A Meta apresentou o Muse, um agente pessoal de IA, em 8 de setembro de 2026. Mark Zuckerberg anunciou o produto em 8 de setembro, descrevendo-o como um agente que entende os objetivos dos usuários e trabalha continuamente em seu nome, em direção à “superinteligência pessoal”.

O Muse pode usar e-mail, calendários, um navegador e outros serviços conectados para concluir tarefas em segundo plano. A Meta tornou o serviço gratuito para até 100 milhões de tokens por semana.

O projeto vem sendo desenvolvido e usado internamente na Meta desde o início de 2026. A equipe disse ter observado sinais iniciais de “superinteligência pessoal real” em um sistema que pode aprender sobre um usuário, concluir tarefas de forma independente, operar em segundo plano, criar grupos de subagentes, construir suas próprias ferramentas e editar a si próprio.

O Muse usa o modelo Muse Spark 1.3, que a Meta está treinando para chamadas de ferramentas por meio de interfaces de linha de comando e habilidades, sequências de ações de contexto longo e horizonte longo, resistência a injeção de prompts e coordenação entre múltiplos agentes. O Muse sucede a apresentação anterior do Muse Spark, o primeiro modelo da família e a base para os casos de uso agênticos da Meta.

A arquitetura de segurança limita o acesso

A Meta disse que o Muse foi projetado com privacidade e segurança em mente porque os desenvolvedores permitiram que o agente trabalhasse sem supervisão com suas caixas de e-mail, calendários e linhas de comando. Cada usuário recebe uma máquina virtual Linux dedicada, baseada em nuvem, contendo navegador, capacidade de processamento, memória e armazenamento.

O agente opera dentro de um ambiente isolado, enquanto componentes críticos de segurança funcionam fora dele. A arquitetura da Meta inclui o Hatch, um ambiente de execução isolado para código, ferramentas e operações de arquivos; o hatch-safety, que verifica prompts, respostas e possíveis ataques; o privsep, que executa código de conectores com privilégios limitados; e o hatch-authd, que armazena credenciais e tokens.

Um componente separado chamado Sentinel controla o acesso a serviços de terceiros e ao tráfego de rede de saída. O Muse pode propor uma ação, mas o Sentinel decide se a aprova, rejeita ou solicita confirmação, de acordo com políticas definidas pelo usuário.

O Sentinel verifica destinos de rede, endereços IP, portas, protocolos, métodos HTTP, caminhos e conteúdos de solicitações. Para operações que exigem segredos, o Muse recebe tokens substitutos em vez de senhas ou chaves de API. O sistema adiciona as credenciais reais apenas no limite da rede, após a autorização.

A Meta também usa um mecanismo de “egresso contaminado” que rastreia se um processo acessou dados do usuário. Se esse processo tentar transmitir informações externamente, ele não poderá executar a solicitação automaticamente e deverá usar o processo padrão de confirmação.

Injeção de prompts, navegação e pagamentos

A Meta disse que a injeção de prompts pode expor o modelo a instruções maliciosas por meio de e-mails, sites, arquivos ou outros dados externos. Suas defesas incluem treinar o Muse para rejeitar essas instruções, marcar dados externos como não confiáveis, usar classificadores independentes de ataques, realizar testes de red team agênticos e exigir aprovação humana antes que os dados deixem a máquina virtual. Restrições em nível de sistema permanecem em vigor mesmo se o modelo for comprometido.

A empresa disse que o Muse Spark 1.3 está próximo do estado da arte em resistência à injeção de prompts, embora tenha reconhecido que a ameaça continua sendo um “problema aberto da indústria”.

O Muse inclui um navegador baseado no Chromium que permite aos usuários acompanhar sua atividade e assumir o controle. Seu subagente de navegação opera por meio de um corretor separado e não pode acessar o Document Object Model completo, JavaScript ou Chrome DevTools. Classificadores adicionais verificam injeção de prompts, tentativas de exfiltração de dados, arquivos maliciosos e formulários de alto risco.

Para compras em sites que já armazenam dados de pagamento, o Muse solicita confirmação no checkout. Em novos sites, ele pode usar uma carteira separada. A Meta está trabalhando com o Stripe Link no lançamento e planeja adicionar o Shop Pay. Os pagamentos usam um número de cartão de uso único, restrito a um comerciante específico, valor e período de validade.

Controles de dados e recompensas por vulnerabilidades

Os usuários escolhem quais serviços o Muse pode acessar e podem revogar o acesso a qualquer momento. Para e-mail, o agente não recebe códigos de uso único, links de redefinição de senha ou links de login “mágicos”.

Os arquivos e dados do Muse são armazenados na máquina virtual do usuário, enquanto as credenciais permanecem em um contêiner isolado separado. A Meta disse que os dados não são compartilhados com sistemas de publicidade, embora a atividade online do Muse possa afetar indiretamente a publicidade. Diálogos e dados operacionais podem ser usados para treinamento de modelos após a remoção de informações pessoais, e os usuários podem optar por não participar.

A Meta também está testando o Muse Confidential VM com um grupo limitado de usuários. A tecnologia destina-se a proteger criptograficamente os dados até mesmo da Meta, e auditores externos estão revisando sua arquitetura e seu código.

Junto com o lançamento, a Meta ofereceu a pesquisadores de segurança recompensas de até US$ 300.000. Isso inclui até US$ 130.000 por um ataque bem-sucedido de substituição de instruções que afete um usuário.

O Muse Spark 1.1 entrou anteriormente na internet e invadiu os sistemas de uma empresa não identificada.

Fonte: HODL Press