TL;DR:
- Meta confirmó el 5 de agosto que uno de sus modelos llegó a internet desde un entorno de pruebas que debía estar aislado y explotó una vulnerabilidad en los sistemas de otra compañía.
- Es el tercer laboratorio de frontera en poco más de dos semanas con un caso así, y todos pasaron por el mismo evaluador externo: Irregular, de Tel Aviv.
- Ese mismo día Meta puso en beta Muse Code, un agente que vive en la terminal y funciona con Muse Spark 1.2, la actualización directa del modelo señalado en el incidente.
Un modelo de inteligencia artificial de Meta salió del entorno cerrado donde lo estaban evaluando, llegó a internet abierto y explotó una vulnerabilidad en los sistemas de otra empresa. Andy Stone, portavoz de la compañía, confirmó el episodio el miércoles 5 de agosto de 2026 y lo atribuyó a una mala configuración de Irregular, la firma independiente que corre sus pruebas de ciberseguridad. The Information, que reportó el caso primero, identificó al modelo como Muse Spark 1.1 y escribió que llegó a hacer cambios dentro de los sistemas de esa compañía, cuyo nombre nadie ha revelado. Meta dice que investiga y que publicará un recuento completo cuando tenga todos los hechos. En poco más de dos semanas, tres laboratorios de frontera han admitido lo mismo.
La versión oficial cabe en dos piezas. La primera es cómo llegó ahí: Stone dijo que la mala configuración de Irregular permitió sin querer que uno de sus modelos accediera a internet durante la evaluación. La segunda es qué hizo después.
"Explotó una vulnerabilidad de seguridad en un servicio de terceros"
El portavoz añadió que ocurrió de forma parecida a los casos que ya habían reportado otras compañías.
Muse Code salió el mismo día, con el sucesor directo del modelo señalado
Mientras el reporte circulaba, Meta Superintelligence Labs publicaba el lanzamiento de Muse Code en beta, un agente de programación que vive en la terminal y se instala con una sola línea de comandos en macOS o Linux. Lo mueve Muse Spark 1.2, que la propia compañía describe en su blog como una actualización enfocada en código de Muse Spark 1.1.
El parentesco va más lejos que el número de versión. Meta explica que usó a Muse Spark 1.1 para generar entornos de programación difíciles y para calificar las soluciones candidatas con las que entrenó a 1.2. El modelo que se salió del corral fue, además, su maestro.
Y lo que se lanzó no es un chat. En su caso de estudio de optimización de kernels para GPU, Meta reporta corridas de más de 1,000 llamadas a herramientas y hasta 24 horas seguidas, con el agente escribiendo, compilando, perfilando y corrigiendo código sin que nadie lo supervise a cada paso. Muse Spark 1.2 ya está disponible en Muse Code y en la Meta Model API, con acceso global ampliado. El anuncio oficial no menciona el incidente en ninguna parte.
Patricia Rodriguez
Irregular es el hilo que une los casos
Irregular, con sede en Tel Aviv, se presenta como el primer laboratorio de seguridad de frontera y su negocio es exactamente este: someter modelos a escenarios ofensivos realistas para medir de qué son capaces. Un portavoz dijo a Bloomberg que lo de Meta fue el mismo problema de entorno de evaluación que Anthropic había revelado la semana anterior.
"Esto no implicó una fuga del sandbox ni una acción cibernética sofisticada"
La firma agregó que no hay problemas abiertos y que prepara un documento con mejores prácticas de contención. No puso fecha.
La secuencia arrancó el 21 de julio, cuando OpenAI reveló que varios de sus modelos explotaron una vulnerabilidad desconocida para escapar de un entorno aislado y terminaron dentro de la infraestructura de Hugging Face. Ese caso fue de otra naturaleza: hubo fuga real, no una puerta que quedó abierta.
El 30 de julio, Anthropic publicó el recuento más detallado del grupo. Revisó 141,006 corridas de evaluación en las que sus modelos pudieron haber tenido acceso a internet y encontró tres incidentes, repartidos en seis corridas, contra la infraestructura de tres organizaciones distintas. En uno, el modelo publicó un paquete malicioso de Python en PyPI convencido de que el registro era parte de la simulación: estuvo disponible cerca de una hora y se ejecutó en 15 sistemas reales, uno de ellos el escáner de una empresa de seguridad, a la que terminó robándole credenciales. En otro, un modelo interno escaneó unos 9,000 objetivos hasta dar con una aplicación expuesta. Dos de las tres organizaciones afectadas no habían detectado nada.
Hay un cuarto capítulo que no encaja en el molde de la mala configuración. El AI Security Institute británico reportó que agentes con Claude Mythos 5 y GPT-5.6 Sol ejecutaron 19 acciones no autorizadas en internet abierto, según recogió BleepingComputer; el de Mythos 5 llegó a intentar un ataque de cadena de suministro contra un proyecto real de código abierto, con identidades falsas y presión sobre un mantenedor para que aprobara su código. Ahí el acceso a internet estaba habilitado a propósito y las salvaguardas desactivadas, para medir capacidad pura. Lo que se desbordó fue el alcance del permiso, no la configuración. Ese arco ya lo contamos en la revelación de OpenAI y Anthropic.
El evaluador ya había firmado que el modelo no movía la aguja
Aquí está la parte incómoda. El 15 de abril de 2026, al anunciar su colaboración con Meta, Irregular publicó su propia evaluación de Muse Spark, el primer modelo de Meta Superintelligence Labs. Lo corrió contra dos suites propias: CyScenarioBench, de operaciones ofensivas de varias etapas, y su suite de tareas atómicas. El modelo resolvió al menos una vez cuatro de los seis retos difíciles o de nivel experto, pero no lograba encadenar esas piezas en operaciones completas. La conclusión textual fue que Muse Spark no altera de forma relevante el panorama de amenazas cibernéticas en su forma actual.
Esa medición sigue siendo defendible en sus propios términos, porque evaluaba si el modelo podía hilvanar un ataque de principio a fin, no qué haría al toparse con una salida a internet que nadie cerró. Pero el contraste queda a la vista: la empresa que mide el riesgo cibernético de estos modelos es la misma que operaba los entornos donde ocurrieron el caso de Meta, los tres de Anthropic y una evaluación adicional de OpenAI, distinta de la de Hugging Face.
Lo que Meta todavía no dice
Meta no ha confirmado en público cuál de sus modelos estuvo involucrado, apunta BleepingComputer: la identificación de Muse Spark 1.1 viene del reporte de The Information, que citó a personas al tanto del caso. Tampoco ha dicho qué empresa resultó afectada, qué cambios se hicieron en sus sistemas ni si alguien accedió a datos. The Register reportó que la compañía no respondió a sus preguntas, y CSO Online que ni Meta ni Irregular contestaron.
El contraste con Anthropic es medible: aquel documento nombra los tres modelos involucrados, describe incidente por incidente y detalla el peor impacto que encontró, incluida una base de datos con varios cientos de filas de producción.
Escepticismo de un lado, manual de contención del otro
No todos leen igual esta ola de revelaciones. Ilia Kolochenko, CEO de ImmuniWeb, dijo a The Register que al menos parte de estos anuncios parece una campaña de marketing bien orquestada, y que las supuestas fugas fueron entornos de prueba mal aislados más que modelos rompiendo su encierro. Alex Goller, de Illumio, comparó el episodio con dejar la puerta abierta y luego sorprenderse de que el gato se salga. Jake Moore, de ESET, planteó la lectura más dura ante el mismo medio: o Meta se cuelga de la atención que generó el caso de OpenAI, o ninguno de estos laboratorios tiene control sobre sus modelos más potentes.
Del otro lado están los que ya pasaron a las recomendaciones. Sakshi Grover, gerente senior de investigación de servicios de ciberseguridad en IDC Asia/Pacífico, dijo a CSO Online que un agente cibernético capaz debe tratarse como una identidad de máquina potencialmente hostil, aunque opere bajo un objetivo legítimo de investigación. Su lista de mínimos para quien corre evaluaciones o despliega agentes:
- acceso a internet denegado por defecto
- identidades dedicadas y de vida corta para cada agente
- acceso de red controlado y segmentado
- monitoreo de prompts, llamadas a herramientas, credenciales y actividad de red
- condiciones de paro automático cuando el agente toque sistemas no autorizados o ejecute acciones visibles hacia afuera
Vibhum Dubey, investigador de ciberseguridad y red teamer, lo resumió en una línea ante el mismo medio.
"Estos incidentes sugieren que medimos la inteligencia más rápido que la contención"
Apeksha Kaushik, analista principal senior de Gartner, añadió que el sandboxing tradicional y la contención estática se quedan cortos conforme los sistemas se vuelven más agénticos, y pidió estándares de industria para el diseño de entornos de evaluación, el reporte de incidentes y el red teaming continuo.
Preguntas rápidas sobre el incidente de Meta
¿Qué modelo de Meta hackeó a la empresa?
The Information reportó que fue Muse Spark 1.1, citando a personas al tanto del caso. Meta no lo ha confirmado en público: su portavoz Andy Stone habló de uno de sus modelos, sin dar nombre ni versión, y la compañía dice que publicará un recuento completo más adelante.
¿Qué es Irregular y por qué aparece en todos los casos?
Es una firma de Tel Aviv que evalúa las capacidades ofensivas de los modelos de frontera simulando ataques reales. Meta, Anthropic y OpenAI contrataron sus pruebas, y una mala configuración de sus entornos dejó salir modelos a internet. La empresa dice que prepara un documento de contención.
¿Esto puede pasar con la IA que uso todos los días?
Anthropic aclaró que sus evaluaciones corren sin las salvaguardas que sí llevan los modelos disponibles al público, porque el objetivo es medir de qué es capaz el modelo desnudo, y que esas salvaguardas habrían bloqueado las conductas detectadas. Meta no ha dado ese detalle sobre su caso.
Ese matiz ubica el riesgo en el laboratorio y no en la app que cualquiera abre en el teléfono. Lo que cambió esta semana es que el laboratorio dejó de ser el único lugar donde corren agentes de esta clase: Muse Code se instala con una línea de comandos. El recuento prometido por Meta y el documento de contención de Irregular todavía no tienen fecha.
