Meta pagó unos US$1.2 millones en bug bounties de su agente Muse

De más de 630 reportes, 64 fueron válidos. El mayor premio, US$300,000, fue por una falla previa al lanzamiento en VMs internas.

Meta pagó alrededor de US$1.2 millones en recompensas por fallos de su agente de IA personal Muse, incluido un premio de US$300,000 por una falla previa al lanzamiento que exponía datos en sistemas internos de prueba, informó SecurityWeek el 4 de noviembre de 2026.

Muse actúa por el usuario en correo, calendario y mensajería; cada agente corre en su propia máquina virtual. El programa de bug bounty fue privado desde abril y público desde el lanzamiento del 8 de septiembre. De más de 630 reportes, 64 fueron válidos, según David Singleton de Meta.

El premio de US$300,000 llegó cuatro meses antes del lanzamiento: un investigador accedió a conversaciones y tokens en VMs de prueba de personal de Meta. Un chequeo de autenticación trataba un encabezado de un proxy HTTPS local como prueba de confianza; tras una migración, pedidos externos también podían llevarlo.

Otros premios: US$90,000 por una página maliciosa que engañó al agente al pedir un resumen; US$90,000 por formateo que pasó códigos OTP a los filtros de redacción de correo; US$50,000 por una falla en la app Android; y US$1,000 por hijack del auto-update en Mac.

Fuente: SecurityWeek: «Meta Shares Top Muse Bug Bounty Findings as Payouts Reach $1.2 Million», 4 de noviembre de 2026.