Muse de Meta: el único auditor de privacidad es un modelo que alucina

Jason Aten quería que le gustara Muse. Lo escribió en Threads antes de soltar las capturas: el asistente de Meta le preguntaba por un diálogo que estaba teniendo en Messages. Según Aten, editor colaborador de Inc Magazine, no le había dado acceso a sus mensajes.

El post original iba más lejos. Aten alegaba que Muse vigilaba las notificaciones del Mac, mensajes incluidos, y las usaba sin divulgarlo. Lo calificó de "burn it all down" level bad. The Verge recogió el hilo y UA.NEWS, citando a The Verge, confirma la secuencia.

Cuando Aten le preguntó cómo sabía el contenido de sus mensajes, Muse no se calló. Contestó como quien te enseña las cartas:

I saw the notification previews, not your message history. I haven't been reading your texts.

Para un usuario normal, eso ya es el documento. Te acabo de decir qué toqué y qué no. Tranquilo.

David Singleton, de Meta Superintelligence Labs, intervino en el mismo hilo. Según The Verge, explicó los permisos que Muse necesita para leer mensajes, incluido dar a la app de Mac acceso completo al disco, y afirmó que las funciones son opt-in. Y soltó la frase que deja la confesión en evidencia: Muse "does not watch notifications on your Mac, but rather syncs data from Messages only after the user has specifically enabled access".

En el Mac, acceso completo al disco no es que la app vea la carpeta que le enseñas. Es el permiso gordo. Apple lo pone delante de datos que una aplicación normal no debería poder tocar, Messages incluido. Singleton dice que ese acceso, y la sincronización, van con el interruptor del usuario. No con la vista previa de una notificación. El problema, en la versión de Meta, no sería que Muse leyera de tapadillo. Es que Muse no sabía de qué estaba hablando.

Singleton admitió que el asistente, al decir que sincronizaba "device notifications", estaba confundido sobre cómo explicar la función y dio una explicación incorrecta de su propio funcionamiento. "That's on us". Meta se disculpó por la respuesta incorrecta y dijo estar trabajando para mejorar la comprensión del asistente sobre sus propios internos, para que conteste con corrección y consistencia cuando le preguntan cómo funciona.

The Verge pone el producto en su sitio: la app de Mac de Muse puede acceder a Messages, Calendar y Notes. Es parte de lo que lo hace efectivo. También, escribe el medio, "un poco creepy".

El único auditor es el modelo que alucina

AI Chat Daily nombra el nervio que The Verge deja en el adjetivo: los usuarios no distinguen con facilidad cuándo un asistente describe sus capacidades reales y cuándo alucina sobre sí mismo. Los modelos de lenguaje son narradores notoriamente poco fiables sobre su propia arquitectura, sus datos de entrenamiento y sus permisos. Describen con fluidez sistemas que no pueden ver.

El modelo no está mirando el código de Muse mientras te responde. Está produciendo la frase más convincente sobre cómo "suele" funcionar un asistente, y la fluidez hace el resto. Por eso la respuesta a Aten tenía forma de acta y contenido de conjetura.

En un chat de navegador, eso da para reírse. En un asistente que ya no solo responde, sino que trabaja sobre tus datos, con permiso de disco completo, la autodescripción deja de ser charla y funciona como divulgación de privacidad. Si el modelo adivina, la conjetura se lee como una confesión sobre lo que la app hace en tu máquina. Aten no recibió un registro. Recibió una narración segura de sí misma, y era lo único que tenía para auditar una app con la llave del disco.

AI Chat Daily añade el detalle que encaja con el agujero: según ese medio, Meta no ha publicado una especificación técnica de la integración de Muse con Mac que el usuario pueda consultar junto al chat. Preguntar al propio asistente es, como muestra el episodio, poco fiable.

Hay que acotar lo que no está en las fuentes. La declaración de Singleton llega vía The Verge y UA.NEWS; no consta una auditoría independiente del comportamiento real del producto. Tampoco recogen cómo llegó técnicamente el contenido del mensaje a Muse si el acceso a Messages no estaba activado. Lo que sí se sostiene es la asimetría: permisos profundos por un lado, y por el otro un chatbot como única fuente sobre lo que hace con ellos.

El incendio duró un día. El mecanismo sigue

El matiz honesto va al revés del titular de Aten, y también lo pone AI Chat Daily. El daño práctico para Meta fue pequeño: un hilo viral, una disculpa el mismo día de un ejecutivo con nombre y apellido, y ninguna evidencia publicada de una brecha real de privacidad. Eso no verifica que no hubiera brecha. Verifica que nadie ha publicado una.

Que un modelo se explique mal a sí mismo no es un hallazgo de espionaje. Es un modo de fallo que ya conocemos. Y el diseño que Singleton describe, permisos profundos, integración opt-in, un directivo explicándolos en público, no pinta como una tapadera. Pinta como un producto que se fía de que el modelo sepa contar lo que hace.

Las fuentes coinciden en la cronología y se pelean en el significado. Aten habla de vigilancia no divulgada. Meta, según The Verge, habla de un asistente confundido. AI Chat Daily se queda con la versión de Meta y empuja una consecuencia que las otras apenas rozan: si el canal de transparencia es el propio chatbot, el canal está roto de fábrica.

Para quien tenga Muse en el Mac, la consecuencia no es teatral. Deja de tratar la conversación como auditoría. Lo que el asistente te cuente sobre notificaciones, previews o historial es output de un modelo, no un log del sistema.

AI Chat Daily apunta a lo que los proveedores con permisos profundos a nivel de sistema van a tener que poner encima de la mesa: algo más auditable que la autodescripción del chatbot. Un panel de permisos. Un registro de actividad en vivo. Piezas que no pasen por un modelo que se inventa la fontanería.

Meta prometió que el asistente entenderá mejor sus internos. Suena a arreglo. También suena a enseñar al modelo a recitar con más pulso una historia sobre sí mismo. Aunque acierte más a menudo, sigue siendo un LLM hablando de un binario que no puede inspeccionar. La consistencia no sustituye un registro.

Aten incendió el hilo con la palabra correcta aplicada al sitio equivocado. Creepy no era, en lo publicado, un proceso leyendo notificaciones a tus espaldas. Creepy es firmar un permiso de disco completo y enterarte de lo que significa charlando con el mismo sistema que se acaba de inventar una fontanería.