Meta представила Muse — AI-агента з прямим доступом до пошти, календаря та браузера. Замість генерації тексту він сам відкриває вкладки, заповнює лід-форми і проводить платежі. Компанія називає реліз прев'ю "персонального супероінтелекту". Доступ безкоштовний, ліміт — 100 млн токенів на тиждень.
Під капотом працює модель Muse Spark 1.3. Агент крутиться у виділеній хмарній віртуальній машині, а всі зовнішні дії контролює окремий модуль Sentinel. Meta тестувала інструмент інхаус з початку 2026 року. Заявлений функціонал: фонове виконання тасок, запуск субагентів та саморедагування коду.
Як Meta захистила Muse від атак
Агент не має прямого доступу до заліза чи логінів користувача. Під кожен акаунт піднімається окрему хмарну Linux-віртуальну машину зі своїм браузером, CPU, пам'яттю та сховищем для даних підключених сервісів.
Критичні вузли винесені за межі ізольованого середовища:
- Hatch — рушій, який виконує код та файлові операції в ізольованому контейнері.
- Hatch-safety — набір моделей для перевірки промптів на атаки.
- Privsep — запускає код конекторів з урізаними правами.
- Hatch-authd — зберігає облікові дані та токени.
- Sentinel — єдиний гейтвей для вихідного трафіку та дій у сторонніх сервісах.
Sentinel фільтрує всі мережеві запити. Для критичних дій потрібен апрув юзера. Замість реальних паролів чи API-ключів система використовує сурогатні токени — сам Muse секретів не бачить. Також працює механізм tainted egress: якщо процес торкався юзер-дати і намагається відправити її назовні, система блокує трансфер до ручного підтвердження.
Від prompt injection (коли шкідливий промпт залітає через зовнішні дані) захищаються на кількох рівнях. Модель натренували відхиляти такі ін'єкції, зовнішні дані маркуються як untrusted, а трафік проходить через ансамбль незалежних класифікаторів.
Браузер, покупки та конфіденційність
Агент використовує кастомний Chromium. Юзер бачить усі дії на екрані і може перехопити управління в будь-який момент. Браузерний субагент ходить через окремого брокера без прямого доступу до DOM, JavaScript та Chrome DevTools.
На чекауті Muse завжди просить апрув транзакції, якщо картка вже прив'язана. Для нових мерчантів агент підтягує окремий гаманець через Stripe Link (у планах — Shop Pay). Оплата йде через віртуальну одноразову картку з жорстким лімітом по сумі, часу та конкретному продавцю.
Доступи до сервісів можна відкликати в один клік. При роботі з поштою агент фізично не бачить OTP-коди, лінки для скидання паролів та magic links для авторизації.
Оскільки prompt injection досі залишається вразливістю всієї індустрії, архітектуру будували з розрахунком на мінімізацію демеджу. За знайдені баги Meta платить баунті до $300 000. З них до $130 000 можна отримати за успішну атаку через підміну інструкцій на одному юзері.
Зараз у закритому тесті знаходиться Muse Confidential VM — середовище з криптографічним захистом даних навіть від серверів самої Meta. Архітектуру та код вже віддали на перевірку зовнішнім аудиторам.
Файли лежать у віртуалці юзера, кредоси — в ізольованому контейнері. Meta стверджує, що не зливає ці бази в рекламні системи, хоча сам серфінг агента може впливати на таргет. Логи діалогів йдуть на донавчання моделей після анонімізації, але в налаштуваннях це можна вимкнути.
😬 Віддати агенту від Meta прямий доступ до своїх карток, пошти і браузера після всіх скандалів з витоками даних — звучить як надійний план.