Meta Shares Top Muse Bug Bounty Findings as Payouts Reach $1.2 Million

Meta ha en­tre­ga­do apro­xi­ma­da­men­te 1,2 mi­llo­nes de dó­la­res en re­com­pen­sas por erro­res re­la­cio­na­dos con su agen­te de in­te­li­gen­cia ar­ti­fi­cial lla­ma­do Muse, el cual fun­cio­na como un asis­ten­te per­so­nal en cuen­tas de co­rreo, ca­len­da­rios y men­sa­je­ría uti­li­zan­do una má­qui­na vir­tual pro­pia para cada usua­rio. Dicho pro­gra­ma de re­com­pen­sas operó de ma­ne­ra pri­va­da desde el mes de abril y se abrió al pú­bli­co en sep­tiem­bre, re­ci­bien­do más de 630 re­por­tes, de los cua­les 64 fue­ron con­si­de­ra­dos vá­li­dos.

El pago más alto, de 300.000 dó­la­res, fue otor­ga­do du­ran­te la fase de prue­bas in­ter­nas pre­vias al lan­za­mien­to del pro­duc­to por un fallo que dejó ex­pues­tos datos e in­for­ma­ción en sis­te­mas in­ter­nos de eva­lua­ción. Este pro­ble­ma ocu­rrió de­bi­do a una ve­ri­fi­ca­ción de au­ten­ti­ca­ción que con­si­de­ra­ba con­fia­ble una ca­be­ce­ra aña­di­da por un proxy local, si­tua­ción que per­mi­tió que pe­ti­cio­nes ex­ter­nas lle­va­ran tam­bién dicha ca­be­ce­ra tras un cam­bio de en­torno por mi­gra­ción del sis­te­ma, lo que obli­gó a Meta a sus­pen­der tem­po­ral­men­te el ser­vi­cio, so­lu­cio­nar el de­fec­to y mo­di­fi­car la con­fian­za otor­ga­da a la má­qui­na local.

Otras fa­llas no­ta­bles in­clu­ye­ron un re­por­te pre­mia­do con 90.000 dó­la­res donde una pá­gi­na web ma­li­cio­sa imi­ta­ba men­sa­jes de es­ta­do para lo­grar que el agen­te eje­cu­ta­ra ac­cio­nes in­de­bi­das al so­li­ci­tar­le un re­su­men, mo­ti­van­do a la com­pa­ñía a im­ple­men­tar nue­vas se­ña­les de de­tec­ción y fil­tros para res­pues­tas sos­pe­cho­sas. Asi­mis­mo, se en­tre­ga­ron otras re­com­pen­sas me­no­res por un pro­ble­ma de for­ma­to que elu­día los fil­tros de re­dac­ción de có­di­gos de ac­ce­so en co­rreos elec­tró­ni­cos, una vul­ne­ra­bi­li­dad en una apli­ca­ción para An­dro­id que per­mi­tía a pro­gra­mas ma­li­cio­sos cap­tu­rar cre­den­cia­les me­dian­te una vista web pri­vi­le­gia­da y un fallo en una apli­ca­ción para Mac que com­pro­me­tía la ac­tua­li­za­ción au­to­má­ti­ca.