Ein erster Blick auf Meta Muse

Meta Muse ist ein persönlicher KI-Agent von Meta, der am 8. September 2026 vorgestellt wurde. Er läuft auf einer dedizierten virtuellen Maschine in Metas Cloud und erledigt Aufgaben in den verbundenen Apps eines Nutzers, statt nur Fragen zu beantworten.

Wenn Sie schon einmal einen MCP-Server in einen Desktop-Client eingebunden und dann ein Launch-Video gesehen haben, das einen Agenten verspricht, der „Dinge für Sie erledigt“, sind Ihre ersten Fragen wahrscheinlich praktischer Natur. Wo läuft der Code? Wer verwaltet die API-Schlüssel? Kann ich meinen eigenen Server anbinden?

Dieser Artikel beantwortet diese Fragen anhand der veröffentlichten Aussagen von Meta und eines Praxisberichts eines Anbieters. Allgemeine Hintergründe zu Agenten finden Sie in der Einführung in agentische Browser und im Artikel Wie der Manus-KI-Agent funktioniert. Alle im Folgenden beschriebenen Sicherheits- und Datenschutzeigenschaften sind Angaben von Meta. Ein unabhängiges Sicherheitsaudit von Muse wurde bislang nicht veröffentlicht.

Was ist Meta Muse und worin unterscheidet es sich von einem Chatbot?

Meta Muse ist ein langlaufender Agent mit eigenem Computer, kein Chatfenster. Metas Launch-Ankündigung beschreibt Muse als einen Agenten, der auf einem dedizierten, abgesicherten Computer mit eigenem Browser läuft. Die VM jedes Nutzers beschreibt Meta als isolierte Linux-Maschine mit Speicher und genügend Rechenleistung, um den vom Agenten geschriebenen Code zu kompilieren und auszuführen. Genau dieser letzte Punkt ermöglicht es Muse, eigene Integrationen zu entwickeln.

Gegenüber ChatGPT oder Claude in einem Browser-Tab gibt es zwei praktische Unterschiede: Muse arbeitet weiter an einem Ziel, nachdem Sie die App geschlossen haben, und handelt von seiner eigenen Maschine aus direkt in Ihren verbundenen Diensten, statt Ihnen Text zu liefern, auf dessen Grundlage Sie selbst handeln müssen. Ein Hinweis zur Benennung: Muse ist der Agent, Muse Spark ist die Modellfamilie von Meta, die ihn antreibt.

Was kann Meta Muse?

Muse erledigt alltägliche Aufgaben, die mehrere Dienste umfassen:

• E-Mails lesen, entwerfen und versenden
• Buchungen vornehmen und Reisen planen
• Einkaufen und Käufe abschließen
• Webformulare ausfüllen

Laut Meta bittet Muse um Ihre Zustimmung, bevor eine E-Mail versendet oder ein Kauf abgeschlossen wird. Aufgaben, die Meta als risikoarm einstuft, können ohne Freigabe ausgeführt werden.

Wie funktionieren die Secure VM und Sentinel?

Sentinel ist der Teil von Muse, der kontrolliert, was die VM verlässt. Laut Meta läuft ein separater Agent namens Sentinel in einer eigenen, hostseitigen Sicherheitsdomäne auf derselben VM, außerhalb der Runtime-Zelle des Agenten. Er genehmigt jede ausgehende Netzwerkanfrage und fügt die echten Zugangsdaten erst an der Netzwerkgrenze ein, sodass der Muse-Agent selbst ausschließlich mit Surrogat-Token arbeitet. Metas Beitrag zum Thema Safety Engineering beschreibt das Bild einer einzigen Maschine, die in zwei getrennte Sicherheitsdomänen aufgeteilt ist – statt eines Modells mit Root-Zugriff auf das gesamte System.

Nach Metas Darstellung durchläuft eine ausgehende Anfrage folgende Schritte:

1. Code in der Runtime-Zelle des Agenten stellt eine Anfrage, die ein Surrogat-Token enthält.
2. Sentinel prüft die Anfrage anhand Ihrer Konnektor-Richtlinien und der von Ihnen erteilten Freigaben.
3. Wird die Anfrage genehmigt, ersetzt das echte Credential an der Netzwerkgrenze das Surrogat.
4. Die Anfrage erreicht den externen Dienst.

Meta gibt außerdem an, dass die OAuth-Token für Ihre verbundenen Dienste auf Ihrer eigenen VM gespeichert werden und nicht in Metas zentralen Systemen.

Integrierte und benutzerdefinierte Konnektoren werden unterschiedlich isoliert. Laut Meta läuft der Code integrierter Konnektoren in einem rechtegetrennten Worker außerhalb der Runtime-Zelle des Agenten. Dem Bericht von Parallel zufolge läuft der Code benutzerdefinierter Konnektoren dagegen innerhalb der Runtime-Zelle selbst und profitiert nicht von dieser zusätzlichen Trennung.

Die Credential-Substitution durch Sentinel greift nur bei Schlüsseln, die über Muses sichere Eingabeaufforderung für Zugangsdaten eingegeben werden. Parallel weist in seinem Bericht darauf hin, dass dieser Mechanismus umgangen wird, wenn Sie einen API-Schlüssel in den Chat einfügen – der Schlüssel verbleibt dann im Gesprächsverlauf.

Welche integrierten Konnektoren und Zugriffsstufen bietet Muse?

Integrierte Konnektoren sind die Integrationen, die im Konnektor-Verzeichnis von Muse aufgeführt sind. Zum Launch gehören Google Workspace, Ticketmaster, OpenTable, Spotify und Apple Health dazu, ergänzt durch Metas eigene Apps. Seit dem 18. September können auch externe Entwickler Konnektoren einreichen, die Meta vor der Aufnahme prüft. Die Auswahl wächst stetig, betrachten Sie daher keine Liste als vollständig.

Der Zugriff wird pro Konnektor festgelegt. Laut dem Bericht von Parallel gibt es drei Stufen: schreibgeschützt, Freigabe erforderlich und erlauben. So können Sie Muse beispielsweise erlauben, Ihre E-Mails zu lesen, während Sie jeden Versand weiterhin selbst freigeben müssen. Ist eine Freigabe erforderlich, kann sie laut Meta für eine einzelne Aktion, eine Sitzung, eine Aufgabe, einen festgelegten Zeitraum oder dauerhaft gelten. Welche dieser Optionen angeboten werden, entscheidet Sentinel jedoch für jede Anfrage einzeln. Erwarten Sie also nicht für jede Aktion eine dauerhafte Option.

Kann Muse benutzerdefinierte Konnektoren und MCP-Server nutzen?

Muse kann Remote-MCP-Server nutzen. Um einen Dienst hinzuzufügen, der nicht in der Konnektor-Liste steht, bitten Sie Muse laut Metas Help Center im Chat, einen benutzerdefinierten Konnektor zu erstellen. Dem Bericht von Parallel zufolge schreibt Muse, sobald Sie eine MCP-Server-URL angeben, mithilfe des offiziellen SDK einen MCP-Client auf seiner VM, verbindet sich über Streamable HTTP und speichert die Integration als wiederverwendbaren Skill. Einfache öffentliche REST-APIs funktionieren genauso: Muse schreibt den Client-Code selbst.

Ob Muse Ihren Server erreichen kann, hängt davon ab, wo er läuft:

Bevor Sie Muse eine URL übergeben, sollten Sie prüfen, ob der Server seine Tools gegenüber einem Remote-Client auflistet. Das folgende Skript führt dieselbe Abfolge aus Verbindungsaufbau und Tool-Auflistung durch, die Muse laut Parallel ausführt. Es verwendet die v1-Wartungslinie des offiziellen MCP TypeScript SDK. Die Datei trägt die Endung .mts, damit tsx sie als ES-Modul ausführt, was für das Top-Level-await erforderlich ist:

// check-mcp.mts
// Confirms a remote MCP server answers over streamable HTTP and lists its tools.
import { Client } from "@modelcontextprotocol/sdk/client/index.js";
import { StreamableHTTPClientTransport } from "@modelcontextprotocol/sdk/client/streamableHttp.js";

const url = new URL(process.env.MCP_URL ?? "https://mcp.example.com/mcp");

const headers: Record<string, string> = {};
if (process.env.MCP_TOKEN) {
  headers.Authorization = `Bearer ${process.env.MCP_TOKEN}`;
}

const transport = new StreamableHTTPClientTransport(url, {
  requestInit: { headers },
});
const client = new Client({ name: "reachability-check", version: "0.1.0" });

await client.connect(transport);
const { tools } = await client.listTools();
for (const tool of tools) {
  console.log(`${tool.name}: ${tool.description ?? ""}`);
}
await client.close();

npm install @modelcontextprotocol/sdk@1
MCP_URL=https://mcp.example.com/mcp npx tsx check-mcp.mts

Führen Sie das Skript gegen die öffentliche URL des Servers aus, niemals gegen localhost. Ist es erfolgreich, ist der Server erreichbar und listet seine Tools auf. Eine Garantie, dass Muse damit funktioniert, ist das allerdings nicht.

Geben Sie Muse anschließend einen Prompt nach folgendem Muster:

Build a custom connector for [service name] using its MCP server at
[https://mcp.example.com/mcp]. It uses streamable HTTP and [needs / does not need]
authentication. If a key is required, ask for it through the secure credential
prompt, not in this chat. List every tool the server exposes, test each one,
show me the results, then save the connector as a reusable skill.

Meta prüft benutzerdefinierte Konnektoren nicht. Wer einen solchen Konnektor anbindet, vertraut dem Betreiber der jeweiligen API bzw. des MCP-Servers alle Daten an, die Muse dorthin sendet.

Einschränkungen und offene Fragen

Muse startete für Erwachsene in den USA auf iOS, Android, muse.ai und WhatsApp. Seitdem hat Meta Apps für Mac und iPad veröffentlicht und Muse auf weitere Länder ausgeweitet, darunter Kanada und am 27. Oktober Singapur. Unterstützung für Metas Brillen ist angekündigt. Es gibt die Tarife Free, Power für 20 US-Dollar pro Monat und Maximum für 100 US-Dollar pro Monat. Laut Parallel ist selbst für den kostenlosen Tarif eine hinterlegte Zahlungskarte erforderlich. Nutzungslimits für die einzelnen Tarife nennt Meta in seinen Launch-Materialien nicht.

Meta macht zudem Aussagen zum Datenschutz. In seinem Safety-Beitrag gibt das Unternehmen an, dass Sie der Nutzung Ihrer Gespräche zu Trainingszwecken widersprechen können und dass Gespräche sowie VM-Daten nicht mit den Werbesystemen geteilt werden. Gleichzeitig räumt Meta ein, dass Ihre Nutzung von Muse Ihre Werbung dennoch indirekt beeinflussen kann. Ein Shop beispielsweise, den Muse in Ihrem Auftrag besucht oder bei dem Muse für Sie einkauft, kann dies als Ihren Besuch werten und Ihnen entsprechende Werbung anzeigen.

Die folgende Tabelle trennt auf Basis von Metas Launch-Materialien, was zum Start verfügbar war und was Meta lediglich angekündigt hat:

Die größere Lücke betrifft die Verifizierung. Das Isolationsmodell ist gut dokumentiert – allerdings nur von Meta selbst. Solange kein unabhängiges Sicherheitsaudit veröffentlicht ist, sollten Sie die Garantien von Sentinel als Designversprechen und nicht als geprüfte Eigenschaften betrachten.

Fazit

Muse ist eine Cloud-VM mit einem Agenten darin und einem separaten Gatekeeper, Sentinel, vor dem Netzwerk. Dieses Design erklärt sowohl, was Muse kann, als auch, was nicht. Muse kann eigene Clients für jede öffentliche API und jeden Remote-MCP-Server entwickeln, kommt aber an nichts heran, was ausschließlich auf Ihrem Rechner liegt, und schützt nur Schlüssel, die über die sichere Eingabeaufforderung für Zugangsdaten eingegeben wurden. Wenn Sie Ihren eigenen Dienst anbinden möchten, stellen Sie den MCP-Server unter einem öffentlichen Streamable-HTTP-Endpunkt bereit und führen Sie zuerst den Erreichbarkeitstest durch. Gewähren Sie Muse die restriktivste Zugriffsstufe, mit der sich die Aufgabe noch erledigen lässt.

FAQs

Kann Meta auf die Daten in meiner Muse-VM zugreifen?

Ja. Laut Metas Safety-Beitrag isoliert die Muse Secure VM die Daten jedes Nutzers von denen anderer Nutzer und beschränkt den Zugriff von Meta-Mitarbeitern durch betriebliche Richtlinien. Sie verhindert jedoch nicht, dass Meta auf Daten zugreift, wenn dies für Support, Sicherheit oder Betrieb des Dienstes erforderlich ist. Die angekündigte Muse Confidential VM soll diesen Zugriff kryptografisch und nachweisbar unterbinden. Laut Meta wird sie bereits von einer kleinen Gruppe vertrauenswürdiger Tester genutzt, und das Unternehmen hat begonnen, Design und Quellcode mit externen Auditoren zu teilen.

Gibt es eine öffentliche API zur Steuerung von Meta Muse?

Nein. Laut dem Bericht von Parallel gibt es keine öffentliche API, um einen Muse-Agenten zu steuern oder seine Skills von außerhalb der App auszulesen. Entwickler können Konnektoren zur Prüfung bei Meta einreichen, erhalten dadurch aber keine Kontrolle über die Agenten anderer Nutzer. Darüber hinaus bietet Meta die Meta Model API an, einen separaten Dienst in der Public Preview, der die Muse-Spark-Modelle über OpenAI- und Anthropic-kompatible Endpunkte unter api.meta.ai bereitstellt. Damit erhalten Sie das Modell, nicht aber den Agenten, seine VM oder Sentinel.

Schützt Sentinel Muse vor Prompt Injection?

Nur teilweise. Meta bezeichnet Prompt Injection als branchenweit ungelöstes Problem und räumt ein, dass Muse weiterhin Fehler machen wird. Die Schutzmaßnahmen sind mehrschichtig: Training des Modells gegen eingeschleuste Anweisungen, Kennzeichnung sämtlicher externer Inhalte als nicht vertrauenswürdig, Erkennungsklassifikatoren, die getrennt vom Hauptmodell trainiert werden, sowie menschliche Freigabe für Aktionen, bei denen Daten die VM verlassen. Freigabeanfragen erscheinen als Systemdialoge und nicht als Chatnachrichten, sodass eingeschleuster Text Ihre Zustimmung nicht vortäuschen kann.

Warum fragt Muse bei manchen ausgehenden Anfragen nach einer Freigabe und bei anderen nicht?

Sentinel verfolgt, welche Tool-Prozesse Ihre Daten gelesen haben. Nach Metas Darstellung kann ein Prozess, der keine Nutzerdaten gelesen hat, eigenständig eine kurze Liste vorab genehmigter Ziele erreichen, während ein Prozess, der Nutzerdaten gelesen hat, Sie fragen muss, bevor er etwas nach außen sendet. Zusätzlich gelten Ihre Zugriffseinstellungen pro Konnektor, und laut Meta holt Muse vor dem Versand von E-Mails oder dem Abschluss eines Kaufs Ihre Bestätigung ein.