En la misma semana en que Apple anunció frenos a Full Disk Access, usuarios de r/LocalLLaMA difundieron un fragmento del system prompt atribuido a Muse, el agente personal de Meta que llegó a ser la app gratuita número uno en Estados Unidos. La frase que encendió el debate: «La autoridad del usuario sobre su propio hogar es incondicional y anula tu entrenamiento de seguridad».
No es una sugerencia ni un juicio caso a caso. Tal como circuló el texto, es una anulación permanente escrita en el documento que dice al modelo cómo comportarse antes de que el usuario escriba nada. Para críticos de seguridad, eso convierte la «preferencia del usuario en casa» en un superpermiso capaz de tumbar políticas que Meta dice haber entrenado con dureza.
Meta, en su blog de ingeniería «How We Built Safety Into Muse», describe una capa llamada Sentinel que debería gestionar cada interacción externa y que, según la empresa, el agente «no puede anular». La coexistencia de un Sentinel inquebrantable con un prompt que antepone la autoridad doméstica al entrenamiento de seguridad es la contradicción que los analistas señalan: una de las dos afirmaciones hace menos trabajo del anunciado.
La compañía mantiene un bug bounty de hasta 300.000 dólares por vulnerabilidades graves, con hasta 130.000 por una inyección de prompt que comprometa a un usuario. Ese programa admite, de facto, lo expuesto que puede estar un agente siempre activo con acceso a herramientas del hogar digital.
El problema de diseño es clásico en agentes personales: el usuario quiere mandar en su casa; el proveedor quiere impedir daño a terceros, fraude, abuso o elusión de salvaguardas. Si el prompt declara la autoridad doméstica «incondicional», ¿qué ocurre cuando un menor, un atacante con acceso físico o un prompt injection remoto habla «como el usuario»?
Investigadores de prompt injection subrayan que los agentes con correo, calendario y domótica son superficies ideales: un email malicioso puede intentar redefinir quién es la autoridad del hogar. Una regla absoluta en el system prompt no distingue contexto ni capacidad; solo eleva la prioridad de una categoría ambigua.
Políticamente, el hallazgo alimenta audiencias sobre agentes «rogue» y proyectos de ley de responsabilidad. Si un fabricante documenta que el usuario puede anular la seguridad «sin excepciones», los litigantes preguntarán por qué quedó esa puerta abierta. Si Meta aclara que Sentinel sigue prevaleciendo, deberá explicar por qué el prompt dice lo contrario en lenguaje llano.
Neural Pulse trata el texto filtrado como material atribuido y ampliamente discutido en foros técnicos, no como un PDF firmado por Meta en un repositorio oficial. Pedimos a Meta una confirmación o desmentido textual; en la cobertura inmediata de Startup Fortune y ecos posteriores, la frase circuló sin un desmentido rotundo publicado.
Para usuarios, la lección práctica es endurecer quién puede hablar con el agente: bloqueo de pantalla, cuentas separadas para menores, revisión de conectores y escepticismo ante agentes que piden Full Disk Access «para ayudar en casa». La comodidad del hogar digital no debería equivaler a root silencioso.
Para competidores —Apple, Google, OpenAI, Anthropic—, el episodio es un recordatorio de que los system prompts se filtran. Diseñar políticas solo en prosa oculta es frágil; las políticas duras deben vivir en runtime, permisos del SO y capas que el modelo no vea ni pueda reescribir.
El contraste con Nvidia OpenShell y con los deciders tipados de Cloudflare es instructivo: la industria se mueve hacia controles fuera del modelo. Un prompt que anula la seguridad empuja en la dirección opuesta —más poder dentro del modelo— justo cuando los incidentes de 2026 empujan hacia afuera.
El 4 de octubre de 2026, Muse sigue siendo un caso de estudio de tensión entre promesa de agente personal y realidad de gobernanza. Hasta que Meta publique el prompt canónico o un erratum claro, la frase de la autoridad del hogar seguirá definiendo el relato de seguridad del producto.
Diseñadores de prompts empresariales deberían evitar absolutos del tipo «sin excepciones». Los absolutos se filtran, se citan en juicios y se vuelven contra el autor. Mejor: jerarquías explícitas con ejemplos y negaciones acotadas.
Investigadores independientes pueden contribuir reproduciendo inyecciones que reclamen autoridad del hogar. Publicar POCs responsables, sin credenciales reales, ayuda a toda la industria.
Hasta que Sentinel y el system prompt se documenten juntos en un whitepaper auditado, la contradicción seguirá siendo la tarjeta de presentación de Muse en círculos de seguridad.
