Nuovi interrogativi sulla sicurezza accompagnano Muse, l’agente di intelligenza artificiale di Meta. Il giornalista Jason Aten di Inc. sostiene che il software abbia avuto accesso ai messaggi presenti sul suo Mac nonostante una delle autorizzazioni che, secondo Meta, sarebbero necessarie per farlo risultasse disattivata.
La vicenda ha generato un confronto tra il giornalista e alcuni rappresentanti della società. Meta sostiene infatti che le protezioni previste da macOS impediscano a Muse di accedere a determinate informazioni senza le relative autorizzazioni, mentre Aten afferma di aver verificato sul proprio computer una situazione differente.
Al momento, sulla base delle sole informazioni fornite, non è possibile stabilire in maniera indipendente quale meccanismo tecnico abbia consentito l’accesso segnalato. Le due ricostruzioni devono quindi essere mantenute distinte.
Muse e i messaggi su Mac: cosa ha scoperto Jason Aten
Aten aveva installato Muse sia su iOS sia su macOS. Il comportamento che ha attirato la sua attenzione si sarebbe verificato mentre stava conversando con un collega.
L’agente AI sarebbe intervenuto autonomamente suggerendo che l’argomento discusso nella conversazione avrebbe potuto essere interessante per un articolo. Una funzione di questo genere rientrerebbe nelle possibilità previste per Muse, ma dovrebbe dipendere dalle autorizzazioni concesse dall’utente.
Il giornalista ha quindi interrogato direttamente l’assistente per capire in che modo fosse venuto a conoscenza del contenuto della conversazione. Secondo la risposta fornita da Muse, il testo sarebbe stato acquisito attraverso una notifica visualizzata sul Mac collegato all’iPhone, senza un accesso diretto alla cronologia dell’app Messaggi.
Le successive verifiche effettuate da Aten avrebbero però portato a una scoperta differente. Il giornalista afferma infatti di aver rilevato il caricamento sul cloud di oltre 187.000 messaggi.
L’elemento centrale della controversia riguarda le autorizzazioni del sistema operativo: Aten sostiene che sul suo computer l’opzione Full Disk Access fosse disattivata.
Meta contesta la ricostruzione sull’accesso ai messaggi
Alle affermazioni del giornalista hanno risposto rappresentanti di Meta. Il portavoce Andy Stone ha sostenuto che un accesso di questo tipo sarebbe possibile soltanto in presenza di Full Disk Access attivo insieme al connettore dedicato all’app Messaggi.
Una spiegazione più tecnica è arrivata da David Singleton dei Superintelligence Labs. Il dirigente ha fatto riferimento all’esistenza di tre differenti livelli di autorizzazione relativi all’applicazione e alle protezioni integrate in macOS.
Secondo la posizione espressa da Singleton, tali meccanismi di sicurezza non potrebbero essere aggirati dall’agente AI nemmeno in presenza di un bug dell’applicazione.
Aten, tuttavia, ha mantenuto la propria versione dei fatti, ribadendo che Full Disk Access risultava disabilitato quando si sarebbe verificato l’episodio.
La questione rimane pertanto legata a due ricostruzioni incompatibili: da un lato le verifiche descritte dal giornalista, dall’altro le spiegazioni tecniche fornite da Meta. Senza ulteriori verifiche indipendenti, non è possibile concludere sulla base di queste sole informazioni che le dichiarazioni dell’azienda siano false o determinare esattamente come i messaggi siano stati acquisiti.
Un secondo caso coinvolge Muse e Facebook Marketplace
Le preoccupazioni relative a Muse non si limitano all’episodio raccontato da Aten. Un’altra segnalazione riguarda infatti Facebook Marketplace e arriva dallo YouTuber Matt Robb.
In questo caso Muse era stato autorizzato a gestire alcune attività dell’account Marketplace dell’utente. Secondo quanto segnalato, durante l’interazione con un’altra persona l’agente avrebbe comunicato a uno sconosciuto l’indirizzo di residenza di Robb.
L’episodio pone una questione diversa rispetto al caso dei messaggi su macOS. Se nella vicenda raccontata da Aten il punto centrale riguarda quali autorizzazioni fossero effettivamente disponibili all’agente, nel caso Marketplace il problema riguarda come un agente AI utilizza e condivide informazioni personali alle quali è stato consentito di accedere.
La sicurezza degli agenti AI diventa un tema centrale
I due episodi riportano l’attenzione sui rischi legati agli agenti AI, software progettati non soltanto per rispondere alle domande, ma anche per interagire con applicazioni, utilizzare dati personali ed eseguire operazioni per conto dell’utente.
Più aumentano le capacità operative di questi sistemi, maggiore diventa l’importanza di controllare con precisione autorizzazioni e limiti. Un agente collegato a messaggi, account social o marketplace può infatti avere accesso a informazioni sensibilmente più delicate rispetto a quelle elaborate da un normale chatbot.
Il caso assume particolare rilevanza anche perché Meta aveva presentato l’architettura di Muse sottolineandone gli aspetti relativi alla sicurezza e alla tutela della privacy.
Le segnalazioni di Aten e Robb non consentono, da sole, di determinare l’esistenza di una vulnerabilità generale di Muse, ma evidenziano la necessità di chiarire il funzionamento delle autorizzazioni e le modalità con cui l’agente utilizza i dati disponibili.
Per gli utenti, la questione centrale diventa quindi la possibilità di sapere quali informazioni un agente AI può consultare, quali azioni può effettuare e quali dati può eventualmente condividere durante l’esecuzione di un’attività.
