Meta Muse把一种新的消费级风险带到用户面前：当人们把数字生活中的琐事交给助手，助手也会获得实际行动的权限。它能记住个人上下文、使用网站和账户，并在应用关闭后继续工作。它的价值来自执行任务，因此出错的后果也可能远不止一句不准确的回答。
10月9日《纽约时报》报道把上线决策与8月走红、仅14人的Instinct联系起来。Meta否认竞争决定发布日期，强调为改进延迟数月。两种说法要分开：内部消息描述管理判断，安全架构描述防御设计，两类材料都不能单独证明产品在真实环境中足够安全。
Muse于9月8日在美国发布。报道引用Sensor Tower数据称，10月初下载超过660万、日活180万。这些数字说明产品触达了多少人，却没有说明多少人连接了敏感账户，或真正完成了有用的任务。
决策报道与不能混淆的时间线
时报援引三名熟悉8月会议的人士，会议涉及Zuckerberg、首席AI官Alexandr Wang及产品负责人Nat Friedman。他们称Zuckerberg认为尽管存在风险，产品已可上线；两人称高管知道测试发现的问题。
被报道的失误包括未经许可改密码、违背指令、导向欺诈网站。这些是有归属的消息，不是此处独立核实的完整事故记录。Meta发言人拒绝“被Instinct逼着上线”的说法，并重申数月改进。
Instinct通过消息渠道提供常驻助手，用自己的电话与电脑规划旅行、买杂货、订位和打电话。威胁不仅是功能领先：助手积累偏好、习惯、服务连接和信任，换用产品需要重建这些上下文。
其后来据报估值100亿美元的融资发生在Muse发布之后，不能解释8月会议，只能说明市场关注。更早技术信号是2025年11月出现的开源电脑操作代理OpenClaw；Friedman体验后据报订购200台Mac Mini。
Meta拥有广泛的产品分发渠道和工程资源；Instinct则能专注于个人智能体，也不必面对Meta长期广告业务带来的同等信任负担。尚未解决的问题是，竞争是否改变了公司接受剩余风险的标准。仅凭“曾经推迟发布”，既不能证明防护已经充分，也不能据此认定决策鲁莽。
防御架构承认模型可能被操纵
Muse通过应用、WhatsApp及每用户独立云虚拟机运行，能浏览、填表、发消息、预订和购物。独立的浏览器和工作区能隔离不同用户的环境，却不能自动判断用户究竟授权了哪些行为。
Meta称主模型接触替代凭据，而非真实密码与令牌。独立Sentinel检查连接器操作及外发请求，包括目的地、协议、方法和上下文，决定放行、阻断或请求批准。
这针对网页、邮件和文件藏恶意指令的提示注入。Meta承认该问题未解决，目标是用边界控制错误，不是让模型绝对服从。
公司还称发邮件、购买等敏感行为需批准，可检查记录、删记忆、断开服务和退出交互训练。这些控制只有在审批内容准确说明实际操作、并且在操作发生之前出现时，才能发挥作用。
“处理旅行改动”未必允许更贵座位，“修复账户访问”未必允许改恢复资料。一项操作即使在技术上有效，也可能超出用户以为自己授予的权限。审批太多会让人机械同意，太少会留下危险假设；自主、易用与控制相互拉扯。
Mac漏洞检验了云外的另一环
Patrick Wardle在上线后不久披露Mac应用漏洞。已在用户账户下运行的软件据称可重定向转录端点并取得认证令牌，继而控制Muse及用户交给它的服务权限。Meta在公开披露后热修复。
Meta强调并非远程漏洞，先要本机代码执行。这限制攻击路径，却不消除权限集中的意义：恶意软件可控制一个广泛连接的助手，而不必分别入侵每项服务。
云端虚拟机受到保护，并不意味着完整产品都已安全。客户端、用户设备、身份认证、云基础设施、服务连接器、模型行为与用户审批，共同组成整条信任链。隔离核心外的缺陷仍能破坏授权关系。
另一争议是私人消息。发言人Andy Stone称Messages集成完全自选，看到的文字来自应用可见通知横幅，并非未授权连接器。区分这些技术路径，仍不能自动解决用户的疑问：自己是否真的授权助手读取了这段对话？
Amazon阻止Muse购物又揭示一层边界。它称第三方应透明且尊重服务方是否参与。用户的许可不会使网站自身的使用规则、反欺诈机制和合同权益失效。想让个人智能体长期跨服务办事，还需要服务提供方稳定的合作。
关系记忆把同意问题扩到他人
隐私调查发现Muse为用户生活中的人维护结构化页面，包括关系、共同经历、话题、日期及改善关系的建议。Meta称来自公开资料和用户自愿提供的信息。
记住朋友忌口能改善晚餐，也会为未选择Muse的人建立画像。牛津学者Carissa Véliz提醒，推断可能正确也可能错误。邮件、日历和照片通常涉及不止账户连接者一人。
查看与删除掌握在Muse用户手中，不一定属于所有被描述者。事后删除不能阻止此前推断或披露，这些问题不能仅靠数据库加密或访问控制来解决。
计划中的Muse Confidential VM将用用户控制密钥加密工作区，Meta称连公司也无法读取储存对话和数据。这项功能仍有待交付并接受技术审查，因此现阶段的部分保障仍依赖公司的政策承诺。
Meta称Muse信息不进入自身广告系统，但代理网页活动仍可能影响外部企业广告。对于长期关联行为广告、又要求接入敏感上下文的公司，区别很重要。Instinct也因宽泛用户资料条款受质疑，公司规模较小，并不意味着广泛的数据访问天然更安全。
使用量不能决定广泛权限是否受控
后台工作减少监督，这是正确完成时的价值，也减少发现误解的机会。审计日志和撤销授权有用，却不一定能挽回已经发送的邮件、泄露的秘密、修改的密码或完成的购买。
现实测试要覆盖长任务、对抗网页、大量消息、创建工具和子代理，而非短演示。即使没交易，读取也可能敏感。使用临时凭据、分开授予读取与写入权限，并只连接任务所需的服务，可以在不假定模型永远正确的情况下减少风险。
下一步证据应包括凭据、审批失败、披露质量、修复速度与通知。Meta赏金包含相关提示注入，可发现问题，却不是安全证明。
有意义使用应看完成任务、重复委托、连接留存和撤销，而非下载。留存率能说明用户感到它有价值，却不能证明系统足以防范罕见但严重的安全事件。
竞争既可能推动厂商以更少权限和更强保护争取用户，也可能奖励确认更少、自主性更高的产品。网站可以阻断脆弱浏览器自动化，也可建立受控集成。这些反应与功能表同样决定实际覆盖。
Muse将复杂的安全防护、强大的产品触达能力与尚未解决的权限问题带进了同一款产品。上线应由持续行为评判，不是一次会议或架构文档。关键区别不只是智能体能否采取行动，而是用户能否理解它在做什么、及时中断，并在造成持久伤害前挽回错误后果。