Premier aperçu de Meta Muse

Meta Muse est un agent d’IA personnel de Meta, lancé le 8 septembre 2026. Il s’exécute sur une machine virtuelle dédiée dans le cloud de Meta et accomplit des tâches dans les applications connectées de l’utilisateur, au lieu de se contenter de répondre à des questions.

Si vous avez déjà branché un serveur MCP sur un client de bureau, puis regardé une vidéo de lancement promettant un agent qui « fait les choses à votre place », vos premières questions sont sans doute d’ordre pratique. Où le code s’exécute-t-il ? Qui détient les clés d’API ? Puis-je connecter mon propre serveur ?

Cet article répond à ces questions en s’appuyant sur les déclarations publiées par Meta et sur le compte rendu de prise en main d’un éditeur. Pour un contexte général sur les agents, consultez l’introduction aux navigateurs agentiques et l’article sur le fonctionnement de l’agent Manus AI. Toutes les propriétés de sécurité et de confidentialité décrites ci-dessous relèvent des affirmations de Meta. Aucun audit de sécurité indépendant de Muse n’a été publié.

Qu’est-ce que Meta Muse et en quoi diffère-t-il d’un chatbot ?

Meta Muse n’est pas une simple fenêtre de chat, mais un agent à exécution prolongée doté de son propre ordinateur. L’annonce de lancement de Meta présente Muse comme fonctionnant sur un ordinateur sécurisé dédié, équipé de son propre navigateur. Meta décrit la VM de chaque utilisateur comme une machine Linux isolée, disposant de stockage et d’une puissance de calcul suffisante pour compiler et exécuter le code écrit par l’agent. C’est ce dernier point qui permet à Muse de créer ses propres intégrations.

Muse se distingue concrètement de ChatGPT ou de Claude dans un onglet de navigateur sur deux points. Muse continue de poursuivre un objectif après la fermeture de l’application, et il agit directement dans vos services connectés depuis sa propre machine, au lieu de vous renvoyer du texte pour que vous agissiez vous-même. Une précision de nommage : Muse désigne l’agent, et Muse Spark la famille de modèles de Meta qui l’alimente.

Que peut faire Meta Muse ?

Muse prend en charge des tâches courantes qui s’étendent sur plusieurs services :

• Lire, rédiger et envoyer des e-mails
• Effectuer des réservations et planifier des voyages
• Faire des achats et finaliser des commandes
• Remplir des formulaires web

D’après Meta, Muse demande votre approbation avant d’envoyer un e-mail ou de finaliser un achat. Les tâches que Meta classe comme à faible risque peuvent être exécutées sans validation.

Comment fonctionnent la VM sécurisée et Sentinel ?

Sentinel est le composant de Muse qui contrôle ce qui sort de la VM. Selon Meta, un agent distinct appelé Sentinel s’exécute dans son propre domaine de sécurité côté hôte, sur la même VM, en dehors de la cellule d’exécution de l’agent. Il approuve chaque requête réseau sortante et injecte les véritables identifiants à la frontière réseau, de sorte que l’agent Muse lui-même ne manipule jamais que des jetons de substitution. L’article de Meta consacré à l’ingénierie de la sécurité invite le lecteur à se représenter une seule machine divisée en deux domaines de sécurité distincts, plutôt qu’un modèle disposant d’un accès root à l’ensemble du système.

Tel que Meta le décrit, une requête sortante passe par les étapes suivantes :

1. Le code de la cellule d’exécution de l’agent émet une requête contenant un jeton de substitution.
2. Sentinel vérifie la requête au regard de vos politiques de connecteurs et des approbations que vous avez accordées.
3. Si la requête est approuvée, le véritable identifiant remplace le jeton de substitution à la frontière réseau.
4. La requête atteint le service externe.

Meta indique également que les jetons OAuth de vos services connectés sont conservés sur votre propre VM plutôt que dans les systèmes centraux de Meta.

Les connecteurs intégrés et les connecteurs personnalisés ne bénéficient pas de la même isolation. Selon Meta, le code des connecteurs intégrés s’exécute dans un worker à privilèges séparés, en dehors de la cellule d’exécution de l’agent. D’après le compte rendu de Parallel, le code des connecteurs personnalisés s’exécute en revanche au sein même de la cellule d’exécution et ne bénéficie pas de cette séparation supplémentaire.

La substitution d’identifiants opérée par Sentinel ne couvre que les clés saisies via l’invite sécurisée de saisie d’identifiants de Muse. Le compte rendu de Parallel souligne que si vous collez une clé d’API dans le chat, ce mécanisme est contourné et la clé reste dans l’historique de la conversation.

Quels connecteurs intégrés et niveaux d’accès Muse propose-t-il ?

Les connecteurs intégrés sont les intégrations répertoriées dans l’annuaire de connecteurs de Muse. L’offre de lancement comprend Google Workspace, Ticketmaster, OpenTable, Spotify et Apple Health, ainsi que les applications de Meta. Depuis le 18 septembre, les développeurs tiers peuvent également soumettre des connecteurs, que Meta examine avant de les référencer. Cette liste ne cesse de s’allonger : ne considérez donc aucune liste comme exhaustive.

L’accès se configure connecteur par connecteur. Le compte rendu de Parallel décrit trois niveaux : lecture seule, approbation requise et autorisation. Vous pouvez ainsi permettre à Muse de lire vos e-mails tout en devant approuver chaque envoi. Lorsqu’une approbation est nécessaire, Meta indique qu’une autorisation peut valoir pour une seule action, une session, une tâche, une durée déterminée ou de façon permanente, mais c’est Sentinel qui décide des options proposées pour chaque requête. Ne vous attendez pas à disposer d’une option permanente pour chaque action.

Muse peut-il utiliser des connecteurs personnalisés et des serveurs MCP ?

Muse peut utiliser des serveurs MCP distants. Pour ajouter un service absent de la liste des connecteurs, le centre d’aide de Meta indique qu’il faut demander à Muse, dans le chat, de créer un connecteur personnalisé. D’après le compte rendu de Parallel, lorsque vous fournissez à Muse l’URL d’un serveur MCP, il écrit un client MCP sur sa VM à l’aide du SDK officiel, se connecte en streamable HTTP et enregistre l’intégration sous forme de compétence réutilisable. Les API REST publiques classiques fonctionnent de la même manière : Muse écrit lui-même le code client.

La possibilité pour Muse d’atteindre votre serveur dépend de l’endroit où celui-ci s’exécute :

Avant de transmettre une URL à Muse, vérifiez que le serveur expose bien la liste de ses outils à un client distant. Le script ci-dessous exécute la même séquence de connexion et de listage des outils que celle que Muse effectue, d’après Parallel. Il utilise la branche de maintenance v1 du SDK TypeScript officiel de MCP. Le fichier porte l’extension .mts afin que tsx l’exécute en tant que module ES, condition nécessaire pour utiliser await au niveau supérieur :

// check-mcp.mts
// Confirms a remote MCP server answers over streamable HTTP and lists its tools.
import { Client } from "@modelcontextprotocol/sdk/client/index.js";
import { StreamableHTTPClientTransport } from "@modelcontextprotocol/sdk/client/streamableHttp.js";

const url = new URL(process.env.MCP_URL ?? "https://mcp.example.com/mcp");

const headers: Record<string, string> = {};
if (process.env.MCP_TOKEN) {
  headers.Authorization = `Bearer ${process.env.MCP_TOKEN}`;
}

const transport = new StreamableHTTPClientTransport(url, {
  requestInit: { headers },
});
const client = new Client({ name: "reachability-check", version: "0.1.0" });

await client.connect(transport);
const { tools } = await client.listTools();
for (const tool of tools) {
  console.log(`${tool.name}: ${tool.description ?? ""}`);
}
await client.close();

npm install @modelcontextprotocol/sdk@1
MCP_URL=https://mcp.example.com/mcp npx tsx check-mcp.mts

Exécutez-le sur l’URL publique du serveur, jamais sur localhost. S’il réussit, le serveur est accessible et expose ses outils. Cela ne garantit pas pour autant que Muse fonctionnera avec lui.

Donnez ensuite à Muse une instruction de ce type :

Build a custom connector for [service name] using its MCP server at
[https://mcp.example.com/mcp]. It uses streamable HTTP and [needs / does not need]
authentication. If a key is required, ask for it through the secure credential
prompt, not in this chat. List every tool the server exposes, test each one,
show me the results, then save the connector as a reusable skill.

Meta n’examine pas les connecteurs personnalisés. En connecter un revient à confier à l’exploitant de l’API ou du serveur MCP concerné toutes les données que Muse lui transmet.

Limites et questions en suspens

Muse a été lancé pour les adultes aux États-Unis, sur iOS, Android, muse.ai et WhatsApp. Depuis, Meta a publié des applications pour Mac et iPad et étendu Muse à d’autres pays, dont le Canada et, le 27 octobre, Singapour. Meta a annoncé que la prise en charge de ses lunettes était en préparation. Les formules proposées sont Free, Power à 20 $ par mois et Maximum à 100 $ par mois. Parallel signale qu’il faut enregistrer une carte de paiement, même pour l’offre gratuite. Les documents de lancement de Meta ne précisent pas les limites d’utilisation de chaque formule.

Meta avance également des engagements en matière de confidentialité. Dans son article consacré à la sécurité, l’entreprise indique que vous pouvez refuser que vos conversations servent à l’entraînement, et que les conversations et les données de la VM ne sont pas partagées avec ses systèmes publicitaires. Elle précise toutefois que votre utilisation de Muse peut encore influencer indirectement vos publicités. Par exemple, une boutique que Muse visite ou dans laquelle il effectue un achat en votre nom peut considérer cette visite comme la vôtre et vous montrer ensuite des publicités.

Le tableau ci-dessous distingue ce qui était disponible au lancement de ce que Meta a seulement annoncé, d’après ses documents de lancement :

La principale lacune reste la vérification. Le modèle d’isolation est bien documenté, mais uniquement par Meta. Tant qu’aucun audit de sécurité indépendant n’aura été publié, considérez les garanties de Sentinel comme des intentions de conception plutôt que comme des propriétés éprouvées.

Conclusion

Muse est une VM cloud qui héberge un agent, avec un gardien distinct, Sentinel, placé devant le réseau. Cette architecture explique à la fois ce qu’il peut faire et ce qu’il ne peut pas faire. Il peut créer ses propres clients pour n’importe quelle API publique ou n’importe quel serveur MCP distant, mais il ne peut atteindre aucune ressource qui n’existe que sur votre machine, et il ne protège que les clés saisies via l’invite sécurisée de saisie d’identifiants. Si vous prévoyez de connecter votre propre service, déployez le serveur MCP sur un endpoint streamable HTTP public et exécutez d’abord le test d’accessibilité. Accordez à Muse le niveau d’accès le plus restreint qui lui permette encore d’accomplir sa tâche.

FAQ

Meta peut-il accéder aux données de ma VM Muse ?

Oui. L'article de Meta consacré à la sécurité indique que la Muse Secure VM isole les données de chaque utilisateur de celles des autres et limite l'accès du personnel de Meta au moyen de politiques opérationnelles, mais qu'elle n'empêche pas Meta d'accéder aux données lorsque cela est nécessaire pour assurer le support, la sécurité ou l'exploitation du service. La Muse Confidential VM annoncée vise à bloquer cet accès de manière cryptographique et vérifiable. Meta affirme qu'un petit groupe de testeurs de confiance l'utilise déjà et que l'entreprise a commencé à partager sa conception et son code source avec des auditeurs externes.

Existe-t-il une API publique pour piloter Meta Muse ?

Non. D'après le compte rendu de Parallel, il n'existe aucune API publique permettant de piloter un agent Muse ou de lire ses compétences depuis l'extérieur de l'application. Les développeurs peuvent soumettre des connecteurs à l'examen de Meta, mais cela ne leur donne aucun contrôle sur l'agent d'un utilisateur. Meta propose par ailleurs la Meta Model API, un service distinct en préversion publique qui met à disposition les modèles Muse Spark via des endpoints compatibles OpenAI et Anthropic à l'adresse api.meta.ai. Elle donne accès au modèle, mais pas à l'agent, à sa VM ni à Sentinel.

Sentinel protège-t-il Muse contre l'injection de prompt ?

En partie seulement. Meta qualifie l'injection de prompt de problème non résolu à l'échelle du secteur et reconnaît que Muse commettra encore des erreurs. Ses défenses sont multicouches : entraînement du modèle pour résister aux instructions injectées, marquage de tout contenu externe comme non fiable, classificateurs de détection entraînés séparément du modèle principal, et approbation humaine pour les actions qui font sortir des données de la VM. Les demandes d'approbation s'affichent sous forme de boîtes de dialogue système et non de messages de chat, de sorte qu'un texte injecté ne peut pas simuler votre consentement.

Pourquoi Muse demande-t-il une approbation pour certaines requêtes sortantes et pas pour d'autres ?

Sentinel suit les processus d'outils qui ont lu vos données. Tel que Meta le décrit, un processus qui n'a pas lu de données utilisateur peut atteindre de lui-même une courte liste de destinations préapprouvées, tandis qu'un processus qui a lu des données utilisateur doit vous demander l'autorisation avant de transmettre quoi que ce soit vers l'extérieur. Vos paramètres d'accès propres à chaque connecteur s'appliquent également, et Meta indique que Muse vous consulte avant d'envoyer un e-mail ou de finaliser un achat.