Meta Muse ファーストルック

Meta Muse は、Meta が 2026 年 9 月 8 日にリリースしたパーソナル AI エージェントです。Meta のクラウド上にある専用の仮想マシンで動作し、質問に答えるだけでなく、ユーザーが連携したアプリをまたいでタスクを実行します。

デスクトップクライアントに MCP サーバーを組み込んだ経験があり、「あなたの代わりに物事をこなす」エージェントをうたうローンチ動画を見た方なら、まず気になるのは実務的な点でしょう。コードはどこで動くのか。API キーは誰が保持するのか。自分のサーバーを接続できるのか。

本記事では、Meta が公開している情報と、あるベンダーによる実機検証レポートをもとに、これらの疑問に答えます。エージェント全般の背景については、エージェント型ブラウザの入門記事および Manus AI エージェントの仕組みを参照してください。なお、以下で説明するセキュリティおよびプライバシー上の特性はすべて Meta の主張に基づくものです。Muse に関する独立したセキュリティ監査の結果は、これまで公開されていません。

Meta Muse とは何か、チャットボットとどう違うのか

Meta Muse はチャットウィンドウではなく、自分専用のコンピューターを持つ長時間稼働型のエージェントです。Meta のローンチ発表では、Muse は専用ブラウザを備えた専用のセキュアなコンピューター上で動作すると説明されています。また Meta は、各ユーザーの VM を、ストレージと、エージェントが書いたコードをコンパイル・実行できるだけの計算リソースを備えた隔離された Linux マシンだとしています。この最後の点こそが、Muse が独自のインテグレーションを構築できる理由です。

ブラウザタブで使う ChatGPT や Claude と比べると、Muse には実用上 2 つの違いがあります。Muse はアプリを閉じた後も目標に向けて作業を続けます。そして、ユーザーが行動に移すためのテキストを返すのではなく、自身のマシンから連携サービス内で直接操作を行います。名称についても補足しておくと、Muse はエージェントの名前であり、Muse Spark はそれを支える Meta のモデルファミリーの名前です。

Meta Muse で何ができるのか

Muse は、複数のサービスにまたがる日常的な用事をこなします。

• メールの閲覧、下書き、送信
• 予約や旅行の計画
• ショッピングと購入手続き
• Web フォームへの入力

Meta によると、Muse はメールの送信や購入の確定の前にユーザーの承認を求めます。Meta が低リスクと分類するタスクは、承認なしで実行される場合があります。

Muse の Secure VM と Sentinel の仕組み

Sentinel は、VM から外部へ出ていく通信を制御する Muse の構成要素です。Meta によると、Sentinel と呼ばれる独立したエージェントが、同じ VM 上でエージェントのランタイムセルの外側にある、ホスト側の独自のセキュリティドメインで動作します。Sentinel はすべてのアウトバウンドのネットワークリクエストを承認し、ネットワーク境界で実際の認証情報を挿入します。そのため、Muse エージェント自体が扱うのは常に代理トークンだけです。Meta のセーフティエンジニアリングに関する記事では、マシン全体の root 権限を持つモデルではなく、1 台のマシンが 2 つの独立したセキュリティドメインに分割されている状態をイメージするよう説明しています。

Meta の説明によれば、アウトバウンドリクエストは次の手順で処理されます。

1. エージェントのランタイムセル内のコードが、代理トークンを含むリクエストを送信します。
2. Sentinel が、ユーザーのコネクタポリシーと、ユーザーがすでに与えた承認に照らしてリクエストを検証します。
3. リクエストが承認されると、ネットワーク境界で代理トークンが実際の認証情報に置き換えられます。
4. リクエストが外部サービスに到達します。

また Meta は、連携サービスの OAuth トークンは Meta の中央システムではなく、ユーザー自身の VM に保管されるとしています。

組み込みコネクタとカスタムコネクタでは、隔離の方法が異なります。Meta によると、組み込みコネクタのコードは、エージェントのランタイムセルの外にある権限分離されたワーカーで実行されます。Parallel のレポートによれば、カスタムコネクタのコードはランタイムセル内で実行され、この追加の分離は適用されません。

Sentinel による認証情報の差し替えが適用されるのは、Muse のセキュアな認証情報入力プロンプトから入力されたキーのみです。Parallel のレポートでは、API キーをチャットに貼り付けた場合、この仕組みは迂回され、キーが会話履歴に残ると指摘されています。

Muse が提供する組み込みコネクタとアクセスレベル

組み込みコネクタとは、Muse のコネクタディレクトリに掲載されているインテグレーションです。ローンチ時点では、Google Workspace、Ticketmaster、OpenTable、Spotify、Apple Health に加え、Meta 自社のアプリが含まれていました。9 月 18 日以降は外部の開発者もコネクタを申請できるようになり、Meta がレビューしたうえで掲載されます。リストは拡大し続けているため、どのリストも網羅的なものとは考えないでください。

アクセス権はコネクタごとに設定します。Parallel のレポートでは、読み取り専用、承認が必要、許可の 3 つのレベルが説明されています。これにより、Muse にメールの閲覧は許可しつつ、送信のたびに承認を求めるといった設定が可能です。承認が必要な場合、Meta によると、許可の有効範囲は 1 回の操作、1 セッション、1 タスク、一定期間、または永続のいずれかを選べますが、各リクエストでどの選択肢を提示するかは Sentinel が決定します。すべての操作に永続の選択肢が用意されているとは限りません。

Muse はカスタムコネクタや MCP サーバーを利用できるのか

Muse はリモート MCP サーバーを利用できます。Meta のヘルプセンターによると、コネクタリストにないサービスを追加するには、チャットで Muse にカスタムコネクタの作成を依頼します。Parallel のレポートによれば、MCP サーバーの URL を渡すと、Muse は公式 SDK を使って自身の VM 上で MCP クライアントを作成し、Streamable HTTP で接続して、そのインテグレーションを再利用可能なスキルとして保存します。一般的なパブリック REST API でも同様で、Muse がクライアントコードを自ら作成します。

Muse がサーバーにアクセスできるかどうかは、サーバーがどこで動作しているかによって決まります。

Muse に URL を渡す前に、そのサーバーがリモートクライアントに対してツール一覧を返すことを確認しておきましょう。以下のスクリプトは、Parallel のレポートで Muse が実行していると報告されているのと同じ「接続してツール一覧を取得する」処理を行います。公式 MCP TypeScript SDK の v1 メンテナンス系列を使用しています。トップレベルの await を使うには ES モジュールとして実行する必要があるため、tsx が ES モジュールとして扱えるようファイルの拡張子を .mts にしています。

// check-mcp.mts
// Confirms a remote MCP server answers over streamable HTTP and lists its tools.
import { Client } from "@modelcontextprotocol/sdk/client/index.js";
import { StreamableHTTPClientTransport } from "@modelcontextprotocol/sdk/client/streamableHttp.js";

const url = new URL(process.env.MCP_URL ?? "https://mcp.example.com/mcp");

const headers: Record<string, string> = {};
if (process.env.MCP_TOKEN) {
  headers.Authorization = `Bearer ${process.env.MCP_TOKEN}`;
}

const transport = new StreamableHTTPClientTransport(url, {
  requestInit: { headers },
});
const client = new Client({ name: "reachability-check", version: "0.1.0" });

await client.connect(transport);
const { tools } = await client.listTools();
for (const tool of tools) {
  console.log(`${tool.name}: ${tool.description ?? ""}`);
}
await client.close();

npm install @modelcontextprotocol/sdk@1
MCP_URL=https://mcp.example.com/mcp npx tsx check-mcp.mts

このスクリプトは、localhost ではなく必ずサーバーのパブリック URL に対して実行してください。成功すれば、サーバーにアクセス可能で、ツール一覧が返されることが確認できます。ただし、それで Muse との連携が保証されるわけではありません。

次に、Muse に以下のようなプロンプトを渡します。

Build a custom connector for [service name] using its MCP server at
[https://mcp.example.com/mcp]. It uses streamable HTTP and [needs / does not need]
authentication. If a key is required, ask for it through the secure credential
prompt, not in this chat. List every tool the server exposes, test each one,
show me the results, then save the connector as a reusable skill.

Meta はカスタムコネクタをレビューしません。カスタムコネクタを接続するということは、Muse が送信するあらゆるデータについて、その API や MCP サーバーの運営者を信頼するということです。

制約と未解決の疑問

Muse は米国の成人向けに、iOS、Android、muse.ai、WhatsApp でローンチされました。その後、Meta は Mac 版と iPad 版のアプリをリリースし、カナダや、10 月 27 日にはシンガポールなど、提供国を拡大しています。Meta は自社のグラス(スマートグラス)への対応も予定していると発表しています。プランは Free、月額 20 ドルの Power、月額 100 ドルの Maximum の 3 種類です。Parallel によると、無料プランでも支払いカードの登録が必要です。Meta のローンチ資料には、各プランの利用上限は記載されていません。

Meta はプライバシーに関する主張も行っています。同社のセーフティに関する記事では、会話データをトレーニングに使用されないようオプトアウトでき、会話や VM のデータは広告システムと共有されないとしています。一方で、Muse の使い方が間接的に広告に影響する可能性はあるとも述べています。たとえば、Muse がユーザーに代わって訪問したり購入したりしたストアが、それをユーザーの訪問とみなし、そのストアの広告を表示する場合があります。

以下の表は、Meta のローンチ資料に基づき、ローンチ時点で提供されていたものと、発表のみにとどまっているものを整理したものです。

より大きな課題は検証です。隔離モデルは詳細に文書化されていますが、その文書はすべて Meta によるものです。独立したセキュリティ監査の結果が公開されるまでは、Sentinel の保証は実証された特性ではなく、設計上の主張として扱ってください。

まとめ

Muse は、エージェントを内部に搭載したクラウド VM と、ネットワークの手前に置かれた独立したゲートキーパーである Sentinel から構成されています。この設計を理解すれば、Muse にできることとできないことの両方が見えてきます。Muse は任意のパブリック API やリモート MCP サーバー向けのクライアントを自ら構築できますが、ユーザーのマシン上にしか存在しないものにはアクセスできません。また、保護されるのはセキュアな認証情報入力プロンプトから入力されたキーだけです。独自のサービスを接続する予定なら、MCP サーバーをパブリックな Streamable HTTP エンドポイントにデプロイし、まず到達性チェックを実行してください。そして、Muse には目的のタスクを遂行できる範囲で最も狭いアクセスレベルを付与しましょう。

よくある質問

Meta は私の Muse VM 内のデータにアクセスできますか?

はい、できます。Meta のセーフティに関する記事によると、Muse Secure VM は各ユーザーのデータを他のユーザーから隔離し、運用ポリシーによって Meta 社員のアクセスを制限していますが、サービスのサポート、セキュリティ確保、運用に必要な場合に Meta がデータにアクセスすることを防ぐものではありません。発表済みの Muse Confidential VM は、こうしたアクセスを暗号技術によって検証可能な形でブロックすることを目的としています。Meta によると、すでに少数の信頼できるテスターが利用しており、外部の監査機関との設計およびソースコードの共有も開始しています。

Meta Muse を操作するためのパブリック API はありますか?

いいえ、ありません。Parallel のレポートによると、Muse エージェントをアプリ外部から操作したり、そのスキルを読み取ったりするためのパブリック API は存在しません。開発者は Meta にコネクタを申請してレビューを受けることができますが、それによって他のユーザーのエージェントを操作できるようになるわけではありません。また Meta は、これとは別のサービスとして Meta Model API をパブリックプレビューで提供しています。これは api.meta.ai で OpenAI 互換および Anthropic 互換のエンドポイントを通じて Muse Spark モデルを提供するものです。利用できるのはモデルのみで、エージェントやその VM、Sentinel は含まれません。

Sentinel はプロンプトインジェクションから Muse を守ってくれますか?

部分的にのみです。Meta はプロンプトインジェクションを業界全体で未解決の課題と位置づけており、Muse も依然として誤りを犯すことがあるとしています。防御は多層的で、注入された指示に対抗するためのモデルトレーニング、すべての外部コンテンツを信頼できないものとしてラベル付けすること、メインモデルとは別にトレーニングされた検出用分類器、VM の外部にデータを送信する操作に対する人間による承認から構成されています。承認リクエストはチャットメッセージではなくシステムダイアログとして表示されるため、注入されたテキストがユーザーの同意を偽装することはできません。

Muse がアウトバウンドリクエストによって承認を求めたり求めなかったりするのはなぜですか?

Sentinel は、どのツールプロセスがユーザーのデータを読み取ったかを追跡しています。Meta の説明によれば、ユーザーデータを読み取っていないプロセスは、事前承認された少数の宛先に単独でアクセスできますが、ユーザーデータを読み取ったプロセスは、外部に何かを送信する前にユーザーの承認を求める必要があります。さらに、コネクタごとのアクセス設定も適用されます。また Meta によると、Muse はメールの送信や購入の確定の前に必ずユーザーに確認を取ります。