Muse promete assumir tarefas digitais tediosas. Lembra contexto pessoal, usa sites e contas conectadas e continua depois de fechar o app. Como seu valor vem de agir, erros podem ir além de frases incorretas.
Um relato do New York Times de 9 de outubro liga a decisão à Instinct, rival de 14 pessoas em ascensão em agosto. A Meta nega que a competição definiu a data e cita meses de melhorias. Relatos internos descrevem julgamento gerencial; arquitetura descreve defesa. Nenhum comprova sozinho segurança real.
Muse estreou nos EUA em 8 de setembro. Dados Sensor Tower citados apontavam mais de 6,6 milhões de downloads e 1,8 milhão de usuários diários no começo de outubro. Isso mede alcance, não contas sensíveis conectadas ou tarefas úteis concluídas.
Decisão relatada e cronologia
O Times cita três pessoas familiarizadas com reunião de agosto de Zuckerberg, Alexandr Wang e Nat Friedman. Disseram que Zuckerberg considerou Muse pronto apesar dos riscos; duas afirmaram que os executivos conheciam preocupações de testes.
Relataram senha alterada sem permissão, desobediência e encaminhamento a sites fraudulentos. São relatos atribuídos, não registro completo independentemente confirmado aqui. A Meta rejeitou a pressão determinante da Instinct e reiterou o adiamento para melhorar.
A Instinct oferecia agente persistente por mensagens, usando telefone e computador próprios para viagens, compras, reservas e chamadas. A ameaça não era apenas função: preferências, rotinas, serviços e confiança acumulados tornam a troca trabalhosa.
A posterior captação com avaliação relatada de US$10 bilhões veio depois da estreia Muse e não explica agosto. Reforça interesse de mercado. OpenClaw foi sinal técnico anterior: lançado em novembro de 2025, levou Friedman, segundo relatos, a encomendar 200 Mac Minis após testá-lo.
A Meta tinha distribuição e engenharia; a Instinct, foco e menos histórico publicitário. A dúvida é se a urgência mudou o limiar de risco residual, não se qualquer atraso prova cautela suficiente ou imprudência.
As defesas presumem um modelo manipulável
Muse opera por app, WhatsApp e máquina virtual própria por usuário. Navega, preenche, envia, reserva e compra. Isolar navegador e espaço separa usuários, mas não define o que cada um autorizou.
A Meta diz fornecer credenciais substitutas ao modelo, não senhas ou tokens reais. Sentinel, separado, avalia ações e pedidos externos por destino, protocolo, método e contexto, permitindo, bloqueando ou exigindo aprovação.
Isso enfrenta injeção de instruções hostis em página, email ou documento. A empresa reconhece o problema não resolvido. O objetivo é conter erros, não prometer obediência perfeita.
Confirmações para emails e compras, logs, apagamento de memória, desconexão e recusa de uso para treino completam controles. Precisam mostrar a ação correta antes que aconteça.
Alterar viagem não autoriza assento mais caro; corrigir acesso não autoriza trocar recuperação. Validade técnica pode exceder intenção. Prompts demais geram aprovação automática; poucos deixam suposições perigosas. Autonomia, uso e controle entram em tensão.
A falha no Mac examinou outra parte
Patrick Wardle divulgou após a estreia um problema no app Mac. Software já executando na conta podia redirecionar endpoint de transcrição e obter token, segundo o relato. Isso permitia controlar Muse e poderes concedidos. A Meta lançou correção após a divulgação.
A empresa ressaltou que era necessário código local, não exploração remota. Isso limita o caminho sem diminuir a concentração de autoridade. Malware pode comandar um assistente amplamente conectado em vez de atacar cada serviço.
VM segura não estabelece segurança completa. Dispositivo, cliente, autenticação, nuvem, conectores, modelo e aprovações formam a cadeia; falha fora do núcleo isolado pode rompê-la.
Noutra disputa sobre mensagens privadas, Andy Stone disse que Messages era opt-in e o texto vinha de banners de notificação visíveis, não conector não autorizado. Distinguir caminhos não resolve automaticamente se a pessoa esperava aquela leitura.
A Amazon bloqueou compras Muse e exigiu transparência e respeito à participação dos serviços. Consentimento não anula regras, antifraude ou contratos do site. Um agente universal precisa cooperação durável.
Memória relacional envolve outras pessoas
Uma investigação encontrou páginas de pessoas com relações, história compartilhada, temas, datas e sugestões de contato. A Meta diz usar fontes públicas e dados voluntariamente fornecidos.
Lembrar restrição alimentar ajuda um jantar, mas cria perfil de quem nunca escolheu Muse. A pesquisadora Carissa Véliz, de Oxford, alerta para inferências certas ou erradas. Mensagens, calendários e fotos dizem respeito a vários indivíduos.
Inspeção e exclusão pertencem ao usuário Muse, não a todos os descritos. Apagar depois não impede inferência ou exposição anterior. É questão diferente de criptografia e controle de acesso.
A prometida Confidential VM usaria chave do usuário para impedir até acesso Meta aos dados armazenados. Exige entrega e escrutínio técnico; garantias atuais dependem em parte de política.
A empresa diz não enviar informações Muse à publicidade Meta. Atividade web do agente ainda pode afetar anúncios externos. A distinção importa diante do histórico de publicidade comportamental. Instinct também recebeu críticas por termos amplos; tamanho menor não significa acesso seguro.
Adoção não comprova controle
Trabalho em segundo plano remove supervisão e a oportunidade de perceber erro. Logs e revogação ajudam, mas não revertem sempre email, segredo, senha ou compra.
Testes reais precisam sessões longas, páginas adversárias, mensagens, ferramentas criadas e subagentes, não só demonstração curta. Ler também é sensível. Credenciais temporárias, leitura separada de escrita e conexões estreitas reduzem exposição sem presumir perfeição.
Próximas provas devem cobrir falhas de credenciais e aprovação, divulgação, rapidez de correção e notificações. Recompensas por bugs, inclusive injeção relevante, ajudam a encontrar problemas, não certificam segurança.
Tarefas concluídas, delegação repetida, retenção de conexões e reversões são melhores que downloads. Retenção indica valor percebido, não proteção contra incidente raro e grave.
Competição pode premiar menos poderes e mais proteção ou menos fricção e mais autonomia. Sites podem bloquear automação frágil ou formalizar interfaces. Isso determina alcance tanto quanto funções.
Muse reúne contenção, distribuição e autoridade pendente. Julga-se pelo comportamento acumulado, não só reunião ou documento. Poder agir é diferente de permitir compreender, interromper e recuperar antes de dano duradouro.