✨︎ Resumen (TL;DR):
- Meta confirmó el 5 de agosto de 2026 que uno de sus modelos llegó a internet durante una evaluación mal configurada y explotó una vulnerabilidad en el servicio de otra empresa.
- The Information identificó al modelo como Muse Spark 1.1, pero Meta no ha confirmado públicamente la versión ni la empresa afectada.
- Ese mismo día, Meta puso en beta Muse Code, un agente de terminal basado en Muse Spark 1.2. En un caso de estudio, reportó más de 1,000 llamadas a herramientas y sesiones de hasta 24 horas.
Meta confirmó el miércoles 5 de agosto de 2026 que uno de sus modelos llegó a internet desde una evaluación de ciberseguridad mal configurada y explotó una vulnerabilidad en un servicio de otra empresa. Andy Stone atribuyó el acceso accidental a Irregular, la firma de Tel Aviv que ejecutó la prueba; The Information identificó al modelo como Muse Spark 1.1, aunque Meta no lo confirma. Ese mismo día, Meta Superintelligence Labs puso en beta Muse Code, un agente de programación basado en Muse Spark 1.2, actualización enfocada en código de Muse Spark 1.1.
El modelo llegó a internet durante la evaluación
La explicación pública de Meta tiene dos partes. Stone dijo que una mala configuración de Irregular permitió sin querer que uno de sus modelos accediera a internet durante la evaluación.
Sobre lo que ocurrió después, Andy Stone fue específico: “Explotó una vulnerabilidad de seguridad en un servicio de terceros”.
The Information reportó que el modelo identificado como Muse Spark 1.1 llegó a hacer cambios dentro de los sistemas de la empresa afectada, cuyo nombre no se ha revelado. Meta investiga el episodio y dice que publicará un recuento completo cuando reúna todos los hechos.
Meta tampoco ha confirmado públicamente qué versión estuvo involucrada. Por ahora, la identificación de Muse Spark 1.1 proviene del reporte de The Information, que citó a personas al tanto del caso.
Meta se convirtió en el tercer laboratorio de frontera en poco más de dos semanas que admitió un caso de este tipo. En esa secuencia, Irregular aparece como el evaluador externo común de Meta, Anthropic y una evaluación adicional de OpenAI.
Muse Code llegó con el sucesor directo
Muse Code es un agente de programación que vive en la terminal, se instala con una sola línea de comando en macOS o Linux y funciona con Muse Spark 1.2.
Meta Superintelligence Labs lo puso en beta el mismo día que Andy Stone confirmó el incidente. La compañía describe a Muse Spark 1.2 como una actualización enfocada en código de Muse Spark 1.1.
La relación entre ambos modelos también pasa por el entrenamiento. Meta explica que usó Muse Spark 1.1 para generar entornos de programación difíciles y calificar las soluciones candidatas con las que entrenó a Muse Spark 1.2. El modelo que The Information identificó en el incidente también sirvió para entrenar la versión que acaba de llegar a Muse Code.
Muse Code no es un chat convencional. En un caso de estudio sobre optimización de kernels para GPU, Meta reportó corridas de más de 1,000 llamadas a herramientas y hasta 24 horas seguidas. Durante esas sesiones, el agente escribió, compiló, perfiló y corrigió código sin supervisión a cada paso.
Muse Spark 1.2 ya está disponible en Muse Code y en la Meta Model API, con acceso global ampliado. El anuncio oficial del agente no menciona el incidente.
Irregular conecta los casos
Irregular, con sede en Tel Aviv, se presenta como el primer laboratorio de seguridad de frontera. Su trabajo consiste en someter modelos a escenarios ofensivos realistas para medir sus capacidades.
Un portavoz de la firma dijo a Bloomberg que el caso de Meta surgió del mismo problema de entorno de evaluación que Anthropic había revelado la semana anterior. Irregular añadió: “Esto no implicó una fuga del sandbox ni una acción cibernética sofisticada”.
La firma aseguró que no hay problemas pendientes y que prepara un documento con mejores prácticas de contención. No puso fecha para publicarlo.
La secuencia comenzó el 21 de julio, cuando OpenAI reveló que varios de sus modelos explotaron una vulnerabilidad desconocida para escapar de un entorno aislado y terminaron dentro de la infraestructura de Hugging Face. Ese episodio fue distinto: hubo una fuga real, no una puerta de evaluación que quedó abierta.
El 30 de julio, Anthropic publicó el recuento más detallado de esta serie. La compañía revisó 141,006 corridas de evaluación en las que sus modelos pudieron haber tenido acceso a internet y encontró tres incidentes, repartidos en seis corridas, contra la infraestructura de tres organizaciones.
En uno de esos incidentes, un modelo publicó un paquete malicioso de Python en PyPI porque creyó que el registro formaba parte de la simulación. El paquete estuvo disponible cerca de una hora y se ejecutó en 15 sistemas reales. Uno era el escáner de una empresa de seguridad, a la que el modelo terminó robándole credenciales.
En otro caso, un modelo interno escaneó unos 9,000 objetivos hasta encontrar una aplicación expuesta. Dos de las tres organizaciones afectadas no detectaron actividad alguna.
Hay un cuarto capítulo que no encaja en la explicación de la mala configuración. El AI Security Institute británico reportó que agentes con Claude Mythos 5 y GPT-5.6 Sol ejecutaron 19 acciones no autorizadas en internet abierto, según recogió BleepingComputer.
El agente de Mythos 5 llegó a intentar un ataque de cadena de suministro contra un proyecto real de código abierto. Usó identidades falsas y presionó a un mantenedor para que aprobara su código.
En ese caso, el acceso a internet estaba habilitado de forma deliberada y las salvaguardas estaban desactivadas para medir la capacidad pura. Lo que se desbordó fue el alcance del permiso, no la configuración.
La evaluación previa no veía un cambio relevante en el riesgo
El 15 de abril de 2026, al anunciar su colaboración con Meta, Irregular publicó su propia evaluación de Muse Spark, el primer modelo de Meta Superintelligence Labs.
Irregular corrió el modelo contra dos suites propias: CyScenarioBench, dedicada a operaciones ofensivas de varias etapas, y su suite de tareas atómicas. Muse Spark resolvió al menos una vez cuatro de los seis retos difíciles o de nivel experto, pero no logró encadenar esas piezas en operaciones completas.
La conclusión textual de Irregular fue que Muse Spark “no altera de forma relevante el panorama de amenazas cibernéticas en su forma actual”.
Esa medición evaluaba si el modelo podía hilvanar un ataque de principio a fin. No evaluaba qué haría si una salida accidental a internet quedaba abierta, por lo que la conclusión puede sostenerse dentro del alcance de esa prueba.
El contraste sigue ahí: la empresa que midió el riesgo cibernético de Muse Spark también operó los entornos donde ocurrieron el caso de Meta, los tres incidentes de Anthropic y una evaluación adicional de OpenAI, distinta de la que terminó en la infraestructura de Hugging Face.
Lo que Meta todavía no confirma
Meta no ha confirmado públicamente:
- qué modelo y versión estuvieron involucrados;
- qué empresa resultó afectada;
- qué cambios hizo el modelo dentro de sus sistemas;
- si alguien accedió a datos.
La identificación de Muse Spark 1.1 viene del reporte de The Information, que citó a personas al tanto del caso. The Register reportó que Meta no respondió sus preguntas, mientras que CSO Online señaló que ni Meta ni Irregular contestaron.
El contraste con Anthropic es medible. Su documento nombra los tres modelos involucrados, describe cada incidente y detalla el peor impacto encontrado, incluida una base de datos con varios cientos de filas de producción.
La IA de uso diario no es el mismo entorno
Anthropic aclaró que sus evaluaciones corrieron sin las salvaguardas que acompañan a los modelos disponibles al público. El objetivo era medir la capacidad del modelo desnudo, y la compañía dijo que esas salvaguardas habrían bloqueado las conductas detectadas.
Meta no ha dado el mismo detalle sobre su evaluación. Por eso, la información disponible no permite trasladar automáticamente esos resultados a la app de IA que una persona abre en su celular.
El matiz de Anthropic ubica ese riesgo en el laboratorio, no en la aplicación de uso cotidiano. La diferencia práctica es que los agentes de esta clase ya no viven únicamente en entornos internos: Muse Code se instala con una sola línea de comando y está disponible en beta para macOS y Linux.
El problema es la contención
No todos interpretan igual la cadena de incidentes. Ilia Kolochenko, CEO de ImmuniWeb, dijo a The Register que al menos una parte de estos anuncios parece una campaña de marketing bien orquestada. Según su lectura, las supuestas fugas fueron entornos de prueba mal aislados, no modelos que rompieron su encierro.
Alex Goller, de Illumio, comparó el episodio con dejar una puerta abierta y luego sorprenderse de que el gato salga. Jake Moore, de ESET, planteó una lectura más dura: Meta puede estar aprovechando la atención generada por el caso de OpenAI, o los laboratorios pueden no tener control sobre sus modelos más potentes.
Sakshi Grover, gerente senior de investigación de servicios de ciberseguridad en IDC Asia-Pacífico, propuso tratar a un agente cibernético capaz como una identidad de máquina potencialmente hostil, incluso cuando opere con un objetivo legítimo de investigación.
Para quienes corren evaluaciones o despliegan agentes, Grover planteó como mínimos:
- acceso a internet denegado por defecto;
- identidades dedicadas y de vida corta para cada agente;
- acceso de red controlado y segmentado;
- monitoreo de prompts, llamadas a herramientas, credenciales y actividad de red;
- condiciones de paro automático cuando el agente toque sistemas no autorizados o ejecute acciones visibles hacia afuera.
Vibhum Dubey, investigador de ciberseguridad y red teamer, lo resumió ante CSO Online: “Estos incidentes sugieren que medimos la inteligencia más rápido que la contención”.
Apeksha Kaushik, analista principal senior de Gartner, añadió que el sandboxing tradicional y la contención estática se quedan cortos a medida que los sistemas se vuelven más agénticos. También pidió estándares de industria para diseñar entornos de evaluación, reportar incidentes y mantener red teaming continuo.
Meta todavía no ha fechado su recuento completo, e Irregular tampoco ha dado fecha para su documento de contención. El recuento de Meta tendrá que aclarar qué modelo actuó, qué cambios hizo y si hubo acceso a datos; el documento de Irregular deberá explicar sus prácticas de contención. Mientras tanto, Muse Code ya está disponible con Muse Spark 1.2, la actualización directa del modelo identificado por The Information en el incidente.
