Agent Muse od Meta jest użyteczny w takim stopniu, w jakim obchodzi zabezpieczenia komputera. Pierwszą lukę znaleziono po kilku dniach

8 września Meta wypuściła w Stanach Zjednoczonych Muse, agenta AI do spraw codziennych. Rezerwuje wizyty, wypełnia formularze, załatwia sprawy z obsługą klienta i robi zakupy. Łączy się z pocztą, kalendarzem, WhatsAppem i kontami w mediach społecznościowych. Dwa tygodnie później ma za sobą miliony pobrań, lukę bezpieczeństwa i blokadę w sklepie Amazona.

17 września Muse dostał aplikację na komputery Mac. Według Ars Technica, żeby działać, prosi w systemie o zapis plików na dysku, dostęp do mikrofonu i kamery, lokalizację i kalendarz. Do tego dochodzi logowanie do każdej usługi, z której ma korzystać. Apple przez lata budowało zabezpieczenia, żeby zwykły program nie dostał tego wszystkiego naraz. Agent dostaje, bo bez tego nie wykona zadania.

Meta opisała w komunikacie z 8 września dwa zabezpieczenia. Muse pracuje w osobnej maszynie wirtualnej, czyli wydzielonym komputerze w chmurze, z własną przeglądarką. Obok działa drugi agent, Sentinel, bez którego zgody nic nie wychodzi do internetu. Muse nie widzi haseł ani numerów kart, a przy zakupie płaci jednorazową kartą z usługi Link firmy Stripe.

Patrick Wardle, specjalista od bezpieczeństwa komputerów Apple, znalazł w aplikacji na Maca nieopisane w dokumentacji ustawienie z adresem serwera, który zamienia mowę na tekst. Mógł je zmienić każdy program uruchomiony na tym komputerze, bez żadnych dodatkowych uprawnień. Po podmianie adresu dyktowane polecenia trafiały do atakującego, a razem z nimi dane logowania do konta Muse. Wardle przygotował przykładowe ataki, w których agent zapisywał złośliwe pliki i robił zdjęcia kamerą, często bez żadnego sygnału dla użytkownika.

Luka nie działała na odległość. Atakujący musiał najpierw uruchomić na komputerze własny kod, na przykład przez podrzucony program. Wardle porównał to w rozmowie z The Register do bloku mieszkalnego: zły sąsiad nie powinien mieć kluczy do wszystkich mieszkań, a przez agenta je dostawał. Według Ars Technica Meta wydała poprawkę ponad dwanaście godzin po publikacji opisu luki.

Wardle zwrócił też uwagę na wybór projektowy. Apple udostępnia dyktowanie działające w całości na urządzeniu. Gdyby Muse z niego korzystał, tej luki by nie było. Meta wysyła nagrania na własny serwer.

Komunikat Meta mówi, że użytkownik może wypisać się z wykorzystania rozmów do trenowania modeli. Oznacza to, że bez wypisania się rozmowy do tego służą. Meta zapewnia też, że rozmowy i dane z maszyny wirtualnej nie trafiają do systemów reklamowych. To inna zasada niż w Meta AI w WhatsAppie.

Na koniec roku Meta zapowiada Muse Confidential VM: całą maszynę wirtualną, razem z danymi i rozmowami, zaszyfruje klucz, który ma tylko użytkownik, tak że dostępu nie będzie miała nawet Meta. Z tej zapowiedzi wynika stan obecny. Dopóki nowa wersja nie działa, dane w maszynie wirtualnej Muse nie są w ten sposób chronione przed samą Metą.

W niedzielę 20 września Amazon zablokował Muse dostęp do swojego sklepu. Według SiliconANGLE regulamin Amazona wymaga, żeby agent przedstawiał się w każdym zapytaniu do serwisu, a Muse tego nie robił. Amazon zarzucił mu też, że na polecenie użytkownika przegląda strony konta i historię zakupów, czyli porusza się po kontach klientów jako nieujawniona strona trzecia. Rok wcześniej Amazon pozwał firmę Perplexity o agenta zakupowego w przeglądarce Comet.

Inni sprzedawcy wybrali odwrotnie. Według ITmedia i AI Times zakupy przez Muse mają działać we wszystkich sklepach na platformie Shopify. Decyzja, czy wpuścić agenta, przechodzi więc na właściciela sklepu, a ten musi najpierw wiedzieć, że agent go odwiedza.

Nagłówek o Muse wyprzedzającym ChatGPT jest prawdziwy w pomiarze Apptopii i fałszywy w pomiarze Sensor Tower. Apptopia podaje przy tym inną liczbę wartą uwagi: ponad 95 procent użytkowników Muse ma konto na Facebooku, a 63 procent na Instagramie. Meta rozprowadza agenta przez własne aplikacje, tak jak wcześniej Threads.

Meta napisała 8 września, że Muse trafia do użytkowników w USA na iOS, Androidzie i na stronie muse.ai. Według relacji prasowych od 18 września działa też w Kanadzie. Terminu dla Europy Meta nie podała. Pytania z ostatnich dwóch tygodni dotyczą jednak nie tylko Muse, tylko każdego agenta z dostępem do poczty i plików, a takie są już dostępne w Polsce.