Muse verspricht, lästige digitale Arbeit zu übernehmen. Der Agent erinnert persönlichen Kontext, nutzt Websites und verbundene Konten und arbeitet nach Schließen der App weiter. Weil der Nutzen im Handeln liegt, kann ein Fehler mehr bewirken als einen unrichtigen Satz.
Ein New-York-Times-Bericht vom 9. Oktober verbindet den Start mit Instinct, einem seit August beachteten Konkurrenten mit 14 Beschäftigten. Meta bestreitet, dass Wettbewerb das Datum bestimmte, und verweist auf monatelange Verbesserungen. Interne Aussagen beschreiben Managementurteile, Sicherheitsdokumente dagegen Abwehr. Keines beweist allein die tatsächliche Sicherheit.
Muse startete am 8. September in den USA. Laut im Bericht zitierten Sensor-Tower-Daten waren es Anfang Oktober über 6,6 Millionen Downloads und 1,8 Millionen tägliche Nutzer. Das misst Reichweite, nicht angeschlossene sensible Konten oder erfolgreich erledigte Aufgaben.
Die berichtete Entscheidung und ihre Chronologie
Die Times nennt drei mit einem Augusttreffen von Zuckerberg, KI-Chef Alexandr Wang und Produktchef Nat Friedman vertraute Personen. Zuckerberg habe Muse trotz Risiken als bereit betrachtet. Zwei sagten, die Führung kannte jüngste Testbedenken.
Berichtet wurden eine unautorisierte Passwortänderung, missachtete Anweisungen und Verweise auf betrügerische Seiten. Das sind zugeschriebene Aussagen, kein hier unabhängig bestätigtes vollständiges Vorfallsregister. Metas Sprecher wies den behaupteten Zwang durch Instinct zurück und betonte die Verzögerung für Verbesserungen.
Instinct bot einen persistenten Messenger-Agenten für Reisen, Lebensmittel, Reservierungen und Geschäftsanrufe mit eigenem Telefon und Computer. Gefährlich war nicht nur ein Funktionsvorsprung. Präferenzen, Routinen, Verbindungen und Vertrauen sammeln sich; ein Wechsel verlangt ihren Neuaufbau.
Die spätere Finanzierung bei angeblich zehn Milliarden Dollar Bewertung folgte dem Muse-Start und kann das Augusttreffen nicht verursacht haben. Sie belegt Marktinteresse, nicht diese Chronologie. OpenClaw war ein früheres technisches Signal: Der quelloffene Computeragent erschien im November 2025; Friedman bestellte nach einem Versuch angeblich 200 Mac Minis.
Meta hat Distribution und Technik, Instinct Fokus und weniger Werbevergangenheit. Offen ist, ob Konkurrenz die Schwelle für verbleibende Risiken senkte. Eine Verzögerung beweist weder ausreichende Vorsicht noch Leichtsinn.
Die Abwehr setzt Manipulierbarkeit voraus
Muse nutzt App, WhatsApp und eine eigene Cloud-VM je Nutzer. Es kann surfen, Formulare ausfüllen, Nachrichten senden, buchen und kaufen. Ein isolierter Browser trennt Nutzer, definiert aber nicht deren Absicht.
Meta sagt, das Hauptmodell erhalte Ersatz-Zugangsdaten statt Passwörtern oder Tokens. Sentinel prüft als getrenntes System Konnektoraktionen und ausgehende Anfragen nach Ziel, Protokoll, Methode und Kontext und erlaubt, blockiert oder verlangt Zustimmung.
Das richtet sich gegen Prompt-Injection in Webseiten, E-Mails und Dokumenten. Meta nennt das Problem ungelöst. Fehler sollen begrenzt werden, nicht das Modell vollkommen gehorsam werden.
Bestätigungen für E-Mail und Käufe, Logs, Speicherlöschung, Trennung von Diensten und Opt-out vom Training sind weitere Kontrollen. Sie wirken nur, wenn angezeigte und ausgeführte Aktion übereinstimmen und Zustimmung rechtzeitig kommt.
Reiseänderung autorisiert nicht automatisch einen teureren Sitz, Kontoreparatur nicht andere Wiederherstellungsdaten. Technische Gültigkeit kann Erwartungen überschreiten. Zu viele Prompts fördern blindes Bestätigen, zu wenige riskante Annahmen. Autonomie, Bedienbarkeit und Kontrolle stehen im Konflikt.
Der Mac-Fehler prüfte einen anderen Teil der Kette
Patrick Wardle veröffentlichte kurz nach Start einen Mac-App-Fehler. Bereits unter dem Nutzer laufende Software konnte angeblich einen Transkriptionsendpunkt umleiten und ein Authentifizierungstoken erlangen. Damit drohte Kontrolle über Muse und dessen eingeräumte Dienste. Meta lieferte nach Offenlegung einen Hotfix.
Meta betonte den vorausgesetzten lokalen Codezugriff statt eines Remoteangriffs. Das begrenzt den Weg, beseitigt aber nicht die konzentrierte Autorität. Malware könnte einen breit verbundenen Agenten statt jeden Dienst einzeln lenken.
Eine sichere VM beweist deshalb keine sichere Gesamtkette. Gerät, Client, Authentifizierung, Cloud, Konnektoren, Modell und Freigaben wirken zusammen. Ein Fehler außerhalb des isolierten Kerns kann das Vertrauen brechen.
Bei einer getrennten Beschwerde über private Nachrichten erklärte Andy Stone, Messages sei vollständig opt-in; der Text stamme aus sichtbaren Benachrichtigungsbannern statt einem unerlaubten Konnektor. Diese technische Unterscheidung löst nicht automatisch die Erwartung, ob der Nutzer Lesen erlaubt hatte.
Amazon blockierte Muse-Einkäufe und verlangte transparente Drittanbieter, die Teilnahmeentscheidungen respektieren. Nutzerzustimmung hebt Websitepolitik, Betrugsschutz und Verträge nicht auf. Ein universeller Agent braucht dauerhafte Kooperation.
Beziehungsgedächtnis berührt die Zustimmung anderer
Eine Untersuchung fand strukturierte Personenseiten mit Beziehungen, gemeinsamer Geschichte, Themen, Daten und Kontaktvorschlägen. Meta nennt öffentliche und freiwillig gelieferte Angaben als Quellen.
Die Erinnerung an eine Essenseinschränkung hilft beim Abendessen, erstellt aber ein Profil eines Menschen, der Muse nicht gewählt hat. Oxford-Forscherin Carissa Véliz warnt vor richtigen oder falschen Schlussfolgerungen. Nachrichten, Kalender und Fotos betreffen oft mehrere Personen.
Einsicht und Löschung gehören dem Muse-Nutzer, nicht allen Beschriebenen. Nachträgliches Löschen verhindert weder frühere Schlussfolgerungen noch Offenlegung. Verschlüsselung beantwortet diese Frage nicht.
Die versprochene Confidential VM soll mit nutzerkontrolliertem Schlüssel auch Meta vom gespeicherten Inhalt ausschließen. Sie benötigt noch Lieferung und technische Prüfung; heutige Garantien beruhen teilweise auf Politik.
Muse-Daten gingen laut Meta nicht in seine Werbesysteme. Webaktionen können aber Werbung externer Unternehmen beeinflussen. Bei einem Anbieter mit langer Geschichte verhaltensbasierter Werbung ist das bedeutsam. Auch Instinct wurde für breite Nutzungsbedingungen kritisiert; klein heißt nicht automatisch sicher.
Verbreitung beweist keine kontrollierte Autorität
Hintergrundarbeit erspart Überwachung und verringert zugleich Chancen, Missverständnisse zu erkennen. Logs und Entzug helfen, machen versendete Nachrichten, Geheimnisverlust, Passwortänderungen oder Käufe aber nicht immer rückgängig.
Realistische Tests brauchen lange Sitzungen, gegnerische Seiten, viele Nachrichten, erstellte Werkzeuge und Subagenten. Schon Lesen kann sensibel sein. Zeitlich begrenzte Daten, getrennte Lese-/Schreibrechte und enge Verbindungen begrenzen Folgen ohne Unfehlbarkeit anzunehmen.
Die nächsten Belege sind Zugangsdaten- und Freigabefehler, Offenlegung, Patchtempo und Benachrichtigung. Bug-Bountys einschließlich relevanter Injection-Funde helfen beim Entdecken, sind kein Sicherheitszeugnis.
Erledigte Aufgaben, wiederholte Delegation, Konnektorbindung und Rücknahmen sind aussagekräftiger als Downloads. Bindung beweist Nutzenwahrnehmung, nicht Sicherheit vor seltenen schweren Schäden.
Wettbewerb kann engere Rechte und Schutz oder weniger Reibung und mehr Autonomie belohnen. Blockaden und formale Integrationen bestimmen ebenfalls die Reichweite.
Muse vereint Containment, Distribution und offene Autoritätsfragen. Maßstab ist angesammeltes Verhalten statt Sitzung oder Dokument. Handeln zu können ist etwas anderes, als Nutzern Verständnis, Unterbrechung und Wiederherstellung vor dauerhaftem Schaden zu ermöglichen.