Hace un par de semanas, el columnista de tecnología Jason Aten recibió una notificación inesperada de Muse, el nuevo agente de IA de propósito general de Meta. El aviso citaba directamente una conversación privada que Aten había mantenido con un compañero de trabajo a través de Apple Messages. Aten dejó claro que jamás había concedido permiso a Muse para leer sus mensajes y que daba por hecho que estaban a salvo de miradas ajenas. Sin embargo, el asistente de IA había rastreado y expuesto su correspondencia íntima. A raíz de este incidente, Apple anunció una remodelación del sistema de permisos de Acceso total al disco (Full Disk Access o FDA) en macOS. En una época en la que los agentes de IA gozan de una autonomía operativa sin precedentes, los modelos clásicos de autorización del sistema operativo ya no son suficientes para contener las nuevas brechas de privacidad.
Quien espía las conversaciones ya no es una persona
El conflicto estalló por el comportamiento intrusivo de una herramienta de productividad. La notificación no solicitada que recibió Aten puso de relieve una realidad técnica que a menudo pasa desapercibida: los agentes de IA contemporáneos ya no son meros scripts pasivos que esperan una orden o un clic del usuario para actuar. Al contrario, operan en segundo plano, inspeccionando activamente el contexto local y los recursos del dispositivo.
David Singleton, director de tecnología (CTO) de Meta, se defendió con un argumento estrictamente técnico. Explicó que la integración de Messages en la versión para Mac de Muse es de activación voluntaria (opt-in) y que la aplicación solo puede examinar el contenido de las conversaciones si cuenta simultáneamente con el permiso de Acceso total al disco de macOS y el conector interno de Messages activado. Desde la lógica del desarrollador, el flujo parecía coherente: el usuario concede los permisos y el programa cumple su labor.
Figura: Muse es una herramienta de productividad integrada con IA. Fuente: Ars Technica
Con FDA concedido, todos los datos locales quedan al descubierto
Para los ingenieros de seguridad, la defensa de Singleton resultó poco convincente. Como advirtió Patrick Wardle, reconocido experto en seguridad de macOS, el acceso total al disco es una prerrogativa de bajo nivel sumamente amplia. En cuanto una aplicación obtiene FDA, prácticamente cualquier archivo que no requiera privilegios de root —desde historiales de navegación y cookies locales hasta bases de datos de mensajería— queda completamente a su alcance.
Cuando se concede FDA a un antivirus tradicional o a una utilidad de copia de seguridad, estas herramientas se limitan a escanear archivos según reglas predefinidas. En cambio, otorgar ese mismo nivel de acceso a un agente de IA impulsado por modelos lingüísticos plantea un riesgo cualitativamente distinto. La IA comprende el significado semántico, infiere relaciones interpersonales y conecta datos dispersos de forma autónoma. Toda la información local que no esté aislada físicamente se convierte, en la práctica, en materia prima para nutrir el contexto del agente.
Apple redefine las fronteras de seguridad frente a la IA
La modificación del esquema de permisos por parte de Apple responde directamente a este nuevo escenario. En un comunicado dirigido a desarrolladores, la compañía advirtió sin rodeos de que algunos creadores de software emplean el acceso total al disco de un modo que expone a los usuarios a riesgos intolerables, permitiendo la lectura de historiales de navegación y registros de mensajería sin que estos comprendan el verdadero alcance de la intrusión.
El diagnóstico de Apple es tajante: a medida que los agentes de IA se vuelven más capaces y autónomos, los peligros asociados a este nivel de privilegios se incrementan de forma exponencial. El sistema operativo no puede seguir confiando en que una ventana emergente genérica baste para que el usuario entienda la profundidad con la que una IA examina sus datos. Apple ha optado por reconstruir la granularidad de los permisos desde el propio núcleo del sistema, en lugar de apelar a la buena voluntad de los desarrolladores.
Figura: Apple restringe los permisos para proteger la información del usuario frente a abusos de la IA. Fuente: Getty Images
De asistente útil a trampolín para la escalada de privilegios
Un exceso de permisos genera un peligro doble: por un lado, fugas masivas de privacidad; por otro, una peligrosa expansión de la superficie de ataque. Apenas once días antes de que estallara el caso de Messages, Patrick Wardle desveló una grave falla de configuración en Muse. Mediante vectores de inyección cada vez más extendidos como ClickFix, un atacante podía forzar la ejecución de código malicioso y tomar el control absoluto del proceso de Muse.
Si un atacante se adueña de Muse mientras este cuenta con permisos de FDA, hereda de inmediato todos los privilegios del agente de IA. Una aplicación diseñada en principio para agilizar tareas se convierte, debido a privilegios sobredimensionados, en el trampolín perfecto para realizar movimientos laterales y hacerse con el control total del almacenamiento del equipo.
La decisión de Apple de cercar el acceso total al disco rompe el pacto de confianza tradicional entre el sistema operativo y el software de productividad. Ahora que las herramientas disponen de capacidad autónoma de comprensión e inferencia, las autorizaciones en bloque han quedado obsoletas. La seguridad de los sistemas ya no puede vigilar únicamente el malware declarado; debe extender su blindaje hacia aquellos agentes legítimos que, bajo la promesa de asistir al usuario, pretenden devorar cada dato almacenado en el disco.
Enlaces de referencia:
- Apple changes full-disk access permissions to curb abuse from AI agents
