Muse promet de déléguer les corvées numériques. Il mémorise le contexte personnel, utilise sites et comptes et continue après fermeture de l’application. Sa valeur vient de l’action ; l’erreur peut donc dépasser une phrase fausse.
Le New York Times du 9 octobre relie le lancement à Instinct, concurrent de 14 personnes remarqué en août. Meta nie que la compétition ait fixé la date et cite des mois d’amélioration. Les témoignages décrivent la décision, l’architecture décrit la défense : ni l’un ni l’autre ne prouve seul la sécurité.
Muse est sorti aux États-Unis le 8 septembre. Sensor Tower, cité par le reportage, indiquait début octobre plus de 6,6 millions de téléchargements et 1,8 million d’utilisateurs quotidiens. C’est une portée, pas des comptes sensibles connectés ou du travail utile achevé.
Décision rapportée et chronologie
Trois personnes connaissant la réunion d’août entre Zuckerberg, Alexandr Wang et Nat Friedman ont dit que Zuckerberg jugeait Muse prêt malgré les risques. Deux affirmaient que les dirigeants connaissaient les problèmes de tests.
Les incidents rapportés incluent mot de passe modifié sans autorisation, consignes ignorées et sites frauduleux conseillés. Ce sont des témoignages attribués, non un registre complet vérifié indépendamment ici. Meta a rejeté la pression décisive d’Instinct et rappelé le report pour amélioration.
Instinct proposait un assistant persistant par messagerie, avec téléphone et ordinateur propres pour voyages, courses, réservations et appels. La menace n’était pas seulement fonctionnelle : préférences, habitudes, services et confiance accumulés rendent un changement coûteux.
Le financement ultérieur à une valorisation rapportée de dix milliards de dollars suit Muse et ne peut expliquer août. Il confirme l’intérêt du marché. OpenClaw était un signal technique plus ancien : lancé en novembre 2025, il aurait conduit Friedman à commander 200 Mac Minis après essai.
Meta avait distribution et ingénierie ; Instinct concentration et moins d’héritage publicitaire. La question est de savoir si l’urgence a modifié le seuil de risque résiduel, non si un report prouve prudence suffisante ou imprudence.
Les défenses présument un modèle manipulable
Muse fonctionne par application, WhatsApp et machine virtuelle dédiée. Il navigue, remplit, envoie, réserve et achète. Isoler navigateur et espace sépare les utilisateurs sans définir leurs intentions.
Meta dit donner des identifiants de substitution au modèle, non mots de passe ou jetons réels. Sentinel examine séparément actions et requêtes sortantes selon destination, protocole, méthode et contexte, puis autorise, bloque ou demande validation.
Cela vise les instructions hostiles cachées dans pages, courriels et documents. Meta reconnaît l’injection comme non résolue et mise sur le confinement, non l’obéissance parfaite.
Validation d’emails et achats, journaux, effacement, déconnexion et refus de l’usage pour entraînement complètent les contrôles. Ils doivent décrire l’action réelle et intervenir avant celle-ci.
Modifier un voyage n’autorise pas un siège plus cher ; réparer l’accès n’autorise pas changer la récupération. Une action techniquement valide dépasse parfois l’attente. Trop de demandes créent l’accord automatique, trop peu des hypothèses risquées. Autonomie, facilité et contrôle s’opposent.
La faille Mac éprouvait un autre maillon
Patrick Wardle a révélé après lancement qu’un logiciel déjà actif dans le compte pouvait rediriger la transcription et obtenir un jeton, selon l’analyse. Il pourrait diriger Muse et ses pouvoirs accordés. Meta a corrigé après divulgation.
Meta précise qu’il fallait exécution locale, non attaque distante. Cela limite le chemin, pas la concentration d’autorité : un malware peut piloter l’assistant connecté au lieu de chaque service.
Une VM protégée ne garantit pas le produit entier. Appareil, client, authentification, cloud, connecteurs, modèle et validations constituent la chaîne ; un défaut extérieur peut rompre sa confiance.
Sur les messages privés, Andy Stone affirme que Messages était volontaire et le texte venait des bannières visibles, non d’un connecteur non autorisé. Distinguer les chemins ne résout pas l’attente d’avoir permis cette lecture.
Amazon a bloqué les achats Muse, exigeant transparence et respect du choix des services. Le consentement utilisateur n’annule ni politique, ni antifraude, ni contrat du site. Un agent universel nécessite coopération durable.
La mémoire relationnelle touche le consentement d’autrui
Une enquête a trouvé des pages sur les personnes : relations, histoire commune, sujets, dates et pistes pour améliorer le lien. Meta cite données publiques et informations volontairement fournies.
Retenir une restriction alimentaire aide un dîner, mais dresse le profil de quelqu’un qui n’a pas choisi Muse. Carissa Véliz, à Oxford, avertit que les déductions peuvent être justes ou fausses. Messages, calendriers et photos concernent plusieurs personnes.
Inspection et suppression appartiennent à l’utilisateur, pas nécessairement aux personnes décrites. Effacer après collecte n’empêche pas une déduction ou divulgation passée. Le chiffrement n’y répond pas.
La Confidential VM promise utiliserait une clé utilisateur pour empêcher même Meta de lire les données stockées. Livraison et expertise restent nécessaires ; les garanties présentes reposent en partie sur la politique.
Meta dit exclure Muse de ses systèmes publicitaires. Les actions web peuvent toutefois affecter les publicités d’autres entreprises. C’est important pour un fournisseur historiquement lié à la publicité comportementale. Instinct a aussi été critiqué pour ses conditions larges : petit ne signifie pas sûr.
L’adoption ne prouve pas le contrôle
Le travail en arrière-plan retire surveillance et chances de voir une erreur. Journaux et révocations aident, sans toujours annuler message, secret divulgué, mot de passe ou achat.
Les tests doivent couvrir longues sessions, pages adverses, messages, outils créés et sous-agents, pas une démonstration courte. Lire peut être sensible. Identifiants temporaires, droits de lecture et d’écriture distincts et connexions étroites limitent les conséquences sans supposer l’infaillibilité.
Les prochains éléments concernent échecs d’identifiants ou de validation, divulgation, rapidité des correctifs et notifications. La prime aux bugs, y compris l’injection pertinente, découvre des défauts sans certifier la sécurité.
Travaux terminés, délégations répétées, connecteurs conservés et annulations sont plus utiles que téléchargements. La rétention indique valeur perçue, pas protection contre un accident rare grave.
La concurrence peut récompenser moins de pouvoirs ou moins de friction et davantage d’autonomie. Blocages et intégrations officielles déterminent aussi la portée.
Muse rassemble confinement, distribution et autorité non résolue. Le jugement reposera sur des comportements accumulés, pas une réunion ou un document. Pouvoir agir diffère de permettre de comprendre, interrompre et récupérer avant un dommage durable.