Investigadores de seguridad de SlowMist, una firma de seguridad blockchain, han divulgado una vulnerabilidad de día cero en Muse, un asistente de IA para Mac, advirtiendo que la falla podría permitir que procesos no autorizados secuestren el asistente y pongan en riesgo significativo los datos sensibles de los usuarios. La alerta fue emitida por la cuenta @SlowMist_Team en X (publicación original aquí).

Según la divulgación, procesos locales que se ejecutan en la misma máquina pueden redirigir los comandos dictados por los usuarios a puntos de conexión controlados por atacantes en lugar de su destino previsto. Ese mecanismo crea condiciones para la inyección de prompts y el acceso no autorizado a datos personales, incluidos registros financieros. En términos prácticos, el riesgo proviene de procesos que ya se ejecutan en la Mac del usuario, razón por la cual la guía provisional de los investigadores se centra en el software que los usuarios eligen instalar.

Hasta que se implemente una solución, SlowMist insta a los usuarios a mantenerse alerta y evitar instalar software relacionado con Muse de fuentes no confiables.

Cómo funciona la falla

Muse es un asistente activado por voz diseñado para usuarios de Mac que les permite completar tareas y recuperar datos mediante comandos dictados. El día cero recién descubierto convierte este modelo de interacción en una superficie de ataque: los comandos hablados de un usuario pueden ser interceptados localmente y redirigidos a servidores bajo el control de un atacante.

Las consecuencias potenciales son graves. Los comandos redirigidos pueden usarse para montar ataques de inyección de prompts —una técnica en la que entradas manipuladas alteran el comportamiento de un sistema de IA— y podrían exponer la información personal que maneja el asistente, siendo los registros financieros una de las categorías de datos en riesgo.

Contexto y orientación para usuarios

La divulgación llega en medio de un aumento generalizado de amenazas de ciberseguridad que afectan a las aplicaciones de IA y sirve como recordatorio de las vulnerabilidades que pueden existir en software utilizado diariamente por millones de personas. También subraya la necesidad de que los desarrolladores prioricen la seguridad en aplicaciones que procesan información personal sensible.

La designación de día cero se refiere a una falla de seguridad divulgada antes de que exista una solución disponible, dejando a los usuarios con poco tiempo para protegerse. No había una solución inmediata disponible al momento de la alerta y losadores señalan que se requieren precauciones urgentes mientras tanto. Se recomienda a los usuarios evitar instalaciones relacionadas con Muse de fuentes no confiables y monitorear los canales oficiales para conocer avisos y estrategias de mitigación.

Entre los desarrollos a observar está si los desarrolladores de Muse lanzan un parche de software que aborde la falla. Se anima a los usuarios a mantenerse informados sobre actualizaciones de seguridad y posibles exploits a medida que evoluciona la situación, con el fin de salvaguardar la integridad de sus datos.

Este artículo tiene fines informativos únicamente y no constituye asesoramiento financiero.

Fuente: Coinfomania