“Il primo agente AI personale al mondo costruito per tutti”. È il claim con cui Meta presenta Muse, un agente che può lavorare per conto dell’utente, continuare un’attività quando l’app è chiusa, ricordare nel tempo conversazioni, preferenze e progetti e intervenire di propria iniziativa quando ritiene che sia necessario.
Può usare un browser, compilare moduli, gestire email e calendario, effettuare prenotazioni e acquisti, scrivere codice e costruire gli strumenti che gli servono. Può inoltre gestire contemporaneamente più attività e coordinare sub-agent. L’interazione avviene attraverso l’app Muse o direttamente da WhatsApp, ma l’agente continua a operare indipendentemente dalla presenza dell’utente nella conversazione.
Ogni utente dispone di un proprio computer persistente nel cloud. La Muse Secure VM è una macchina virtuale dedicata nella quale vengono conservati workspace, file, memoria e credenziali dei servizi collegati. I controlli sulle operazioni più sensibili rimangono separati dall’agente stesso, che non può decidere autonomamente quali dati possano uscire dalla VM.
Muse continua a lavorare anche dopo il prompt
Una volta ricevuto un compito o un traguardo più ampio, Muse può elaborare un piano, suddividerlo in attività e continuare a eseguirlo nel tempo. Il lavoro può procedere secondo una pianificazione oppure in risposta a eventi rilevanti.
Gli esempi spaziano dalla prenotazione di un viaggio alla vendita di un’automobile, dalla ricerca di condizioni migliori per una bolletta alla modifica di un programma di allenamento quando cambiano gli altri impegni della persona. Muse può continuare queste attività per giorni o settimane, tornando dall’utente quando emerge una novità oppure quando serve un’approvazione.
L’agente decide anche se il risultato di un’attività in background sia abbastanza importante da meritare una notifica. La proattività può essere regolata dall’utente, fino a disattivarla.
Al lancio Muse utilizza Muse Spark 1.3, modello sviluppato per mantenere istruzioni e vincoli durante attività lunghe, utilizzare strumenti, gestire workflow paralleli, coordinare altri agenti e riconoscere gli ostacoli che richiedono l’intervento dell’utente.
Muse dispone inoltre di un file system e di un terminale. Può quindi scrivere codice, compilare programmi e sviluppare nuovi strumenti o connettori quando il servizio con cui deve interagire mette a disposizione API o interfacce a riga di comando.
La memoria persistente segue attività e preferenze nel tempo
Muse conserva nel tempo ciò che apprende sull’utente e sulle attività in corso. Le informazioni possono essere riutilizzate in conversazioni successive oppure quando l’agente riprende un progetto o avvia un task collegato.
Una ricetta salvata su Instagram, per esempio, può diventare una lista della spesa e successivamente essere combinata con le preferenze o le restrizioni alimentari degli invitati quando l’agente prepara un menu. Muse può inoltre generare nuovi suggerimenti sulla base delle conversazioni precedenti, dei pattern osservati e degli obiettivi già impostati.
I file che compongono la memoria sono accessibili all’utente, che può leggerli e modificarli direttamente, oltre a chiedere a Muse di dimenticare informazioni specifiche. File, contenuti prodotti dall’agente e memoria personale risiedono nella VM dell’utente e possono essere ispezionati, modificati e scaricati.
Goals raccoglie gli obiettivi di lunga durata, i piani predisposti per raggiungerli e i progressi compiuti. Le side chat permettono invece di aprire contesti separati quando un progetto richiede una conversazione autonoma.
Con Ideas, Muse continua a elaborare possibili attività sulla base di obiettivi, abitudini e informazioni apprese e può proporre autonomamente nuovi passi o modifiche a un piano esistente.
L’activity log rende visibili operazioni e permessi
Un activity log completo permette di seguire i lavori in corso, le operazioni già compiute e i permessi concessi. Anche i file della memoria restano direttamente consultabili.
Le operazioni difficili da annullare, come l’invio di un’email o un acquisto, non dipendono soltanto dalla conversazione con il modello. L’interfaccia presenta richieste strutturate di approvazione e controlli espliciti per accettare o rifiutare.
Muse può quindi proporre un’azione, ma non può interpretare autonomamente una risposta in linguaggio naturale come autorizzazione sufficiente per eseguirla.
Una macchina Linux isolata per ogni utente
La Muse Secure VM dispone di browser, storage, CPU e memoria propri. Muse può usarla per compilare il codice che scrive, creare skill, eseguire attività programmate e coordinare più sub-agent.
Il nucleo agentico, il workspace, i file e gli strumenti utilizzati da Muse vengono eseguiti in un container systemd-nspawn con un filesystem Debian distinto da quello dell’host, un’interfaccia di rete virtuale e capability kernel limitate.
Anche se il software ottiene privilegi di root all’interno di questo ambiente, quel root viene mappato su un utente non privilegiato dell’host e non equivale quindi al controllo della macchina virtuale sottostante.
Fuori dal container rimangono i componenti che gestiscono le operazioni più sensibili. hatch-safety esegue modelli e classificatori indipendenti per analizzare ciò che entra ed esce dall’inferenza; i worker privsep eseguono il codice dei connettori con privilegi circoscritti; hatch-authd conserva token OAuth e altre credenziali e sostituisce i segreti reali con credenziali surrogate.
Il modello principale può così utilizzare un servizio senza conoscere direttamente password e token reali.
Sentinel autorizza o blocca le azioni di Muse
A decidere se Muse possa compiere determinate azioni è Sentinel, un secondo agente mantenuto separato dal sistema principale.
Sentinel controlla le operazioni effettuate attraverso i connettori e il traffico di rete in uscita. Muse può chiedere di chiamare un servizio o raggiungere una destinazione Internet, ma non può concedersi da solo il permesso necessario.
Per una richiesta attraverso un connettore, Sentinel considera il servizio utilizzato, il tipo di operazione, la sua portata e il contesto della richiesta originaria dell’utente. Può autorizzarla, rifiutarla oppure chiedere una decisione alla persona.
I permessi possono valere per una singola operazione, una sessione, uno specifico task, un intervallo di tempo oppure in modo permanente. Quando il servizio lo permette vengono distinti anche accesso in lettura e accesso in scrittura: si può, per esempio, consentire a Muse di leggere un calendario senza autorizzarlo a creare nuovi appuntamenti.
I controlli possono scendere a un livello più granulare dei soli scope OAuth, limitando singole categorie di operazioni all’interno dello stesso servizio.
Il traffico in uscita passa attraverso controlli dedicati
Attraverso un proxy e controlli Linux, Sentinel può analizzare destinazione, indirizzo IP finale, porta, protocollo, metodo HTTP, percorso e contenuto decodificato di una richiesta prima che questa lasci la VM.
Le credenziali vengono inserite just in time soltanto dopo l’autorizzazione. Il processo eseguito da Muse lavora con un token sostitutivo; al confine di rete Sentinel lo rimpiazza con quello reale recuperato dal sistema di gestione delle credenziali.
Il tainted egress distingue inoltre i processi che hanno avuto accesso ai dati dell’utente da quelli che non li hanno letti. Il controllo utilizza eBPF, tecnologia del kernel Linux che permette di osservare l’esecuzione dei processi.
Una richiesta già coperta da una policy molto circoscritta può essere autorizzata automaticamente finché il processo che la genera non ha letto informazioni personali. Dopo l’accesso a questi dati, il processo viene considerato tainted e perde questa possibilità, facendo scattare i normali controlli di approvazione.
Le operazioni che non hanno toccato dati personali possono così evitare richieste di autorizzazione ripetitive, mentre quelle che li hanno letti vengono sottoposte a controlli più stringenti.
Password e token restano fuori dal modello
Username e password digitati dall’utente nel browser vengono inviati direttamente allo storage protetto e inseriti nella pagina soltanto quando servono, senza passare attraverso il modello.
Muse utilizza un browser Chromium reale, ma il sub-agent incaricato della navigazione non riceve il DOM completo della pagina. Lavora su una rappresentazione basata sull’accessibility tree e non può eseguire JavaScript nel contesto della pagina o utilizzare Chrome DevTools.
Quando l’utente prende direttamente il controllo del browser o inserisce credenziali, l’agente viene sospeso e non può agire.
Il connettore email filtra codici OTP, magic link e collegamenti per reimpostare password attraverso controlli deterministici e un classificatore. Queste informazioni potrebbero infatti permettere all’agente — o a qualcuno che riuscisse a manipolarlo — di assumere il controllo di altri servizi.
Prompt injection, Meta ammette che il problema resta aperto
Istruzioni malevole nascoste in una pagina web, in un file, in un’email o in altri dati possono tentare di indurre un agente a eseguire azioni non volute. Per un sistema che accede contemporaneamente a dati personali e servizi esterni, la prompt injection diventa quindi un rischio direttamente operativo.
Meta riconosce esplicitamente che Muse “può e continuerà a commettere errori” e considera la prompt injection un problema ancora aperto per il settore.
Muse Spark 1.3 è addestrato a riconoscere tentativi di manipolazione; i contenuti provenienti da fonti esterne vengono contrassegnati come non affidabili; classificatori indipendenti cercano prompt injection in file, strumenti, pagine web, immagini e media. Sentinel controlla le comunicazioni verso l’esterno e alcune azioni richiedono comunque una decisione umana.
Il browser utilizza classificatori specifici anche per individuare tentativi di esfiltrazione di dati personali, prompt injection presenti nelle pagine e nelle immagini, file scaricati sospetti e moduli considerati ad alto rischio.
Il bug bounty di Muse prevede ricompense fino a 300.000 dollari in funzione dell’impatto della vulnerabilità. Un attacco di prompt injection riuscito che interessi un singolo utente può arrivare a un premio di 130.000 dollari.
Gli acquisti online richiedono una conferma esplicita
Muse può completare transazioni online. Se incontra una pagina di checkout sulla quale esiste già un metodo di pagamento, il sistema identifica il passaggio e richiede ogni volta l’approvazione dell’utente mostrando i dettagli dell’acquisto.
Per i nuovi pagamenti, al lancio viene utilizzato Link di Stripe. Al commerciante non viene fornito il numero reale della carta: viene generata una carta utilizzabile una sola volta, associata a uno specifico commerciante e importo e valida soltanto per un periodo limitato.
L’acquisto richiede comunque un’autorizzazione esplicita. Shop Pay e 1Password sono previsti successivamente, così da permettere a Muse di utilizzare account già esistenti mantenendo le credenziali fuori dalla portata diretta del modello.
I dati sono isolati nella VM, ma Meta può ancora accedervi
File, dati prodotti dall’agente e memoria vengono conservati nella Muse Secure VM. Anche token OAuth e credenziali dei servizi di terze parti rimangono nella macchina dell’utente, in un ambiente isolato distinto dal workspace dell’agente. I dati della VM vengono sottoposti a backup continuo per permetterne il ripristino.
Conversazioni e dati presenti nella VM non vengono condivisi con i sistemi pubblicitari di Meta, secondo quanto dichiarato dall’azienda. Alcune attività svolte dall’agente possono però avere effetti indiretti sulla pubblicità vista dall’utente.
Una visita a un sito effettuata da Muse può essere interpretata come attività dell’utente e contribuire, per esempio, al retargeting pubblicitario su Instagram. Anche operazioni effettuate attraverso servizi Meta, come la ricerca di prodotti su Facebook Marketplace, possono influenzare successivamente gli annunci mostrati.
Conversazioni, chiamate agli strumenti e passaggi fra sub-agent — le cosiddette trajectories — possono essere utilizzati per addestrare nuove versioni del modello dopo la rimozione delle principali informazioni di identificazione personale. Questa possibilità può essere disattivata dalle impostazioni di Muse.
Confidential VM dovrebbe impedire l’accesso anche a Meta
L’isolamento disponibile al lancio non impedisce tecnicamente a Meta di accedere ai dati della VM quando necessario per gestire, proteggere o fornire il servizio.
Con Muse Confidential VM, prevista entro la fine del 2026, l’intera macchina virtuale dovrebbe invece essere protetta attraverso un’architettura crittografica concepita per impedire anche a Meta di leggere i dati contenuti al suo interno.
Una prima implementazione è già utilizzata da un gruppo ristretto di tester. Design e codice del sistema vengono inoltre sottoposti ad auditor esterni, con la previsione di verifiche continuative dopo il lancio.
Artifacts estende il lavoro oltre la chat
Muse può creare documenti, PDF e pagine web, ma anche Artifacts, interfacce interattive utilizzabili fuori dalla conversazione.
Fra gli esempi figurano tracker delle spese, guide di studio e dashboard capaci di aggiornarsi nel tempo. Il risultato di un progetto può quindi continuare a evolvere anziché esaurirsi in un unico messaggio.
Artifacts può utilizzare lo stato conservato da Muse insieme a Goals e memoria, mentre activity log e controlli sui permessi permettono all’utente di verificare quali operazioni siano state eseguite e quali autorizzazioni restino attive.
Muse debutta negli Stati Uniti
Muse è in distribuzione negli Stati Uniti su iOS, Android e muse.ai e può essere utilizzato anche attraverso WhatsApp. Il supporto agli AI glasses arriverà successivamente.
La maggior parte delle funzioni è gratuita, mentre per gli utilizzi più intensivi sono previsti piani in abbonamento. Prezzi, limiti dei diversi livelli e data di disponibilità in Italia non sono ancora stati comunicati.
