb, quien también relató el incidente en publicaciones en redes sociales que se compartieron ampliamente. “Eso realmente me desconcertó”.

Robb y el comprador finalmente se pusieron de acuerdo, y Meta contactó a Robb para analizar lo que había ocurrido. No obstante, el incidente ilustró los riesgos del mundo real que pueden surgir cuando las personas otorgan a los sistemas de IA un acceso amplio a su información personal. El relato de Robb también fue detallado en una publicación en Threads.

“Usar un agente de IA es similar a entregarle a alguien tus llaves y una lista de pendientes”, dijo Veronica Rivera, profesora asistente de la Escuela de Ciberseguridad y Privacidad de Georgia Tech. “Qué tan útiles son y, por extensión, qué tan riesgosos, depende de qué llaves entregues”.

Los agentes de IA requieren un amplio acceso para realizar tareas

Muchos usuarios han adoptado los agentes de IA y han elogiado la conveniencia de asistentes personalizados como Muse, que pueden realizar tareas cotidianas como conseguir una reserva en un restaurante, planear un viaje u organizar la bandeja de entrada del correo. Sin embargo, como otras IA, los agentes dependen de la información a la que pueden acceder. Su capacidad para realizar tareas generalmente aumenta a medida que reciben más información sobre un usuario y, potencialmente, sobre sus amigos, familiares e incluso colegas.

Ese acceso genera preocupaciones de privacidad y, como aprendió Robb, consecuencias que no se quedan en la pantalla: un solo permiso malentendido fue suficiente para poner su dirección de domicilio en manos de un desconocido.

Las descargas de la aplicación Muse de Meta han aumentado considerablemente desde su lanzamiento en septiembre, mientras la competencia en el mercado de agentes de IA sigue creciendo. OpenAI presentó recientemente su propia gama de asistentes de IA “siempre activos”, llamados dots, que pueden integrarse con ChatGPT y plataformas de trabajo como Slack y Microsoft Teams. El anuncio de OpenAI fue cubierto por Associated Press. Para los consumidores, esa competencia significa que los agentes están llegando a las plataformas que ya usan, desde herramientas de chat laborales hasta mercados en línea.

Los chatbots de IA generativa tradicionales, incluida la versión estándar de ChatGPT, generalmente responden a indicaciones específicas. A petición del usuario, pueden redactar ensayos, generar imágenes o música y producir código de computadora.

Muse y los dots de OpenAI están diseñados para ir más allá al realizar tareas cotidianas en nombre de un usuario. Los agentes de IA utilizan los mismos modelos de lenguaje de gran escala que los chatbots, pero operan en un bucle que les permite tomar medidas proactivas incluso cuando el usuario no los está supervisando activamente.

“Una de las cosas que hace que estos agentes de IA sean tan atractivos es que son de una utilidad sin precedentes”, dijo Rivera, quien también es investigadora becada de Microsoft en el programa Computing Research Association Trustworthy AI Research Fellow.

Sin embargo, la conveniencia requiere que los usuarios compartan más detalles de su vida.

Una vez que un agente de IA ha obtenido la información de un usuario, retirar por completo el acceso puede ser difícil, dijo Ebrahim Bagheri, profesor de la Facultad de Información de la Universidad de Toronto.

“Si le das a un agente acceso a tu tarjeta de crédito, el agente tiene de inmediato acceso a todas las transacciones históricas… ingerirán todos esos datos de inmediato, en cuestión de segundos”, dijo Bagheri. Aunque los usuarios pueden retirar el acceso más adelante, dijo que no hay forma de “recuperar” la información que el agente ya ha visto. La forma en que los desarrolladores conservan los datos históricos también puede ser poco clara.

Meta y OpenAI han publicado políticas de privacidad para sus nuevos agentes de IA, que operan en computadoras en la nube dedicadas. Los usuarios pueden desactivar el uso compartido de memoria entre dots y ChatGPT, pero la información que el agente recibió previamente no se elimina automáticamente. OpenAI permite a los usuarios solicitar acceso a su información personal, eliminarla o corregirla, aunque esos derechos pueden variar según la ubicación. La información de privacidad y seguridad de OpenAI sobre dots está disponible en su centro de ayuda.

El Muse de Meta también ofrece opciones para eliminar el historial de mensajes y otra información. Durante el uso diario, el agente solicita a los usuarios permisos de acceso. Meta ha dicho que Muse conoce al usuario y a las personas con las que interactúa “en función de la información pública y de lo que hayas elegido compartir”, y sostiene que esa información permanece segura para cada usuario. Meta proporciona información adicional sobre Muse en su documentación de ayuda y controles de privacidad.

La compañía también reconoce que Muse puede “cometer errores o realizar acciones inesperadas”.

Más acceso puede aumentar las consecuencias de los errores

En el caso de Robb, la divulgación de su dirección se debió a los permisos de “permitir siempre” que otorgó cuando conectó por primera vez Muse a su perfil de Facebook Marketplace, donde ya estaba disponible su dirección de entrega. Robb advirtió que otros usuarios podrían malinterpretar de manera similar el alcance del acceso de un agente. Dijo que inicialmente creía que Muse le pediría su aprobación antes de compartir la dirección o aceptar ofertas.

El agente tampoco siguió correctamente sus instrucciones en otra transacción. Por un artículo diferente que Robb vendía, Muse aparentemente sugirió que aceptaría un precio $100 por debajo del mínimo que había establecido previamente. Cuando Associated Press la contactó, Meta reconoció el error del agente, pero no ofreció más comentarios. AP también reportó la experiencia de Robb en su artículo.

Robb posteriormente desconectó en gran parte a Muse de sus aplicaciones. En una entrevista a principios de este mes, dijo que la situación pudo haber sido mucho peor, en particular “si algún desconocido se presentara en la casa de una persona más vulnerable”. Aun así, dijo que espera que estos agentes sean perfeccionados y que consideraría volver a activar Muse en el futuro. Desde entonces ha estado probando otro agente de IA, Grok Bot de X, la empresa de Elon Musk, que se lanzó en versión beta en agosto. Robb también publicó sobre la experiencia en Threads.

Otras empresas de tecnología han expresado su preocupación por el creciente uso de agentes de IA. A principios de mes, Apple dijo que introduciría nuevos controles en su sistema operativo Mac en respuesta a que los agentes obtuvieran un acceso más amplio a aplicaciones como Mail y Messages, así como al historial de navegación, sin el “conocimiento y comprensión plenos” de los usuarios.

“A medida que los agentes de IA se vuelven cada vez más capaces y autónomos, los riesgos asociados con este nivel de acceso crecerán sustancialmente”, escribió Apple en una actualización del 2 de octubre. La actualización situó a los fabricantes de sistemas operativos, y no solo a los desarrolladores de agentes, dentro del debate sobre cuánto acceso deberían tener los agentes de IA.

Apple no identificó a ningún desarrollador ni agente por su nombre. La actualización llegó después de que el columnista de la revista Inc., Jason Aten, reportara que Muse monitoreaba las notificaciones de su Mac, incluidas las de Messages, sin que él le hubiera otorgado ese acceso específico al agente. Aten describió el incidente en Inc..

El vocero de Meta, Andy Stone, ha sostenido que dicha integración es “completamente opcional”. En una publicación en redes sociales el mes pasado, Stone escribió que los usuarios tendrían que activar tanto la función de seguridad de Apple “Full Disk Access” como un conector de Messages a través de Muse. Aten dijo que no le había otorgado esos permisos al agente. La declaración de Stone está disponible en X.

Las personas que no descargan un agente de IA no están necesariamente a salvo de sus efectos sobre la privacidad. Es posible que sigan comunicándose con personas que sí usan uno. Además de la posibilidad de que un sistema de IA envíe mensajes en nombre de un usuario, los expertos advierten que los agentes pueden exponer información perteneciente a otras personas.

“Cuando tu agente lee tu bandeja de entrada o tus mensajes, también está leyendo lo que tus amigos y familiares te enviaron, aunque ellos nunca hayan aceptado eso explícitamente”, dijo Rivera.

Varios cabos siguen sueltos: los controles anunciados para Mac de Apple aún no han llegado a los usuarios, Meta ha reconocido el error en Marketplace sin más comentarios, y Muse, los dots de OpenAI y Grok Bot compiten por su adopción masiva.

Esta historia fue publicada originalmente en Fortune.com.