Primer vistazo a Meta Muse

Meta Muse es un agente de IA personal de Meta, lanzado el 8 de septiembre de 2026. Se ejecuta en una máquina virtual dedicada en la nube de Meta y realiza tareas en las aplicaciones conectadas del usuario, en lugar de limitarse a responder preguntas.

Si alguna vez has conectado un servidor MCP a un cliente de escritorio y después has visto un vídeo de lanzamiento que promete un agente que «hace cosas por ti», probablemente tus primeras preguntas sean prácticas. ¿Dónde se ejecuta el código? ¿Quién guarda las claves de API? ¿Puedo conectar mi propio servidor?

Este artículo responde a esas preguntas a partir de las declaraciones públicas de Meta y del informe de un proveedor que ha probado el producto. Si buscas contexto general sobre agentes, consulta la introducción a los navegadores agénticos y cómo funciona el agente Manus AI. Todas las propiedades de seguridad y privacidad que se describen a continuación son afirmaciones de Meta. No se ha publicado ninguna auditoría de seguridad independiente de Muse.

¿Qué es Meta Muse y en qué se diferencia de un chatbot?

Meta Muse es un agente de ejecución prolongada con su propio ordenador, no una ventana de chat. El anuncio de lanzamiento de Meta explica que Muse se ejecuta en un ordenador seguro dedicado con su propio navegador. Meta describe la VM de cada usuario como una máquina Linux aislada, con almacenamiento y capacidad de cómputo suficiente para compilar y ejecutar el código que escribe el agente. Esto último es lo que permite a Muse crear sus propias integraciones.

En la práctica, Muse se diferencia de ChatGPT o de Claude en una pestaña del navegador en dos aspectos. Muse sigue trabajando para cumplir un objetivo después de cerrar la aplicación, y actúa directamente en tus servicios conectados desde su propia máquina, en lugar de devolverte un texto para que actúes tú. Una aclaración sobre los nombres: Muse es el agente, y Muse Spark es la familia de modelos de Meta que lo impulsa.

¿Qué puede hacer Meta Muse?

Muse se encarga de gestiones cotidianas que implican varios servicios:

• Leer, redactar y enviar correos electrónicos
• Hacer reservas y planificar viajes
• Comprar y completar pedidos
• Rellenar formularios web

Según Meta, Muse pide tu aprobación antes de enviar un correo electrónico o completar una compra. Las tareas que Meta considera de bajo riesgo pueden realizarse sin tu visto bueno.

¿Cómo funcionan la VM segura y Sentinel de Muse?

Sentinel es el componente de Muse que controla lo que sale de la VM. Según Meta, un agente independiente llamado Sentinel se ejecuta en su propio dominio de seguridad del lado del host, en la misma VM pero fuera de la celda de ejecución del agente. Sentinel aprueba cada solicitud de red saliente e inserta las credenciales reales en el límite de la red, de modo que el agente de Muse solo maneja tokens sustitutos. La publicación de Meta sobre ingeniería de seguridad invita a imaginar una única máquina dividida en dos dominios de seguridad separados, en lugar de un modelo con acceso root a toda la máquina.

Según la descripción de Meta, una solicitud saliente sigue estos pasos:

1. El código de la celda de ejecución del agente realiza una solicitud que incluye un token sustituto.
2. Sentinel comprueba la solicitud según las políticas de tus conectores y las aprobaciones que hayas concedido.
3. Si la solicitud se aprueba, la credencial real sustituye al token sustituto en el límite de la red.
4. La solicitud llega al servicio externo.

Meta también afirma que los tokens OAuth de tus servicios conectados se guardan en tu propia VM y no en los sistemas centrales de Meta.

Los conectores integrados y los personalizados se aíslan de forma distinta. Según Meta, el código de los conectores integrados se ejecuta en un proceso de trabajo con separación de privilegios, fuera de la celda de ejecución del agente. Según el informe de Parallel, el código de los conectores personalizados se ejecuta dentro de la propia celda de ejecución y no cuenta con esa separación adicional.

La sustitución de credenciales de Sentinel solo protege las claves introducidas a través del aviso seguro de credenciales de Muse. El informe de Parallel señala que, si pegas una clave de API en el chat, ese mecanismo no se aplica y la clave queda en el historial de la conversación.

¿Qué conectores integrados y niveles de acceso ofrece Muse?

Los conectores integrados son las integraciones que aparecen en el directorio de conectores de Muse. El conjunto inicial incluye Google Workspace, Ticketmaster, OpenTable, Spotify y Apple Health, además de las aplicaciones de Meta. Desde el 18 de septiembre, los desarrolladores externos también pueden enviar conectores, que Meta revisa antes de publicarlos. El catálogo sigue creciendo, así que no des por completa ninguna lista.

El acceso se configura para cada conector. El informe de Parallel describe tres niveles: solo lectura, requerir aprobación y permitir. Así puedes dejar que Muse lea tu correo y seguir aprobando cada envío. Cuando se necesita una aprobación, Meta indica que el permiso puede valer para una sola acción, una sesión, una tarea, un periodo determinado o de forma permanente. Sin embargo, es Sentinel quien decide qué opciones ofrecer en cada solicitud, así que no esperes poder conceder un permiso permanente para todas las acciones.

¿Puede Muse usar conectores personalizados y servidores MCP?

Muse puede usar servidores MCP remotos. Según el Centro de ayuda de Meta, para añadir un servicio que no figura en la lista de conectores, basta con pedirle a Muse en el chat que cree un conector personalizado. Según el informe de Parallel, cuando le proporcionas a Muse la URL de un servidor MCP, escribe un cliente MCP en su VM con el SDK oficial, se conecta mediante streamable HTTP y guarda la integración como una skill reutilizable. Las API REST públicas convencionales funcionan del mismo modo: Muse escribe el código del cliente.

Que Muse pueda acceder a tu servidor depende de dónde se ejecute ese servidor:

Antes de darle una URL a Muse, comprueba que el servidor expone su lista de herramientas a un cliente remoto. El siguiente script reproduce la secuencia de conexión y listado de herramientas que, según Parallel, realiza Muse. Utiliza la línea de mantenimiento v1 del SDK oficial de MCP para TypeScript. El archivo usa la extensión .mts para que tsx lo ejecute como módulo ES, necesario para el await de nivel superior:

// check-mcp.mts
// Confirms a remote MCP server answers over streamable HTTP and lists its tools.
import { Client } from "@modelcontextprotocol/sdk/client/index.js";
import { StreamableHTTPClientTransport } from "@modelcontextprotocol/sdk/client/streamableHttp.js";

const url = new URL(process.env.MCP_URL ?? "https://mcp.example.com/mcp");

const headers: Record<string, string> = {};
if (process.env.MCP_TOKEN) {
  headers.Authorization = `Bearer ${process.env.MCP_TOKEN}`;
}

const transport = new StreamableHTTPClientTransport(url, {
  requestInit: { headers },
});
const client = new Client({ name: "reachability-check", version: "0.1.0" });

await client.connect(transport);
const { tools } = await client.listTools();
for (const tool of tools) {
  console.log(`${tool.name}: ${tool.description ?? ""}`);
}
await client.close();

npm install @modelcontextprotocol/sdk@1
MCP_URL=https://mcp.example.com/mcp npx tsx check-mcp.mts

Ejecútalo contra la URL pública del servidor, nunca contra localhost. Si funciona, significa que el servidor es accesible y lista sus herramientas, pero eso no garantiza que funcione con Muse.

A continuación, dale a Muse una instrucción similar a esta:

Crea un conector personalizado para [nombre del servicio] usando su servidor MCP en
[https://mcp.example.com/mcp]. Utiliza streamable HTTP y [requiere / no requiere]
autenticación. Si hace falta una clave, pídemela a través del aviso seguro de
credenciales, no en este chat. Enumera todas las herramientas que expone el servidor,
prueba cada una, muéstrame los resultados y después guarda el conector como una skill reutilizable.

Meta no revisa los conectores personalizados. Conectar uno implica confiar a quien gestione esa API o ese servidor MCP cualquier dato que Muse le envíe.

Limitaciones y preguntas abiertas

Muse se lanzó para adultos en Estados Unidos, en iOS, Android, muse.ai y WhatsApp. Desde entonces, Meta ha publicado aplicaciones para Mac y iPad y ha ampliado Muse a más países, entre ellos Canadá y, el 27 de octubre, Singapur. Meta ha anunciado que la compatibilidad con sus gafas llegará próximamente. Los planes disponibles son Free, Power por 20 dólares al mes y Maximum por 100 dólares al mes. Parallel indica que es necesario registrar una tarjeta de pago incluso para el plan gratuito. Los materiales de lanzamiento de Meta no especifican los límites de uso de cada plan.

Meta también hace afirmaciones sobre privacidad. En su publicación sobre seguridad, indica que puedes excluir tus conversaciones del entrenamiento de modelos y que las conversaciones y los datos de la VM no se comparten con sus sistemas publicitarios. También reconoce que el uso que hagas de Muse puede influir indirectamente en los anuncios que ves. Por ejemplo, una tienda que Muse visite o en la que compre en tu nombre puede interpretarlo como una visita tuya y mostrarte anuncios.

La siguiente tabla distingue lo que estaba disponible en el lanzamiento de lo que Meta solo ha anunciado, según sus materiales de lanzamiento:

La carencia más importante es la verificación. El modelo de aislamiento está bien documentado, pero solo por Meta. Hasta que se publique una auditoría de seguridad independiente, considera las garantías de Sentinel como afirmaciones de diseño y no como propiedades comprobadas.

Conclusión

Muse es una VM en la nube con un agente dentro y un guardián independiente, Sentinel, que controla el acceso a la red. Este diseño explica tanto lo que puede hacer como lo que no. Puede crear sus propios clientes para cualquier API pública o servidor MCP remoto, pero no puede acceder a nada que solo exista en tu máquina, y solo protege las claves introducidas a través del aviso seguro de credenciales. Si tienes previsto conectar tu propio servicio, despliega el servidor MCP en un endpoint público de streamable HTTP y ejecuta antes la comprobación de accesibilidad. Concede a Muse el nivel de acceso más restrictivo que le permita hacer su trabajo.

Preguntas frecuentes

¿Puede Meta acceder a los datos de mi VM de Muse?

Sí. La publicación de Meta sobre seguridad indica que la Muse Secure VM aísla los datos de cada usuario de los de otros usuarios y limita el acceso del personal de Meta mediante políticas operativas, pero no impide que Meta acceda a los datos cuando sea necesario para dar soporte, proteger o mantener el servicio. La Muse Confidential VM anunciada pretende bloquear ese acceso de forma criptográfica y verificable. Meta afirma que un pequeño grupo de probadores de confianza ya la utiliza y que ha empezado a compartir el diseño y el código fuente con auditores externos.

¿Existe una API pública para controlar Meta Muse?

No. Según el informe de Parallel, no hay ninguna API pública para controlar un agente de Muse ni para consultar sus skills desde fuera de la aplicación. Los desarrolladores pueden enviar conectores a Meta para su revisión, pero eso no les da control sobre el agente de nadie. Meta también ofrece la Meta Model API, un servicio independiente en versión preliminar pública que proporciona los modelos Muse Spark a través de endpoints compatibles con OpenAI y Anthropic en api.meta.ai. Te da acceso al modelo, no al agente, a su VM ni a Sentinel.

¿Protege Sentinel a Muse frente a la inyección de prompts?

Solo en parte. Meta considera la inyección de prompts un problema sin resolver en todo el sector y reconoce que Muse seguirá cometiendo errores. Sus defensas son por capas: entrenamiento del modelo contra instrucciones inyectadas, etiquetado de todo el contenido externo como no fiable, clasificadores de detección entrenados de forma independiente del modelo principal y aprobación humana para las acciones que sacan datos de la VM. Las solicitudes de aprobación aparecen como cuadros de diálogo del sistema y no como mensajes del chat, por lo que un texto inyectado no puede falsificar tu consentimiento.

¿Por qué Muse pide aprobación para algunas solicitudes salientes y para otras no?

Sentinel registra qué procesos de herramientas han leído tus datos. Según la descripción de Meta, un proceso que no ha leído datos del usuario puede acceder por sí solo a una lista reducida de destinos aprobados previamente, mientras que un proceso que sí los ha leído debe preguntarte antes de enviar nada al exterior. También se aplican los ajustes de acceso de cada conector, y Meta indica que Muse te consulta antes de enviar un correo electrónico o completar una compra.