Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración conceptual del desvío de dictado y token en Meta Muse para Mac.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

The Hacker News relata una prueba de concepto de Patrick Wardle en Meta Muse para Mac: un programa que ya se ejecute como el usuario puede modificar una preferencia no documentada que decide dónde se envía el dictado.

La preferencia se llama endo_voyager_dictation_endpoint y, tras alterarla, el audio y el texto dictados por el usuario se dirigen a un programa controlado por el atacante.

Wardle demostró que ese flujo permite leer el dictado, añadir instrucciones que Muse acepta y capturar un token con el que se puede acceder al historial de chat y controlar el asistente.

En sus pruebas, el investigador usó el token para ordenar a Muse en su propio iPhone que comunicara la ubicación, explorara dispositivos Bluetooth próximos y listara órdenes del hogar conectado; el envío autónomo de mensajes no quedó demostrado.

La vía demostrada necesita que ya se pueda ejecutar código como el usuario del Mac y que este utilice el dictado; no supone por sí sola una intrusión inicial ni una ruptura de los controles de aislamiento de la nube de Meta.

Wardle afirmó que Meta había distribuido una corrección, pero The Hacker News no pudo confirmar su alcance y señaló que no había un aviso de seguridad publicado por la compañía en ese momento.

Análisis de Defensops

El hallazgo ilustra un cambio de alcance tras una intrusión local: un proceso con permisos de usuario puede aprovechar la confianza y las autorizaciones que el usuario concedió al asistente. El punto de entrada no son los permisos del micrófono de macOS, sino una preferencia de la propia aplicación que redirige un flujo que Muse considera legítimo. Por eso los permisos otorgados a archivos, mensajería o servicios conectados determinan las consecuencias posibles en cada instalación.

El robo del token agrava el alcance porque una sesión de Muse puede abarcar varios dispositivos. Aun así, la demostración se hizo en dispositivos del investigador; la fuente no acredita campañas activas ni que todas las acciones del asistente puedan ejecutarse sin confirmación. El riesgo debe evaluarse como una técnica demostrada de posexplotación, no como una vulnerabilidad remota que compromete cualquier Mac limpio.

La información sobre la corrección era incompleta en la cobertura consultada. Hasta verificar con Meta la versión instalada y el comportamiento de la preferencia, una organización no debería asumir que la mera existencia de una actualización descarta exposición o invalida tokens capturados antes de ella.

Prioridades de revisión

Inventariar los Mac con Muse y comprobar qué permisos, aplicaciones y cuentas conectadas tiene cada instalación; retirar los accesos que no sean necesarios.

Verificar la versión disponible de Muse y la información de seguridad publicada por Meta; documentar si el ajuste de destino del dictado sigue siendo modificable por procesos del usuario.

En equipos con indicios de ejecución no autorizada, revisar el uso del dictado y las sesiones de Muse; suspender la aplicación mientras se evalúa el alcance.

Si se confirma una intrusión, revocar o renovar la sesión de Muse y revisar las cuentas y dispositivos vinculados, además de tratar el compromiso original del Mac.

Recordar a los usuarios que no ejecuten instrucciones de Terminal recibidas en páginas o mensajes, una posible vía para dar al atacante la ejecución local que necesita esta técnica.

Qué no se ha confirmado

La cobertura no verifica el contenido ni el alcance exacto de la corrección que Wardle atribuye a Meta.

No se reportan ataques reales ni cuentas ajenas comprometidas por esta vía.

Las acciones que Muse puede ejecutar sin confirmación dependen de permisos y controles concretos de cada cuenta.

Fuente

The Hacker News. Fecha indicada: 2026-09-22.