Lunes, 22:10
El dedo ya está sobre el botón "Connect Gmail". Unos segundos más y el agente podrá ordenar tus correos, preparar respuestas y recordarte lo urgente. Entonces llega el pensamiento: ¿qué hay realmente ahí dentro? Facturas de clientes. Los datos bancarios de un proveedor. El justificante médico de una empleada. Un hilo larguísimo con el contable.
Cuando conectas un agente a un buzón de correo, le das acceso también a la información de todos los que te han escrito.
Por eso la pregunta "Muse y privacidad" importa más de lo que parece. Meta ha publicado sobre Muse más detalles de seguridad de lo habitual en el lanzamiento de un producto de consumo, y algunas de las protecciones son realmente impresionantes. Pero esas protecciones funcionan dentro de los límites que tú defines. En esta guía comprobamos cada declaración de Meta con la fuente oficial, reunimos lo que informó la prensa y lo que respondió Meta, y lo convertimos todo en una lista de acciones sencilla.
En resumen
- Según Meta, Muse no ve contraseñas ni datos de pago, no pasa las conversaciones a sus sistemas publicitarios y no sale a internet sin que Sentinel, un componente guardián independiente, lo apruebe.
- Lo que conectas, lo ve. Correo, calendario, archivos, y también la información de otras personas que aparece en ellos. Facebook, Instagram y Threads se conectan automáticamente cuando están en el mismo Accounts Center.
- Los valores por defecto que conviene cambiar: el uso de las conversaciones para entrenar modelos viene activado desde el principio, y una aprobación de tipo "Always allow" renuncia a preguntar la próxima vez.
- La regla para cualquier agente: empezar en solo lectura, aprobar cada acción que escribe o envía y revisar el registro de actividad cada semana.
¿Es seguro Muse? Depende de lo que le des
La conclusión: Meta construyó para Muse capas de protección serias, pero el nivel de exposición lo determina sobre todo lo que tú conectas y apruebas.
La imagen que conviene recordar: Muse es un asistente que vive en un piso aparte, con un guardia en la entrada. Tus llaves están en una caja fuerte que el asistente no puede abrir, y el guardia solo entrega una llave en el momento en que hay que salir. Es una buena estructura. Pero si le dejas al guardia una nota que dice "deja pasar siempre", hará exactamente eso.
La propia Meta lo dice en su página de ayuda: ningún sistema automático es perfecto, Muse puede equivocarse o realizar acciones inesperadas, y por eso conviene revisar su actividad y darle solo el acceso con el que te sientas cómodo. Según Meta, la responsabilidad de corregir los errores, incluso frente a terceros, es del usuario.
Qué ve Muse y qué no: cuatro capas
La conclusión: Muse ve el contenido que conectas, usa contraseñas sin verlas y, según Meta, no traslada las conversaciones a publicidad. El cifrado total, en el que ni la propia Meta puede acceder, aún no se ha lanzado.
Algunos detalles que conviene entender a fondo:
- Tu máquina. Cada usuario tiene un ordenador virtual dedicado en la nube, Muse Secure VM, al que "ningún otro agente puede llegar". Allí se guardan los archivos, la memoria y los datos de acceso a los servicios que conectaste, y según Meta hay copia de seguridad continua.
- Las contraseñas. Según Meta, Muse no ve contraseñas ni medios de pago. Incluso una contraseña que escribes en su navegador pasa directamente a un almacenamiento seguro. En el artículo técnico Meta añade un detalle interesante: el conector de correo filtra los códigos de un solo uso y los enlaces de restablecimiento de contraseña, para que no sea posible aprovechar tu correo para tomar el control de otras cuentas.
- Publicidad. Meta declara que las conversaciones y la información de la máquina no se comparten con sus sistemas publicitarios. También admite una salvedad honesta: cuando Muse navega por ti, parece una navegación tuya. Si entra en la web de una tienda de ropa, la tienda puede mostrarte después un anuncio en Instagram.
- El acceso de la propia Meta. Aquí conviene leer con atención. Según el artículo técnico, la arquitectura actual limita el acceso de los empleados de Meta mediante normas, pero no impide que Meta acceda a los datos cuando necesita dar soporte al servicio, protegerlo u operarlo. Para eso está planificado Muse Confidential VM, donde toda la máquina se cifrará con una clave que solo tú tendrás. Meta escribió que llegará "más adelante este año".
Cómo decide Sentinel qué sale al exterior
La conclusión: Muse solo propone. La decisión de ejecutar se toma en un componente aparte, según tu configuración, y la solicitud de aprobación te llega en una ventana separada, no dentro del chat.
Una acción, desde la propuesta hasta su salida a la red
- Muse propone una acciónPor ejemplo, enviar un correo o entrar en una web. En este paso aún no ha pasado nada
- Sentinel revisaSegún tu configuración: aprueba, bloquea o te pregunta
- Tú decidesEn una ventana de aprobación aparte. Puedes pedir antes los detalles de la tarea
- La acción saleSolo ahora Sentinel inserta los datos de acceso reales
En dorado: tu paso. Basado en el artículo técnico de Meta del 8 de septiembre de 2026. Las acciones de lectura, las ya aprobadas y las definidas como de bajo riesgo pueden pasar sin preguntar.
Dos detalles del mecanismo merecen explicación. El primero: según Meta, cualquier proceso que haya leído información personal tuya pierde el derecho a pasar sin aprobación. La idea es simple: en cuanto algo toca tu información, deja de considerarse "limpio", y su solicitud de salida a la red pasará por la aprobación normal.
El segundo es más importante, porque depende de ti. Cuando llega una solicitud de aprobación, hay cinco respuestas posibles, y cada una abre una puerta de distinto ancho:
| La respuesta | Qué permite | Cuándo usarla |
|---|---|---|
| Allow once | Esta acción, una sola vez | Es la opción por defecto para todo lo que escribe, envía o compra |
| Allow for this task | El mismo tipo de acción, hasta el final de la tarea | Una tarea larga cuya dirección ya revisaste |
| Allow for this site | La misma acción en este sitio, también en el futuro | Un sitio conocido, para acciones de lectura |
| Always allow | La misma acción en esta conexión, siempre, sin preguntar | Solo para lectura, y solo tras un periodo de conocimiento mutuo |
| Deny | Esta vez no | Cuando algo no está claro. Siempre puedes preguntar de nuevo |
Qué dice Meta y qué sigue abierto
La conclusión: la mayoría de las declaraciones de Meta son detalladas y claras. Las preguntas abiertas tienen que ver con los valores por defecto, con el tiempo y con lo que aún no se ha verificado de forma independiente.
| Lo que declara Meta | Lo que sigue abierto |
|---|---|
| Una máquina dedicada y aislada para cada usuario | El acceso de Meta a los datos está limitado hoy por normas. El bloqueo técnico llegará solo con Confidential VM |
| Sentinel aprueba cada salida a la red y cada acción en las conexiones | Qué se considera "riesgo bajo" y pasa sin preguntar. Meta escribe que lo irá ajustando con el tiempo |
| Sin acceso a contraseñas ni a medios de pago | El agente sigue actuando en tu nombre, con todos los permisos que le diste |
| Las conversaciones no se trasladan a los sistemas publicitarios | La navegación de Muse se registra como actividad tuya y puede influir indirectamente en los anuncios que verás |
| Puedes pedir que las conversaciones no se usen para entrenar | El ajuste viene activado por defecto. Tienes que apagarlo tú |
| Registro completo de cada acción y plan | El registro solo ayuda si alguien lo abre |
| Borrado y herramienta "forget" | Según Meta, tras el borrado Muse aún puede recordar información que aprendió. Desconectar una conexión tampoco borra lo que ya se guardó |
| Muse Confidential VM, con una clave que solo tienes tú | Aún no lanzado. Fecha: "más adelante este año" |
Fuentes: el artículo técnico de Meta sobre la seguridad de Muse (8 de septiembre de 2026) y las páginas de ayuda de Muse. La conexión automática se aplica cuando las cuentas están en el mismo Accounts Center.
Qué informó la prensa y qué respondió Meta
La conclusión: hasta ahora no se ha informado de ninguna filtración masiva. La mayoría de los reportes tratan de la brecha entre lo que los usuarios creían haber aprobado y lo que el agente hizo, y de la información sobre otras personas.
| Fecha (2026) | Qué se informó | La respuesta o el contexto |
|---|---|---|
| 8 de septiembre | TechCrunch preguntó el día del lanzamiento si los consumidores confiarán en Muse, recordó el historial de Meta en privacidad y escribió que las afirmaciones técnicas requerirán la revisión de expertos en seguridad | Meta publicó ese mismo día un artículo técnico detallado sobre la arquitectura |
| 19 de septiembre | El autor Jason Aten afirmó en Inc. que Muse en Mac sincronizó su historial de mensajes, aunque según él se había negado a dar acceso | Según The Next Web, un directivo de Meta respondió en Threads que la conexión con los mensajes requiere consentimiento y tres permisos separados. El jefe de comunicación de Meta escribió en X que hacen falta tanto Full Disk Access de macOS como la activación del conector. La discrepancia no se resolvió |
| 21 de septiembre | Según TechCrunch, Amazon bloqueó Muse y los usuarios recibieron un aviso de que el acceso de un agente de IA no autorizado infringe las condiciones de uso | No es una brecha de seguridad. Es la decisión de una plataforma sobre cómo tratar a los agentes que actúan en nombre de los clientes |
| 22 de septiembre | Cybernews informó de que el investigador Patrick Wardle encontró una vulnerabilidad en la aplicación para Mac que permite tomar el control del agente. Requiere antes ejecutar código en el ordenador, por ejemplo tras engañar al usuario para que ejecute un comando | Según el reporte, Meta distribuyó una corrección para la aplicación de Mac |
| 3 de octubre | WIRED informó, a partir de instrucciones internas que un investigador extrajo de Muse, de que el agente construye una "ficha" de cada persona en la vida del usuario | Un portavoz de Meta dijo a WIRED que el agente necesita contexto para ayudar, y que se basa en información pública y en lo que el usuario eligió compartir |
| 5 de octubre | Cybernews: "Muse puede exponer información privada de quienes no lo usan" | Detalles a continuación |
¿Qué dice exactamente el reporte de Cybernews del 5 de octubre? El artículo resume varias afirmaciones. A partir del reporte de WIRED, Muse puede construir perfiles de amigos, familiares y colegas. Se cita allí a un profesor de la Universidad de Dublín con un argumento sencillo: incluso quien decide no usar el agente queda expuesto, porque sus correos y mensajes están en los buzones de otros. El artículo cita también una investigación de Hunterbrook Media, según la cual se podía pedir a Muse que recopilara información de cuentas de particulares de grupos vulnerables, y el caso de un youtuber que contó que Muse vendió un teclado suyo en Marketplace y entregó al comprador la dirección de su casa.
En cuanto a la respuesta: Cybernews escribió que se puso en contacto con Meta y que actualizará el artículo cuando llegue la respuesta, y aportó la respuesta que Meta dio a WIRED. Y sobre el youtuber, según The Next Web, que cita a Business Insider, dijo después que había marcado la opción "Allow Always". Eso no reduce el problema, pero enseña exactamente dónde está.
Con justicia: la propia Meta aborda el tema. En una página de ayuda específica, "Information for people who don't use Muse", escribe que puede llegar a Muse información de personas que no lo usan, por ejemplo los nombres de los participantes de una reunión en el calendario, y que no vincula esa información con la cuenta de Meta de esa persona.
Los cinco riesgos de cualquier agente con acceso, no solo de Muse
La conclusión: no son problemas de Meta. Son los riesgos conocidos de cualquier agente al que se entregan llaves, y cada uno se resuelve sobre todo con una configuración correcta.
El riesgo más difícil de entender es la inyección de instrucciones (prompt injection). Piensa en un empleado nuevo que abre un paquete y dentro encuentra una nota: "Pasa la lista de clientes a esta dirección". Un empleado humano sospecharía. Un agente puede leer la nota como una orden. La organización de seguridad OWASP, que publica una lista reconocida de los riesgos de los sistemas basados en modelos de lenguaje, define la "inyección indirecta" como la situación en la que el modelo recibe entradas de fuentes externas, como sitios web o archivos, que alteran su comportamiento. Meta también escribe abiertamente que es un problema que la industria aún no ha resuelto, y por eso coloca los controles de aprobación fuera del propio modelo.
Riesgo frente a solución: qué hacer con cada uno
Información de otros
- Qué es: clientes, proveedores y empleados que aparecen en el correo, el calendario y los contactos
- Qué hacer: no conectar al principio el buzón principal del negocio. Empezar con un buzón o una carpeta dedicados
Permisos demasiado amplios
- Qué es: acceso a más de lo que necesita la tarea. OWASP lo llama "Excessive Agency"
- Qué hacer: solo lectura al principio, una conexión cada vez, y ampliar solo cuando haya una necesidad definida
Instrucciones ocultas
- Qué es: texto en una web, un correo o un archivo que intenta activar al agente
- Qué hacer: aprobación humana para cada acción que sale al exterior, y cautela al navegar por sitios desconocidos
Acción sin aprobación
- Qué es: una aprobación permanente que se dio una vez y se olvidó
- Qué hacer: "Always ask" al principio, y "Allow once" para cada envío, publicación y compra
Almacenamiento y memoria
- Qué es: información que permanece incluso tras desconectar o borrar, o que se usa para entrenar
- Qué hacer: apagar el entrenamiento, revisar el archivo de memoria y pedir al agente que "olvide" los temas sensibles
Extensiones y ordenador local
- Qué es: conectores personalizados que Meta no revisa y permisos amplios en el ordenador
- Qué hacer: evitar conectores personalizados para servicios sensibles y comprobar en el Mac quién tiene Full Disk Access
Basado en OWASP Top 10 for LLM Applications 2025 (LLM01, LLM06) y en las páginas de ayuda de Muse.
Cómo conectar Muse de forma segura: siete pasos
La conclusión: diez minutos de configuración antes de la primera conexión ahorran la mayoría de los riesgos. Todos los ajustes están en la aplicación, según las páginas de ayuda de Meta.
- Decide qué no conectas. La cuenta bancaria, el sistema de cobros, la contabilidad y el buzón principal esperan hasta que haya confianza. Empieza con una sola tarea, como un calendario en solo lectura.
- Revisa el Accounts Center. Facebook, Instagram y Threads que estén en el mismo Accounts Center se conectan automáticamente. Si la página del negocio está ahí, conviene saberlo de antemano.
- Configura "Always ask". En Settings, y luego Permissions, puedes elegir para cada conexión y para la navegación web si Muse pregunta antes de cada acción o solo antes de algunas. En las primeras semanas, "Always ask" en ambas.
- Apaga el entrenamiento. En Settings, y luego Data controls, apaga "Help improve our AI models". Según Meta, el cambio también se aplica a las conversaciones anteriores.
- Revisa el registro cada semana. Al pulsar el icono del agente está el Activity log, una lista cronológica de las acciones y de los permisos que diste. Y en Settings, en Permissions, vale la pena revisar la lista de Allowed websites y revocar lo que no haga falta.
- Revisa la memoria. El archivo Memory.md está en Identity. Puedes editarlo directamente o pedir a Muse que olvide a una persona o un tema.
- Sabe cómo desconectar. Desconectar una conexión se hace en Settings, en Connectors, y detiene el traspaso de información. Lo que ya se guardó puede permanecer, así que tras desconectar pide también "forget". Reset lo borra todo y no se puede deshacer.
Antes de conectar una cuenta a Muse, o a cualquier agente
¿Qué tan expuesta está tu configuración?
¿Ya usas Muse, o cualquier otro agente? Seis preguntas. "Sí" significa mayor exposición.
Si tu negocio está en Israel: la ley también forma parte del cuadro
La conclusión: la información de clientes y empleados no es solo tuya, y en Israel la ley impone obligaciones sobre ella.
La Enmienda 13 de la Ley de Protección de la Privacidad de Israel entró en vigor el 14 de agosto de 2025. Según la Autoridad de Protección de la Privacidad de Israel, es una reforma amplia que incluye, entre otras cosas, un mecanismo de sanciones económicas de importes significativos y nuevos delitos penales. Antes de conectar a cualquier agente, de Meta o de cualquier otro proveedor, un sistema que contenga datos personales de clientes, conviene consultar con un asesor de privacidad o un abogado qué está permitido y qué hay que actualizar en la política de privacidad del negocio. Si tu negocio está fuera de Israel, comprueba qué normas de protección de datos se aplican en tu país o región.
Y una nota práctica más: por ahora Muse aún no está disponible en Israel. Lo detallamos en el artículo Muse: disponibilidad por mercados. Hay tiempo para prepararse, ordenar los permisos y decidir de antemano qué no entra en ningún agente.
Qué pensamos
La conclusión: Meta hizo un trabajo de seguridad serio y transparente. Los puntos débiles son los valores por defecto y los hábitos de aprobación, y eso lo puedes cambiar tú.
La justicia obliga a decir que Meta publicó más que la mayoría de las empresas: una arquitectura detallada, un programa de bugs abierto a todos, una página de ayuda para quienes no usan el producto y el reconocimiento explícito de que la inyección de instrucciones aún no está resuelta. Eso no es lo habitual.
¿Qué haríamos distinto? Preferiríamos que el entrenamiento viniera apagado por defecto y que fuera más difícil conceder una aprobación permanente a una acción que sale al exterior. Y en los casos que se han informado hasta ahora, la pregunta que se repite no es "¿es inteligente el agente?", sino "¿qué creía el usuario que había aprobado?".
En nuestro caso el modelo es distinto, pero el principio es el mismo. Montamos para cada negocio un agente en un servidor en la nube independiente, con un usuario dedicado y el permiso mínimo en cada sistema. Toda acción sensible, como publicar, presupuesto o un mensaje en nombre del negocio, espera la aprobación del dueño del negocio, y toda acción relevante queda registrada en el diario. Platin Digital es OpenAI Select Partner. No todos los negocios necesitan un agente dedicado. A algunos les convendrá Muse, y en ese caso lo diremos.
¿Quieres seguir leyendo? La guía completa de Muse, Muse para pequeños negocios, Agente de IA para empresas: qué hace y cómo empezar y qué entra en la construcción de un agente de IA.
Preguntas frecuentes
¿Es seguro usar Muse?
Muse se construyó con varias capas de protección: una máquina virtual aislada para cada usuario, un componente aparte llamado Sentinel que aprueba cada salida a la red, un almacenamiento de contraseñas que el agente no ve y una aprobación antes de las acciones sensibles, como enviar un correo o comprar. La propia Meta escribe que ningún sistema automático es perfecto y que el agente puede equivocarse. El nivel de seguridad real depende sobre todo de lo que conectas y de las aprobaciones que das.
¿Usa Meta mis conversaciones con Muse para publicidad?
Según Meta, las conversaciones y la información de la máquina virtual no se comparten con sus sistemas publicitarios, incluso cuando el Accounts Center incluye otros productos de Meta. Meta señala que la navegación de Muse parece actividad tuya, por lo que los sitios a los que entra pueden influir indirectamente en los anuncios que verás.
¿Cómo evito que Muse use mis conversaciones para entrenar?
En Settings, en Data controls, apaga "Help improve our AI models". Según Meta, el ajuste viene activado por defecto y apagarlo se aplica también a las conversaciones anteriores. Mientras el ajuste está activo, Meta elimina datos identificativos como nombres, direcciones de correo y números de teléfono antes del entrenamiento.
¿Ve Muse mis contraseñas y los datos de mi tarjeta?
Según Meta, no. Los datos de acceso se guardan en un almacenamiento aparte, y Sentinel solo los inserta en el momento en que la solicitud sale a la red. En las compras a través del monedero de Muse se genera una tarjeta de un solo uso, limitada a un comercio, un importe y un plazo corto.
¿Qué pasa con la información después de desconectar una conexión o borrar una conversación?
Desconectar detiene el traspaso de información desde el servicio, pero según Meta lo que Muse ya haya usado puede permanecer en la memoria y el historial. Incluso tras borrar, Muse puede recordar información que aprendió. Puedes pedirle que "olvide" un tema, editar el archivo de memoria o hacer un Reset que lo borra todo y no se puede deshacer.
¿Recopila Muse información sobre personas que no lo usan?
Sí, de forma indirecta. Meta escribe en una página de ayuda específica que cuando un usuario conecta un calendario, un correo o archivos, la información de otras personas puede llegar a Muse, y que no la vincula con su cuenta de Meta. Por eso conviene pensar no solo en tu propia privacidad, sino también en la de los clientes, proveedores y empleados que aparecen en los sistemas que conectas.
Fuentes
- https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/
- https://about.fb.com/news/2026/09/introducing-muse-small-business/
- https://research.meta.ai/blog/security-and-safety-for-ai-agents-our-approach-with-muse
- https://www.meta.com/help/artificial-intelligence/1047255454427887/
- https://www.meta.com/help/artificial-intelligence/1385290430137537/
- https://www.meta.com/help/artificial-intelligence/2225571704857152/
- https://www.meta.com/help/artificial-intelligence/1687253048996149/
- https://www.meta.com/help/artificial-intelligence/4532990443643263/
- https://techcrunch.com/2026/09/08/meta-debuts-its-muse-ai-agent-will-consumers-trust-it/
- https://techcrunch.com/2026/09/21/metas-ai-agent-has-been-blocked-from-using-amazon-com/
- https://www.inc.com/jason-aten/metas-new-muse-ai-agent-read-my-private-messages-i-never-asked-it-to/91408202
- https://thenextweb.com/news/meta-muse-private-messages-denial-jason-aten
- https://cybernews.com/news/metas-muse-ai-assistant-hijacked/
- https://www.wired.com/story/muse-creates-detailed-profiles-of-all-your-friends-and-family/
- https://cybernews.com/ai-news/meta-muse-privacy/
- https://genai.owasp.org/llmrisk/llm01-prompt-injection/
- https://genai.owasp.org/llmrisk/llm062025-excessive-agency/
- https://www.gov.il/he/pages/guide_tikon13_professional
