La alarma comenzó cuando los desarrolladores Peter James y Jonny L. Saunders lograron de forma independiente convencer al nuevo agente Muse de Meta para empaquetar y compartir el contenido de su sistema de archivos raíz. Según se informó, el material incluía archivos de Ubuntu, plantillas de aplicaciones y documentación interna, mientras que Saunders dijo que reproducir el resultado fue «extremadamente fácil» y que Muse tenía «casi ninguna resistencia a la inyección de indicaciones».¹

Ese descubrimiento se produjo en un contexto ya incómodo. A principios de esa semana, el investigador de seguridad Patrick Wardle reveló un exploit independiente que podía secuestrar el agente, redirigir el procesamiento de transcripciones y acceder a la cuenta de Muse de un usuario; Meta publicó una corrección urgente. Sin embargo, en el caso del sistema de archivos, Meta rechazó que se tratara de una vulneración. El portavoz Daniel Roberts afirmó que los archivos pertenecían a una máquina virtual Linux persistente asignada a cada usuario: «Al igual que con el portátil que tienes delante, por supuesto que puedes ver los archivos». Exportarlos, añadió, no proporcionaba acceso privilegiado a la infraestructura de Meta ni a los datos de otros usuarios.¹

Al día siguiente, el comportamiento del producto de Meta hizo ese argumento más explícito. Mientras que inicialmente Muse se había mostrado reacio a proporcionar un archivo completo —en un momento dado invocó preocupaciones de seguridad—, comenzó a ofrecer un navegador en el que se podía hacer clic con acceso root y comprimió fácilmente el directorio raíz, al tiempo que afirmaba que los secretos habían sido eliminados.²

David Singleton, de Meta Superintelligence Labs, caracterizó el cambio no como una retirada tras una exposición, sino como una confirmación del diseño: «tu VM segura de Muse realmente es tu propio ordenador en la nube».² Eso enfrenta a la empresa con la interpretación de los desarrolladores. Ellos vieron a un agente revelando un nivel inusualmente amplio de detalles operativos; Meta ve a un usuario inspeccionando la máquina que se le prometió. La pregunta sin resolver es por qué el propio Muse trató inicialmente la solicitud como prohibida si esa apertura siempre fue la intención.²