Primeiras impressões sobre o Meta Muse

O Meta Muse é um agente pessoal de IA da Meta, lançado em 8 de setembro de 2026. Ele roda em uma máquina virtual dedicada na nuvem da Meta e executa tarefas nos apps conectados do usuário, em vez de apenas responder a perguntas.

Se você já integrou um servidor MCP a um cliente desktop e depois assistiu a um vídeo de lançamento prometendo um agente que “faz as coisas por você”, suas primeiras dúvidas provavelmente são práticas. Onde o código é executado? Quem guarda as chaves de API? Posso conectar meu próprio servidor?

Este artigo responde a essas perguntas com base nas declarações publicadas pela Meta e no relato prático de um fornecedor. Para uma visão geral sobre agentes, veja a introdução aos navegadores agênticos e como funciona o agente Manus AI. Todas as propriedades de segurança e privacidade descritas a seguir são afirmações da Meta. Nenhuma auditoria de segurança independente do Muse foi publicada.

O que é o Meta Muse e como ele se diferencia de um chatbot?

O Meta Muse é um agente de longa duração com seu próprio computador, e não uma janela de chat. O anúncio de lançamento da Meta descreve o Muse como executado em um computador seguro dedicado, com navegador próprio, e a Meta descreve a VM de cada usuário como uma máquina Linux isolada, com armazenamento e capacidade computacional suficiente para compilar e executar o código que o agente escreve. É justamente esse último ponto que permite ao Muse criar suas próprias integrações.

Há duas diferenças práticas entre o Muse e o ChatGPT ou o Claude em uma aba do navegador. O Muse continua trabalhando em direção a um objetivo depois que você fecha o app e age dentro dos seus serviços conectados a partir da própria máquina, em vez de devolver um texto para que você tome a ação. Uma observação sobre a nomenclatura: Muse é o agente, e Muse Spark é a família de modelos da Meta que o alimenta.

O que o Meta Muse consegue fazer?

O Muse cuida de tarefas do dia a dia que envolvem vários serviços:

• Ler, redigir e enviar e-mails
• Fazer reservas e planejar viagens
• Fazer compras e concluir pagamentos
• Preencher formulários na web

De acordo com a Meta, o Muse pede sua aprovação antes de enviar um e-mail ou concluir uma compra. Tarefas que a Meta classifica como de baixo risco podem seguir sem autorização.

Como funcionam a VM segura e o Sentinel do Muse?

O Sentinel é o componente do Muse que controla o que sai da VM. Segundo a Meta, um agente separado chamado Sentinel é executado em seu próprio domínio de segurança no lado do host, na mesma VM, fora da célula de execução do agente. Ele aprova cada requisição de rede de saída e insere as credenciais reais na fronteira da rede, de modo que o próprio agente Muse lida apenas com tokens substitutos. O post de engenharia de segurança da Meta pede que o leitor imagine uma única máquina dividida em dois domínios de segurança separados, em vez de um modelo com acesso root à máquina inteira.

Conforme descrito pela Meta, uma requisição de saída passa pelas seguintes etapas:

1. O código na célula de execução do agente faz uma requisição que carrega um token substituto.
2. O Sentinel verifica a requisição com base nas políticas dos seus conectores e nas aprovações que você concedeu.
3. Se a requisição for aprovada, a credencial real substitui o token substituto na fronteira da rede.
4. A requisição chega ao serviço externo.

A Meta também afirma que os tokens OAuth dos seus serviços conectados ficam armazenados na sua própria VM, e não nos sistemas centrais da Meta.

Conectores nativos e personalizados são isolados de formas diferentes. A Meta afirma que o código dos conectores nativos é executado em um worker com separação de privilégios, fora da célula de execução do agente. De acordo com o relato da Parallel, o código dos conectores personalizados é executado dentro da própria célula de execução e não conta com essa separação adicional.

A substituição de credenciais feita pelo Sentinel cobre apenas as chaves inseridas pelo prompt seguro de credenciais do Muse. O relato da Parallel observa que, se você colar uma chave de API no chat, esse mecanismo é ignorado e a chave permanece no histórico da conversa.

Quais conectores nativos e níveis de acesso o Muse oferece?

Os conectores nativos são as integrações listadas no diretório de conectores do Muse. O conjunto de lançamento inclui Google Workspace, Ticketmaster, OpenTable, Spotify e Apple Health, além dos próprios apps da Meta. Desde 18 de setembro, desenvolvedores externos também podem enviar conectores, que passam por revisão da Meta antes de serem listados. A lista continua crescendo, então não considere nenhuma relação como completa.

O acesso é configurado por conector. O relato da Parallel descreve três níveis: somente leitura, exigir aprovação e permitir. Isso permite dar ao Muse permissão para ler seus e-mails e, ainda assim, exigir sua aprovação para cada envio. Quando uma aprovação é necessária, a Meta afirma que a autorização pode valer para uma ação, uma sessão, uma tarefa, um período determinado ou permanentemente, mas é o Sentinel que decide quais dessas opções oferecer para cada requisição. Não espere uma opção permanente para todas as ações.

O Muse pode usar conectores personalizados e servidores MCP?

O Muse pode usar servidores MCP remotos. Para adicionar um serviço que não está na lista de conectores, a Central de Ajuda da Meta orienta que você peça ao Muse, no chat, para criar um conector personalizado. De acordo com o relato da Parallel, quando você fornece ao Muse a URL de um servidor MCP, ele escreve um cliente MCP na sua VM usando o SDK oficial, conecta-se via streamable HTTP e salva a integração como uma skill reutilizável. APIs REST públicas comuns funcionam da mesma forma: o próprio Muse escreve o código do cliente.

Se o Muse consegue ou não acessar seu servidor depende de onde ele está sendo executado:

Antes de passar uma URL ao Muse, verifique se o servidor lista suas ferramentas para um cliente remoto. O script abaixo executa a mesma sequência de conexão e listagem de ferramentas que, segundo a Parallel, o Muse realiza. Ele usa a linha de manutenção v1 do SDK oficial do MCP para TypeScript. O arquivo usa a extensão .mts para que o tsx o execute como um módulo ES, necessário para o await de nível superior:

// check-mcp.mts
// Confirms a remote MCP server answers over streamable HTTP and lists its tools.
import { Client } from "@modelcontextprotocol/sdk/client/index.js";
import { StreamableHTTPClientTransport } from "@modelcontextprotocol/sdk/client/streamableHttp.js";

const url = new URL(process.env.MCP_URL ?? "https://mcp.example.com/mcp");

const headers: Record<string, string> = {};
if (process.env.MCP_TOKEN) {
  headers.Authorization = `Bearer ${process.env.MCP_TOKEN}`;
}

const transport = new StreamableHTTPClientTransport(url, {
  requestInit: { headers },
});
const client = new Client({ name: "reachability-check", version: "0.1.0" });

await client.connect(transport);
const { tools } = await client.listTools();
for (const tool of tools) {
  console.log(`${tool.name}: ${tool.description ?? ""}`);
}
await client.close();

npm install @modelcontextprotocol/sdk@1
MCP_URL=https://mcp.example.com/mcp npx tsx check-mcp.mts

Execute-o apontando para a URL pública do servidor, nunca para localhost. Se funcionar, o servidor está acessível e lista suas ferramentas. Isso não garante que o Muse funcionará com ele.

Em seguida, envie ao Muse um prompt nesta linha:

Crie um conector personalizado para [nome do serviço] usando o servidor MCP em
[https://mcp.example.com/mcp]. Ele usa streamable HTTP e [precisa / não precisa]
de autenticação. Se for necessária uma chave, solicite-a pelo prompt seguro de
credenciais, e não neste chat. Liste todas as ferramentas que o servidor expõe,
teste cada uma, mostre os resultados e depois salve o conector como uma skill reutilizável.

A Meta não revisa conectores personalizados. Conectar um deles significa confiar a quem opera aquela API ou servidor MCP todos os dados que o Muse enviar para ele.

Limitações e questões em aberto

O Muse foi lançado para adultos nos EUA, no iOS, no Android, em muse.ai e no WhatsApp. Desde então, a Meta lançou apps para Mac e iPad e expandiu o Muse para mais países, incluindo o Canadá e, em 27 de outubro, Singapura. A Meta informou que o suporte aos seus óculos está a caminho. Os planos são Free, Power por US$ 20 por mês e Maximum por US$ 100 por mês. A Parallel relata que é necessário cadastrar um cartão de pagamento mesmo no plano gratuito. Os materiais de lançamento da Meta não informam os limites de uso de cada plano.

A Meta também faz afirmações sobre privacidade. Em seu post sobre segurança, ela diz que é possível optar por não ter suas conversas usadas para treinamento e que as conversas e os dados da VM não são compartilhados com seus sistemas de anúncios. Ela também afirma que a forma como você usa o Muse ainda pode influenciar seus anúncios indiretamente. Por exemplo, uma loja que o Muse visita ou onde compra em seu nome pode registrar isso como uma visita sua e exibir anúncios dela para você.

A tabela abaixo separa o que estava disponível no lançamento do que a Meta apenas anunciou, com base nos materiais de lançamento da empresa:

A lacuna mais significativa é a verificação. O modelo de isolamento está bem documentado, mas apenas pela Meta. Até que uma auditoria de segurança independente seja publicada, trate as garantias do Sentinel como afirmações de design, e não como propriedades testadas.

Conclusão

O Muse é uma VM na nuvem com um agente dentro dela e um controlador de acesso separado, o Sentinel, posicionado à frente da rede. Esse design explica tanto o que ele consegue quanto o que não consegue fazer. Ele pode criar seus próprios clientes para qualquer API pública ou servidor MCP remoto, mas não consegue acessar nada que exista apenas na sua máquina, e só protege as chaves inseridas pelo prompt seguro de credenciais. Se você pretende conectar seu próprio serviço, implante o servidor MCP em um endpoint público de streamable HTTP e execute primeiro a verificação de acessibilidade. Conceda ao Muse o nível de acesso mais restrito que ainda permita a ele realizar a tarefa.

Perguntas frequentes

A Meta pode acessar os dados dentro da minha VM do Muse?

Sim. A documentação de segurança da Meta diz que a Muse Secure VM isola os dados de cada usuário dos demais usuários e limita o acesso da equipe da Meta por meio de políticas operacionais, mas não impede que a Meta acesse os dados quando necessário para dar suporte, proteger ou operar o serviço. A Muse Confidential VM anunciada tem como objetivo bloquear esse acesso de forma criptográfica e verificável. A Meta afirma que um pequeno grupo de testadores de confiança já a utiliza e que começou a compartilhar o design e o código-fonte com auditores externos.

Existe uma API pública para controlar o Meta Muse?

Não. De acordo com o relato da Parallel, não há API pública para controlar um agente Muse ou ler suas skills fora do app. Desenvolvedores podem enviar conectores para revisão da Meta, mas isso não lhes dá controle sobre o agente de ninguém. A Meta também oferece a Meta Model API, um serviço separado em prévia pública que disponibiliza os modelos Muse Spark por meio de endpoints compatíveis com OpenAI e Anthropic em api.meta.ai. Ela fornece o modelo, mas não o agente, sua VM ou o Sentinel.

O Sentinel protege o Muse contra prompt injection?

Apenas parcialmente. A Meta considera o prompt injection um problema ainda sem solução em todo o setor e afirma que o Muse ainda cometerá erros. Suas defesas são em camadas: treinamento do modelo contra instruções injetadas, marcação de todo conteúdo externo como não confiável, classificadores de detecção treinados separadamente do modelo principal e aprovação humana para ações que enviam dados para fora da VM. As solicitações de aprovação aparecem como diálogos do sistema, e não como mensagens no chat, de modo que um texto injetado não consegue simular o seu consentimento.

Por que o Muse pede aprovação para algumas requisições de saída, mas não para outras?

O Sentinel rastreia quais processos de ferramentas leram seus dados. Conforme descrito pela Meta, um processo que não leu dados do usuário pode acessar por conta própria uma lista curta de destinos pré-aprovados, enquanto um processo que leu dados do usuário precisa pedir sua autorização antes de enviar qualquer coisa para fora. As configurações de acesso de cada conector também se aplicam, e a Meta afirma que o Muse consulta você antes de enviar e-mails ou concluir uma compra.