Metaは本日、質問に答えるだけでなく実際に行動を起こす個人向けAIエージェント「Muse」を発表しました。Museはメールの送信、旅行の予約、請求額の交渉、長期的な目標の達成などを自律的に進めることができます。ユーザーがアプリを閉じた後もクラウド上で動き続け、承認が必要なときだけ画面に戻ってきます。AI開発者にとってより重要なのは、そのアーキテクチャです。各利用者には「Muse Secure VM」と呼ばれる専用クラウド仮想マシンが割り当てられ、エージェント本体、ブラウザ、すべての認証情報が他のユーザーと隔離された状態で保存されます。
Museはメッセージングを中心に設計されています。ユーザーがチャットでタスクや目標を説明すると、エージェントが計画を立てて実行します。ブラウザを開いてフォーム入力を行ったり、ユーザーの代わりに交渉したりすることも可能です。Metaが示した例には、車をより高い価格で売る、請求額を下げる、トレーニングプランを調整する、といったものがあります。Museは会話をまたいだ文脈も記憶し、保存したInstagramのレシピ動画を買い物リストに変換したり、友人の食事制限を思い出したりできます。メール送信や購入完了などの重要なステップでは必ずユーザーの承認を待ち、エージェントが実施済み・予定しているすべての操作を監査証跡として可視化します。
Museの基盤となっているモデルは、先週Meta Superintelligence Labsが公開した「Muse Spark 1.3」です。このモデルは長期間にわたるエージェントタスクを想定しており、ゼロショットでのCLIツール呼び出し、複数のワークフロースレッドの並行処理、情報が複雑に入り混じる環境での自己修正を得意とします。Metaエンジニアの内部比較では、Muse Spark 1.2と比べてツール呼び出しが約20%減、トークン消費量が約25%減となりました。Metaによると、プロンプトインジェクションへの耐性も業界最高水準に近いとのことです。開発者は現在、Muse CodeとMeta Model API（dev.meta.ai）からこのモデルを利用できます。オープンウェイトでの公開もロードマップ上に含まれています。
今回の発表で技術的に最も興味深いのは、セキュリティ設計です。エージェントの実行環境はsystemd-nspawnのランタイムセル内に置かれ、システムコールはフィルタリングされ、カーネル権限も制限されています。重要なセキュリティサービスは同じ仮想マシン上のそのセル外に配置されます。独立した「Sentinel」エージェントが、すべてのコネクタ操作とネットワークリクエストをL4とL7の両方で承認します。Museは処理を提案するだけで、許可を出せるのはSentinelだけです。認証情報は「代理トークン」方式で管理され、エージェントは常にプレースホルダとなるトークンしか見ることができません。実際のシークレットはネットワーク境界でSentinelが注入します。そのため、プロンプトインジェクションで認証情報を盗み出そうとしても、エージェント側に盗める本物の情報が存在せず、構造上不可能です。さらに、カーネルレベルのeBPF染み分け(taint tracking)により、ユーザーデータに触れていない「クリーンなリクエスト」と、触れた「汚染されたリクエスト」を区別し、承認レベルを変えます。ブラウザのサブエージェントは生のDOMではなくアクセシビリティツリーだけを見られ、JavaScriptも実行できません。メールコネクタはデフォルトでワンタイムパスコードやパスワードリセットリンクを除外します。
Metaは、1つのMuseアクションが承認されるまでの流れを5段階で示すインタラクティブな説明ツールも用意しています。通常の購入と、ブロックされたプロンプトインジェクション試行という2つのシナリオが収録されています。Muse自体はコンシューマー向けサービスとして、米国でiOS、Android、muse.ai向けに展開中で、無料プランと有料プランがあります。WhatsAppでも直接利用可能です。開発者がMuse自体をセルフホストすることはできませんが、その基盤モデルであるMuse Spark 1.3はMuse CodeとMeta Model APIで利用でき、オープンウェイトのリリースも予定されています。Metaはこの設計により、能動的に動くAIエージェントを、より制御された信頼境界の内部に置こうとしています。