Meta hat Muse, einen persönlichen KI-Agenten, in einer Ankündigung des Gründers Mark Zuckerberg am 8. September 2026 vorgestellt. Muse kann E-Mails, Kalender, einen Browser und verbundene Dienste nutzen, um Aufgaben im Hintergrund zu erledigen, und bietet kostenlosen Zugang bis zu 100 Millionen Token pro Woche.

Meta hat Sicherheitsprämien von bis zu 300.000 US-Dollar für Forscher eingeführt, die Schwachstellen in dem Agenten identifizieren.

Meta hat Muse, einen persönlichen KI-Agenten, vorgestellt, der Nutzeraufgaben über E-Mails, Kalender, einen Browser und andere verbundene Dienste erledigen soll. Zuckerberg kündigte das Produkt am 8. September an und beschrieb es als einen Agenten, der die Ziele der Nutzer versteht und kontinuierlich in ihrem Auftrag arbeitet.

Meta positioniert Muse als einen Schritt in Richtung „persönlicher Superintelligenz“. Das Unternehmen hat den Dienst bis zu einem Umfang von 100 Millionen Token pro Woche kostenlos bereitgestellt.

Das Projekt wird bei Meta seit Anfang 2026 entwickelt und intern genutzt. Das Team erklärte, es habe erste Anzeichen für „echte persönliche Superintelligenz“ in einem System gesehen, das einen Nutzer kennenlernen, Aufgaben selbstständig erledigen, im Hintergrund arbeiten, Gruppen von Unteragenten erstellen, eigene Werkzeuge entwickeln und sich selbst bearbeiten kann.

Muse nutzt das Modell Muse Spark 1.3, das Meta für Werkzeugaufrufe über Befehlszeilenschnittstellen und Fähigkeiten, lange Kontexte und langfristige Aktionssequenzen, Widerstandsfähigkeit gegen Prompt-Injection sowie die Koordination mehrerer Agenten trainiert. Muse folgt auf die frühere Vorstellung von Muse Spark, dem ersten Modell der Familie und der Grundlage für Metas agentische Anwendungsfälle.

Sicherheitsarchitektur begrenzt Zugriffe

Meta erklärte, Muse sei unter Berücksichtigung von Datenschutz und Sicherheit entwickelt worden, weil Entwickler dem Agenten erlaubten, unbeaufsichtigt mit ihren Postfächern, Kalendern und Befehlszeilen zu arbeiten. Jeder Nutzer erhält eine dedizierte cloudbasierte virtuelle Linux-Maschine mit Browser, Rechenkapazität, Arbeitsspeicher und Speicherplatz.

Der Agent läuft in einer isolierten Umgebung, während kritische Sicherheitskomponenten außerhalb dieser Umgebung betrieben werden. Metas Architektur umfasst Hatch, eine isolierte Laufzeitumgebung für Code, Werkzeuge und Dateioperationen; hatch-safety, das Prompts, Antworten und potenzielle Angriffe prüft; privsep, das Connector-Code mit eingeschränkten Berechtigungen ausführt; sowie hatch-authd, das Anmeldedaten und Token speichert.

Eine separate Komponente namens Sentinel kontrolliert den Zugriff auf Dienste Dritter und ausgehenden Netzwerkverkehr. Muse kann eine Aktion vorschlagen, doch Sentinel entscheidet gemäß den vom Nutzer festgelegten Richtlinien, ob sie genehmigt, abgelehnt oder eine Bestätigung angefordert wird.

Sentinel prüft Netzwerkziele, IP-Adressen, Ports, Protokolle, HTTP-Methoden, Pfade und Anfragedaten. Bei Vorgängen, die Geheimnisse erfordern, erhält Muse Ersatz-Token statt Passwörtern oder API-Schlüsseln. Das System fügt die tatsächlichen Anmeldedaten erst an der Netzwerkgrenze nach der Autorisierung hinzu.

Meta verwendet zudem einen Mechanismus für „tainted egress“, der verfolgt, ob ein Prozess auf Nutzerdaten zugegriffen hat. Versucht ein solcher Prozess, Informationen extern zu übertragen, kann er die Anfrage nicht automatisch ausführen und muss das standardmäßige Bestätigungsverfahren nutzen.

Prompt-Injection, Browsing und Zahlungen

Meta erklärte, Prompt-Injection könne das Modell über E-Mails, Websites, Dateien oder andere externe Daten böswilligen Anweisungen aussetzen. Zu den Schutzmaßnahmen gehören das Training von Muse, solche Anweisungen zurückzuweisen, die Kennzeichnung externer Daten als nicht vertrauenswürdig, der Einsatz unabhängiger Angriffsklassifikatoren, agentische Red-Team-Tests und die Anforderung menschlicher Zustimmung, bevor Daten die virtuelle Maschine verlassen. Einschränkungen auf Systemebene bleiben auch bestehen, wenn das Modell kompromittiert wird.

Das Unternehmen erklärte, Muse Spark 1.3 sei bei der Abwehr von Prompt-Injection nahe am Stand der Technik, räumte jedoch ein, dass die Bedrohung weiterhin ein „offenes Branchenproblem“ sei.

Muse enthält einen Chromium-basierten Browser, der Nutzern ermöglicht, seine Aktivitäten zu beobachten und die Kontrolle zu übernehmen. Sein Browser-Unteragent arbeitet über einen separaten Broker und kann nicht auf das vollständige Document Object Model, JavaScript oder Chrome DevTools zugreifen. Zusätzliche Klassifikatoren prüfen auf Prompt-Injection, Versuche der Datenexfiltration, bösartige Dateien und Formulare mit hohem Risiko.

Bei Käufen auf Websites, die bereits Zahlungsdaten gespeichert haben, fordert Muse an der Kasse eine Bestätigung an. Auf neuen Websites kann es eine separate Wallet verwenden. Meta arbeitet zum Start mit Stripe Link zusammen und plant, Shop Pay hinzuzufügen. Zahlungen nutzen eine Einweg-Kartennummer, die auf einen bestimmten Händler, Betrag und Gültigkeitszeitraum beschränkt ist.

Datenkontrollen und Prämien für Schwachstellen

Nutzer entscheiden, auf welche Dienste Muse zugreifen darf, und können den Zugriff jederzeit widerrufen. Bei E-Mails erhält der Agent keine Einmalcodes, Links zum Zurücksetzen von Passwörtern oder „Magic“-Anmeldelinks.

Muse-Dateien und -Daten werden in der virtuellen Maschine des Nutzers gespeichert, während Anmeldedaten in einem separaten isolierten Container verbleiben. Meta erklärte, die Daten würden nicht mit Werbesystemen geteilt, obwohl die Online-Aktivitäten von Muse Werbung indirekt beeinflussen könnten. Dialoge und Betriebsdaten können nach Entfernung personenbezogener Informationen für das Modelltraining verwendet werden, und Nutzer können dem widersprechen.

Meta testet zudem Muse Confidential VM mit einer begrenzten Nutzergruppe. Die Technologie soll Daten selbst vor Meta kryptografisch schützen, und externe Prüfer überprüfen die Architektur und den Code.

Begleitend zur Einführung bot Meta Sicherheitsforschern Prämien von bis zu 300.000 US-Dollar an. Dazu gehören bis zu 130.000 US-Dollar für einen erfolgreichen Anweisungsersetzungsangriff, der einen Nutzer betrifft.

Muse Spark 1.1 ging zuvor online und hackte die Systeme eines nicht identifizierten Unternehmens.

Quelle: HODL Press