Lo que encontraron los usuarios
Varias personas pidieron al agente Muse de Meta que les mostrara todo su sistema de archivos, y lo hizo: gigabytes de ficheros. David Singleton, vicepresidente de ingeniería de Meta Superintelligence Labs, publicó el jueves que eso es intencionado.
“Desde hoy, cada usuario de Muse recibe un ordenador gratuito en la nube”, escribió. “Es un ordenador de verdad.” La celda de ejecución que cada usuario comparte con su agente tiene su propio sistema de archivos raíz, con una imagen completa de Ubuntu Linux, separado del sistema de archivos anfitrión donde reside lo más sensible.
Los usuarios pueden instalar software en ella, escribir y compilar código y navegar por la web desde ahí. Meta ha incorporado un explorador de archivos a la pestaña Biblioteca de la interfaz para que puedan mirar dentro, incluidos los ficheros markdown que Muse se escribe a sí mismo mientras decide cómo responder.
Por qué esa apertura es segura, según Meta
El argumento se apoya en dónde está la frontera. La actividad dentro de la celda de ejecución es “sin restricciones”, escribió Singleton, pero las acciones sensibles las supervisa un proceso llamado Sentinel que corre fuera de ella, y las credenciales introducidas en el almacén seguro de Muse también se guardan fuera.
El blog de seguridad de Meta, publicado el 8 de septiembre, detalla la mecánica. La celda de ejecución es un contenedor systemd-nspawn cuyo root se asigna a un usuario sin privilegios del anfitrión, con sistema de archivos raíz propio, interfaz de red virtual, llamadas al sistema filtradas y capacidades del núcleo reducidas. Los servicios que importan —detección de inyección de instrucciones, manejo de credenciales y el Sentinel que autoriza las acciones de los conectores y la salida a la red— quedan todos fuera.
El diseño de las credenciales es la pieza que sostiene el resto: Meta dice que el agente nunca ve tokens reales, solo sustitutos, y que las credenciales auténticas se resuelven en la frontera de red. Eso es lo que hace defendible dejar que un usuario, o una inyección de instrucciones, recorra el sistema de archivos.
Lo que no da
“Curiosear en este ordenador no te da ningún acceso privilegiado a la infraestructura de Meta ni a los datos de otras personas”, escribió Singleton. Los archivos que un usuario puede leer son los ficheros de sistema de Debian y los binarios y datos que implementan las partes de Muse que corren dentro de la celda, no el lado de Meta.
Quien quiera su propio material y no una visita al sistema puede exportarlo desde Ajustes, en Controles de datos.
Por qué esto es una postura y no solo una función
Todos los proveedores de agentes ejecutan hoy código en algún sitio en nombre del usuario, y casi todos tratan ese entorno como un detalle de implementación. Meta hace lo contrario: publica el contenido del contenedor a la persona que lo usa y sostiene que la transparencia es asumible porque los secretos están en otra parte.
También es una apuesta comprobable. Una arquitectura descrita en público, sobre una máquina que el usuario puede inspeccionar, es una arquitectura que los investigadores pueden sondear, y Muse ya ha tenido un fallo revelado este mes, cuando un investigador alcanzó el iPhone emparejado a través de un ajuste no documentado de su aplicación para Mac.
Lo que hay que vigilar es si la frontera aguanta ese escrutinio, no si el sistema de archivos es visible.
