Первый взгляд на Meta Muse

Meta Muse — персональный ИИ-агент от Meta, запущенный 8 сентября 2026 года. Он работает на выделенной виртуальной машине в облаке Meta и не только отвечает на вопросы, но и выполняет задачи в подключённых приложениях пользователя.

Если вы уже подключали MCP-сервер к десктопному клиенту, а затем смотрели промо-ролик агента, который «всё сделает за вас», то первые вопросы у вас, скорее всего, практические. Где выполняется код? У кого хранятся API-ключи? Можно ли подключить собственный сервер?

В этой статье мы отвечаем на эти вопросы, опираясь на официальные заявления Meta и практический отчёт одного из вендоров. Общие сведения об агентах вы найдёте в статьях введение в агентные браузеры и как работает ИИ-агент Manus. Все описанные ниже свойства безопасности и конфиденциальности заявлены самой Meta. Независимый аудит безопасности Muse пока не публиковался.

Что такое Meta Muse и чем он отличается от чат-бота?

Meta Muse — это не окно чата, а долгоживущий агент с собственным компьютером. В анонсе Meta говорится, что Muse работает на выделенном защищённом компьютере с собственным браузером. ВМ каждого пользователя Meta описывает как изолированную Linux-машину с хранилищем и вычислительными ресурсами, достаточными для компиляции и запуска кода, который пишет агент. Именно это позволяет Muse самостоятельно создавать интеграции.

От ChatGPT или Claude во вкладке браузера Muse отличается в двух практических аспектах. Во-первых, он продолжает работать над задачей после закрытия приложения. Во-вторых, он действует в подключённых сервисах со своей машины, а не возвращает вам текст, чтобы дальше действовали вы. Небольшое уточнение по терминологии: Muse — это агент, а Muse Spark — семейство моделей Meta, на котором он работает.

Что умеет Meta Muse?

Muse берёт на себя повседневные задачи, затрагивающие сразу несколько сервисов:

• чтение, составление и отправка электронной почты;
• бронирование и планирование поездок;
• покупки и оформление заказов;
• заполнение веб-форм.

По словам Meta, Muse запрашивает ваше подтверждение перед отправкой письма или оформлением покупки. Задачи, которые Meta относит к низкорисковым, выполняются без подтверждения.

Как работают защищённая ВМ и Sentinel?

Sentinel — компонент Muse, который контролирует всё, что покидает ВМ. По данным Meta, отдельный агент Sentinel работает в собственном домене безопасности на стороне хоста той же ВМ, вне изолированной среды выполнения агента. Он одобряет каждый исходящий сетевой запрос и подставляет настоящие учётные данные на сетевой границе, так что сам агент Muse имеет дело только с суррогатными токенами. В инженерном блоге Meta о безопасности предлагается представить себе одну машину, разделённую на два отдельных домена безопасности, а не модель с root-доступом ко всей системе.

Согласно описанию Meta, исходящий запрос проходит следующие этапы:

1. Код в среде выполнения агента отправляет запрос с суррогатным токеном.
2. Sentinel сверяет запрос с политиками ваших коннекторов и выданными вами разрешениями.
3. Если запрос одобрен, суррогатный токен заменяется настоящими учётными данными на сетевой границе.
4. Запрос поступает во внешний сервис.

Meta также утверждает, что OAuth-токены подключённых сервисов хранятся на вашей ВМ, а не в централизованных системах Meta.

Встроенные и пользовательские коннекторы изолированы по-разному. По словам Meta, код встроенных коннекторов выполняется в воркере с разделением привилегий за пределами среды выполнения агента. Согласно отчёту Parallel, код пользовательских коннекторов выполняется внутри самой среды выполнения и такого дополнительного разделения не получает.

Подстановка учётных данных через Sentinel работает только для ключей, введённых через защищённую форму ввода учётных данных Muse. В отчёте Parallel отмечается, что если вставить API-ключ прямо в чат, этот механизм не задействуется, а ключ остаётся в истории переписки.

Какие встроенные коннекторы и уровни доступа предлагает Muse?

Встроенные коннекторы — это интеграции из каталога коннекторов Muse. На момент запуска в него входили Google Workspace, Ticketmaster, OpenTable, Spotify и Apple Health, а также собственные приложения Meta. С 18 сентября сторонние разработчики тоже могут отправлять коннекторы, которые Meta проверяет перед публикацией. Каталог постоянно пополняется, поэтому не считайте ни один список исчерпывающим.

Доступ настраивается для каждого коннектора отдельно. В отчёте Parallel описаны три уровня: «только чтение», «требовать подтверждения» и «разрешить». Например, можно позволить Muse читать почту, но подтверждать каждую отправку. Когда требуется подтверждение, разрешение, по словам Meta, может действовать на одно действие, сеанс, задачу, заданный период или бессрочно. Однако какие из этих вариантов предложить для конкретного запроса, решает Sentinel, так что бессрочный вариант будет доступен не для каждого действия.

Можно ли использовать в Muse пользовательские коннекторы и MCP-серверы?

Muse умеет работать с удалёнными MCP-серверами. Чтобы добавить сервис, которого нет в каталоге, нужно, согласно Справочному центру Meta, попросить Muse в чате создать пользовательский коннектор. По данным отчёта Parallel, получив URL MCP-сервера, Muse пишет на своей ВМ MCP-клиент с использованием официального SDK, подключается по streamable HTTP и сохраняет интеграцию как переиспользуемый навык. С обычными публичными REST API всё происходит так же: клиентский код Muse пишет сам.

Сможет ли Muse подключиться к вашему серверу, зависит от того, где этот сервер работает:

Прежде чем передавать URL агенту Muse, убедитесь, что сервер отдаёт список инструментов удалённому клиенту. Приведённый ниже скрипт выполняет ту же последовательность «подключение — получение списка инструментов», которую, по данным Parallel, выполняет Muse. В нём используется ветка поддержки v1 официального MCP TypeScript SDK. У файла расширение .mts, чтобы tsx запускал его как ES-модуль — это необходимо для await верхнего уровня:

// check-mcp.mts
// Confirms a remote MCP server answers over streamable HTTP and lists its tools.
import { Client } from "@modelcontextprotocol/sdk/client/index.js";
import { StreamableHTTPClientTransport } from "@modelcontextprotocol/sdk/client/streamableHttp.js";

const url = new URL(process.env.MCP_URL ?? "https://mcp.example.com/mcp");

const headers: Record<string, string> = {};
if (process.env.MCP_TOKEN) {
  headers.Authorization = `Bearer ${process.env.MCP_TOKEN}`;
}

const transport = new StreamableHTTPClientTransport(url, {
  requestInit: { headers },
});
const client = new Client({ name: "reachability-check", version: "0.1.0" });

await client.connect(transport);
const { tools } = await client.listTools();
for (const tool of tools) {
  console.log(`${tool.name}: ${tool.description ?? ""}`);
}
await client.close();

npm install @modelcontextprotocol/sdk@1
MCP_URL=https://mcp.example.com/mcp npx tsx check-mcp.mts

Запускайте скрипт с публичным URL сервера, а не с localhost. Успешный результат означает, что сервер доступен и отдаёт список инструментов, но не гарантирует, что Muse сможет с ним работать.

Затем дайте Muse промпт примерно такого вида:

Создай пользовательский коннектор для [название сервиса], используя его MCP-сервер по адресу
[https://mcp.example.com/mcp]. Сервер работает по streamable HTTP и [требует / не требует]
аутентификации. Если нужен ключ, запроси его через защищённую форму ввода учётных данных,
а не в этом чате. Перечисли все инструменты, которые предоставляет сервер, протестируй каждый,
покажи мне результаты, а затем сохрани коннектор как переиспользуемый навык.

Meta не проверяет пользовательские коннекторы. Подключая такой коннектор, вы доверяете владельцу соответствующего API или MCP-сервера все данные, которые Muse ему отправит.

Ограничения и открытые вопросы

На старте Muse был доступен совершеннолетним пользователям в США на iOS, Android, muse.ai и в WhatsApp. С тех пор Meta выпустила приложения для Mac и iPad и расширила доступность Muse на другие страны, включая Канаду и (с 27 октября) Сингапур. Meta также объявила о скорой поддержке своих очков. Доступны тарифы Free, Power за $20 в месяц и Maximum за $100 в месяц. По данным Parallel, привязать платёжную карту нужно даже для бесплатного тарифа. Лимиты использования для каждого тарифа в материалах Meta не указаны.

Meta делает и заявления о конфиденциальности. В блоге о безопасности компания сообщает, что можно отказаться от использования ваших переписок для обучения моделей, а данные переписок и ВМ не передаются в рекламные системы. При этом Meta признаёт, что использование Muse всё же может косвенно влиять на показываемую вам рекламу. Например, магазин, который Muse посещает или в котором совершает покупку от вашего имени, может засчитать это как ваш визит и показывать вам свою рекламу.

В таблице ниже, составленной по материалам Meta, разделено то, что работало на момент запуска, и то, что пока лишь анонсировано:

Главный пробел — отсутствие независимой проверки. Модель изоляции хорошо задокументирована, но только самой Meta. Пока не опубликован независимый аудит безопасности, воспринимайте гарантии Sentinel как проектные заявления, а не как проверенные свойства.

Заключение

Muse — это облачная ВМ с агентом внутри и отдельным «привратником» Sentinel, который стоит между агентом и сетью. Такая архитектура объясняет и возможности, и ограничения агента. Он может самостоятельно создавать клиенты для любого публичного API или удалённого MCP-сервера, но не способен достучаться до того, что работает только на вашей машине, а защищает лишь ключи, введённые через защищённую форму ввода учётных данных. Если вы планируете подключить собственный сервис, разверните MCP-сервер на публичном streamable HTTP-эндпоинте и сначала запустите проверку доступности. Выдавайте Muse минимальный уровень доступа, достаточный для выполнения задачи.

Часто задаваемые вопросы

Может ли Meta получить доступ к данным внутри моей ВМ Muse?

Да. В материалах Meta о безопасности сказано, что Muse Secure VM изолирует данные каждого пользователя от других пользователей и ограничивает доступ сотрудников Meta с помощью операционных политик, но не мешает Meta получать доступ к данным, когда это необходимо для поддержки, защиты или работы сервиса. Анонсированная Muse Confidential VM должна блокировать такой доступ криптографически и с возможностью проверки. По словам Meta, ею уже пользуется небольшая группа доверенных тестировщиков, а компания начала передавать описание архитектуры и исходный код внешним аудиторам.

Есть ли публичный API для управления Meta Muse?

Нет. Согласно отчёту Parallel, публичного API для управления агентом Muse или чтения его навыков извне приложения не существует. Разработчики могут отправлять коннекторы в Meta на проверку, но это не даёт им контроля над чьим-либо агентом. Кроме того, Meta предлагает Meta Model API — отдельный сервис в статусе публичной предварительной версии, который предоставляет модели Muse Spark через OpenAI- и Anthropic-совместимые эндпоинты по адресу api.meta.ai. Он даёт доступ к модели, но не к агенту, его ВМ или Sentinel.

Защищает ли Sentinel агента Muse от промпт-инъекций?

Лишь частично. Meta называет промпт-инъекции нерешённой проблемой всей отрасли и признаёт, что Muse всё равно будет ошибаться. Защита многоуровневая: обучение модели противостоять внедрённым инструкциям, маркировка всего внешнего контента как недоверенного, классификаторы-детекторы, обучаемые отдельно от основной модели, и подтверждение человеком действий, при которых данные покидают ВМ. Запросы на подтверждение отображаются в виде системных диалогов, а не сообщений в чате, поэтому внедрённый текст не может подделать ваше согласие.

Почему Muse запрашивает подтверждение для одних исходящих запросов, но не для других?

Sentinel отслеживает, какие процессы инструментов читали ваши данные. Согласно описанию Meta, процесс, который не читал пользовательские данные, может самостоятельно обращаться к короткому списку заранее одобренных адресов, а процесс, который читал пользовательские данные, должен запросить ваше разрешение перед любой отправкой наружу. Помимо этого, действуют ваши настройки доступа для каждого коннектора, и, по словам Meta, Muse уточняет у вас перед отправкой письма или оформлением покупки.