Meta presentó Muse, un agente personal de IA diseñado para completar tareas de los usuarios mediante correo electrónico, calendarios, un navegador y otros servicios conectados. Zuckerberg anunció el producto el 8 de septiembre, describiéndolo como un agente que comprende los objetivos de los usuarios y trabaja continuamente en su nombre.

Meta posiciona a Muse como un paso hacia la «superinteligencia personal». La compañía ha hecho que el servicio sea gratuito hasta 100 millones de tokens por semana.

El proyecto ha sido desarrollado y utilizado internamente en Meta desde principios de 2026. El equipo afirmó haber observado señales tempranas de «superinteligencia personal real» en un sistema que puede aprender sobre un usuario, completar tareas de forma independiente, ejecutarse en segundo plano, crear grupos de subagentes, desarrollar sus propias herramientas y modificarse a sí mismo.

Muse utiliza el modelo Muse Spark 1.3, que Meta está entrenando para llamadas a herramientas mediante interfaces de línea de comandos y habilidades, secuencias de acciones de contexto largo y horizonte largo, resistencia a la inyección de prompts y coordinación entre múltiples agentes. Muse sigue a la presentación anterior de Muse Spark, el primer modelo de la familia y la base de los casos de uso agénticos de Meta.

La arquitectura de seguridad limita el acceso

Meta afirmó que Muse fue diseñado teniendo en cuenta la privacidad y la seguridad porque los desarrolladores permitieron que el agente trabajara sin supervisión con sus buzones de correo, calendarios y líneas de comandos. Cada usuario recibe una máquina virtual Linux dedicada y basada en la nube que contiene un navegador, capacidad de procesamiento, memoria y almacenamiento.

El agente se ejecuta dentro de un entorno aislado, mientras que los componentes de seguridad críticos operan fuera de él. La arquitectura de Meta incluye Hatch, un entorno de ejecución aislado para código, herramientas y operaciones de archivos; hatch-safety, que comprueba prompts, respuestas y posibles ataques; privsep, que ejecuta código de conectores con privilegios limitados; y hatch-authd, que almacena credenciales y tokens.

Un componente separado denominado Sentinel controla el acceso a servicios de terceros y el tráfico de red saliente. Muse puede proponer una acción, pero Sentinel decide si la aprueba, la rechaza o solicita confirmación conforme a las políticas establecidas por el usuario.

Sentinel comprueba destinos de red, direcciones IP, puertos, protocolos, métodos HTTP, rutas y contenidos de las solicitudes. Para las operaciones que requieren secretos, Muse recibe tokens sustitutos en lugar de contraseñas o claves API. El sistema añade las credenciales reales solo en el límite de la red tras la autorización.

Meta también utiliza un mecanismo de «egreso contaminado» que rastrea si un proceso ha accedido a datos de usuarios. Si dicho proceso intenta transmitir información externamente, no puede ejecutar la solicitud de forma automática y debe utilizar el proceso estándar de confirmación.

Inyección de prompts, navegación y pagos

Meta afirmó que la inyección de prompts puede exponer el modelo a instrucciones maliciosas a través de correos electrónicos, sitios web, archivos u otros datos externos. Sus defensas incluyen entrenar a Muse para rechazar esas instrucciones, marcar los datos externos como no confiables, utilizar clasificadores de ataques independientes, realizar pruebas de red team agénticas y exigir aprobación humana antes de que los datos salgan de la máquina virtual. Las restricciones a nivel de sistema siguen vigentes incluso si el modelo se ve comprometido.

La compañía afirmó que Muse Spark 1.3 está cerca del estado del arte en la resistencia a la inyección de prompts, aunque reconoció que la amenaza sigue siendo un «problema abierto de la industria».

Muse incluye un navegador basado en Chromium que permite a los usuarios observar su actividad y tomar el control. Su subagente de navegación opera mediante un broker separado y no puede acceder al Document Object Model completo, JavaScript ni Chrome DevTools. Clasificadores adicionales comprueban la inyección de prompts, los intentos de exfiltración de datos, los archivos maliciosos y los formularios de alto riesgo.

Para las compras en sitios web que ya contienen datos de pago, Muse solicita confirmación al finalizar la compra. En sitios nuevos, puede utilizar una cartera separada. Meta trabaja con Stripe Link en el lanzamiento y planea añadir Shop Pay. Los pagos utilizan un número de tarjeta de un solo uso restringido a un comerciante, importe y período de validez específicos.

Controles de datos y recompensas por vulnerabilidades

Los usuarios eligen a qué servicios puede acceder Muse y pueden revocar el acceso en cualquier momento. Para el correo electrónico, el agente no recibe códigos de un solo uso, enlaces de restablecimiento de contraseña ni enlaces de inicio de sesión «mágicos».

Los archivos y datos de Muse se almacenan en la máquina virtual del usuario, mientras que las credenciales permanecen en un contenedor aislado separado. Meta afirmó que los datos no se comparten con los sistemas publicitarios, aunque la actividad en línea de Muse puede afectar indirectamente a la publicidad. Los diálogos y datos operativos pueden utilizarse para entrenar modelos después de eliminar la información personal, y los usuarios pueden excluirse.

Meta también está probando Muse Confidential VM con un grupo limitado de usuarios. La tecnología está destinada a proteger criptográficamente los datos incluso frente a Meta, y auditores externos están revisando su arquitectura y código.

Junto con el lanzamiento, Meta ofreció a los investigadores de seguridad recompensas de hasta 300.000 dólares. Esto incluye hasta 130.000 dólares por un ataque exitoso de sustitución de instrucciones que afecte a un usuario.

Muse Spark 1.1 se conectó anteriormente a internet y hackeó los sistemas de una empresa no identificada.

Fuente: HODL Press