Meta Muse 是 Meta 于 2026 年 9 月 8 日推出的个人 AI 智能体（agent）。它运行在 Meta 云端的专属虚拟机上，能够在用户已连接的各类应用中执行任务，而不只是回答问题。
如果你曾把 MCP server 接入桌面客户端，又看过某个发布视频承诺有一个能“替你办事”的智能体，那么你最先想问的大概都是些实际问题：代码在哪里运行？API 密钥由谁保管？我能接入自己的 server 吗？
本文依据 Meta 公开发布的说明以及一家厂商的上手实测报告来回答这些问题。如需了解智能体的一般背景，可参阅 智能体浏览器简介 和 Manus AI 智能体的工作原理。下文描述的所有安全与隐私特性均为 Meta 的自述，目前尚无任何针对 Muse 的独立安全审计报告发布。
核心要点
- 每位 Muse 用户都会在 Meta 云端获得一台专属 Linux 虚拟机，配有浏览器、存储和代码执行能力，即使关闭应用，智能体也会继续工作。
- Meta 表示，由一个独立的 Sentinel 智能体审批所有出站网络流量，并将代理令牌（surrogate token）替换为真实凭据，因此 Muse 智能体本身从不接触密钥。
- 要接入 MCP server，只需在聊天中向 Muse 提出请求。它会在自己的虚拟机上编写 MCP 客户端，通过 streamable HTTP 建立连接，并将结果保存为一项技能（skill）。
- 运行在你笔记本电脑上的 MCP server 对 Muse 而言是不可达的，因为虚拟机位于 Meta 云端，而不在你的网络中。
- Meta 不会审核 Muse 为你构建的自定义连接器，而其宣布的 Confidential VM 在发布时尚未上线。
Meta Muse 是什么？它与聊天机器人有何不同？
Meta Muse 是一个拥有自己计算机的长时运行智能体，而不是一个聊天窗口。Meta 的发布公告称 Muse 运行在一台配有独立浏览器的专属安全计算机上；Meta 还将每位用户的虚拟机描述为一台隔离的 Linux 机器，具备存储空间，并拥有足够的算力来编译和运行智能体编写的代码。正是最后这一点，让 Muse 能够自行构建集成。
与在浏览器标签页中使用 ChatGPT 或 Claude 相比，Muse 有两个实际区别：关闭应用后，Muse 仍会继续朝目标推进；而且它在自己的机器上直接操作你已连接的服务，而不是返回一段文本让你自己去执行。关于命名还需说明一点：Muse 是智能体本身，而 Muse Spark 是为其提供支持的 Meta 模型系列。
Meta Muse 能做什么？
Muse 可以处理跨多个服务的日常事务：
- 阅读、起草和发送电子邮件
- 预订服务和规划行程
- 购物并完成支付
- 填写网页表单
据 Meta 介绍，Muse 在发送邮件或完成购买之前会征求你的批准。被 Meta 归类为低风险的任务则无需确认即可直接执行。
Muse 的安全虚拟机与 Sentinel 如何工作？
Sentinel 是 Muse 中负责控制哪些内容可以离开虚拟机的组件。据 Meta 介绍，一个名为 Sentinel 的独立智能体运行在同一台虚拟机上一个独立的宿主侧安全域中，位于智能体的运行时单元（runtime cell）之外。它会审批每一个出站网络请求，并在网络边界处注入真实凭据，因此 Muse 智能体本身始终只接触代理令牌。Meta 的安全工程博文请读者将其想象为一台被划分为两个独立安全域的机器，而不是一个对整台机器拥有 root 权限的模型。
按照 Meta 的描述，一个出站请求会经历以下步骤：
- 智能体运行时单元中的代码发出一个携带代理令牌的请求。
- Sentinel 根据你的连接器策略以及你已给予的批准对该请求进行检查。
- 如果请求获得批准，则在网络边界处用真实凭据替换代理令牌。
- 请求到达外部服务。
Meta 还表示，你所连接服务的 OAuth 令牌保存在你自己的虚拟机上，而不是 Meta 的中央系统中。
内置连接器与自定义连接器的隔离方式有所不同。Meta 表示，内置连接器代码运行在智能体运行时单元之外的权限分离 worker 中。而根据 Parallel 的报告，自定义连接器代码运行在运行时单元内部，不享有这层额外的隔离。
Sentinel 的凭据替换机制仅覆盖通过 Muse 安全凭据输入框输入的密钥。Parallel 的报告指出，如果你把 API 密钥直接粘贴到聊天中，就会绕过这一机制，密钥会留在对话历史里。
Muse 提供哪些内置连接器和访问级别？
内置连接器是指列在 Muse 连接器目录中的集成。首发阵容包括 Google Workspace、Ticketmaster、OpenTable、Spotify 和 Apple Health，以及 Meta 自家的应用。自 9 月 18 日起，外部开发者也可以提交连接器，经 Meta 审核后上架。该列表仍在持续扩充，因此不要将任何清单视为完整列表。
访问权限按连接器分别设置。Parallel 的报告描述了三个级别：只读（read-only）、需要批准（require approval）和允许（allow）。这样一来，你可以允许 Muse 读取你的邮件，同时仍需亲自批准每一次发送。当需要批准时，Meta 表示授权的有效期可以是单次操作、一个会话、一项任务、一段设定时间或永久有效，但具体针对每个请求提供哪些选项由 Sentinel 决定。不要指望每个操作都有“永久”选项。
Muse 能否使用自定义连接器和 MCP server？
Muse 可以使用远程 MCP server。要添加连接器列表中没有的服务，Meta 帮助中心的说法是：在聊天中让 Muse 创建一个自定义连接器。根据 Parallel 的报告，当你向 Muse 提供一个 MCP server URL 时，它会使用官方 SDK 在自己的虚拟机上编写一个 MCP 客户端，通过 streamable HTTP 建立连接，并将该集成保存为可复用的技能。普通的公开 REST API 也是同样的方式：由 Muse 自行编写客户端代码。
Muse 能否访问你的 server，取决于 server 运行在哪里：
| Server 情况 | Muse 能否访问？ | 原因 |
|---|---|---|
| 通过 streamable HTTP 提供服务的远程 server | 能 | Muse 的虚拟机可以经由 Sentinel 向其发起出站连接 |
| 已发布的 stdio 包 | 通常可以（据 Parallel 的报告） | 只要能通过 npm 或 pip 安装，Muse 就可以将其安装到自己的虚拟机上 |
| 运行在你笔记本电脑上的 server | 不能 | 虚拟机位于 Meta 云端，没有通往你网络的路由 |
在把 URL 交给 Muse 之前，请先确认该 server 能向远程客户端列出其工具。下面的脚本执行的正是 Parallel 报告中 Muse 所执行的“连接并列出工具”流程。它使用的是 官方 MCP TypeScript SDK 的 v1 维护版本。文件使用 .mts 扩展名，以便 tsx 将其作为 ES 模块运行，这是使用顶层 await 的前提：
// check-mcp.mts
// Confirms a remote MCP server answers over streamable HTTP and lists its tools.
import { Client } from "@modelcontextprotocol/sdk/client/index.js";
import { StreamableHTTPClientTransport } from "@modelcontextprotocol/sdk/client/streamableHttp.js";
const url = new URL(process.env.MCP_URL ?? "https://mcp.example.com/mcp");
const headers: Record<string, string> = {};
if (process.env.MCP_TOKEN) {
headers.Authorization = `Bearer ${process.env.MCP_TOKEN}`;
}
const transport = new StreamableHTTPClientTransport(url, {
requestInit: { headers },
});
const client = new Client({ name: "reachability-check", version: "0.1.0" });
await client.connect(transport);
const { tools } = await client.listTools();
for (const tool of tools) {
console.log(`${tool.name}: ${tool.description ?? ""}`);
}
await client.close();npm install @modelcontextprotocol/sdk@1
MCP_URL=https://mcp.example.com/mcp npx tsx check-mcp.mts请针对 server 的公网 URL 运行此脚本，切勿使用 localhost。如果运行成功，说明该 server 可访问并能列出其工具，但这并不保证它一定能与 Muse 正常配合。
然后，向 Muse 发送类似下面的提示词：
Build a custom connector for [service name] using its MCP server at
[https://mcp.example.com/mcp]. It uses streamable HTTP and [needs / does not need]
authentication. If a key is required, ask for it through the secure credential
prompt, not in this chat. List every tool the server exposes, test each one,
show me the results, then save the connector as a reusable skill.Meta 不会审核自定义连接器。接入一个自定义连接器，就意味着你要把 Muse 发送给它的任何数据托付给该 API 或 MCP server 的运营方。
局限与待解问题
Muse 首发面向美国的成年用户，支持 iOS、Android、muse.ai 和 WhatsApp。此后，Meta 又推出了 Mac 和 iPad 应用，并将 Muse 扩展到更多国家，包括加拿大，以及于 10 月 27 日上线的新加坡。Meta 表示对其智能眼镜的支持即将推出。订阅方案包括 Free（免费）、Power（每月 20 美元）和 Maximum（每月 100 美元）。Parallel 报告称，即使使用免费方案，也需要绑定一张支付卡。Meta 的发布材料并未说明各方案的使用额度。
Meta 还做出了一些隐私方面的承诺。在其安全博文中，Meta 表示你可以选择不让自己的对话被用于训练，且对话和虚拟机数据不会共享给其广告系统。但它也承认，你使用 Muse 的方式仍可能间接影响你看到的广告。例如，Muse 代你访问或下单的商店可能会将其视为你本人的访问，进而向你投放相关广告。
下表根据 Meta 的发布材料，区分了发布时已上线的功能和 Meta 仅宣布过的功能：
| 项目 | 状态 |
|---|---|
| 安全虚拟机、Sentinel | 发布时已上线 |
| 内置与自定义连接器 | 发布时已上线 |
| Confidential VM | 已宣布，计划于 2026 年晚些时候推出 |
| 眼镜支持 | 已宣布，暂无日期 |
更大的缺口在于验证。其隔离模型的文档相当完善，但全部出自 Meta 之手。在独立安全审计报告发布之前，应将 Sentinel 的各项保障视为设计层面的声明，而非经过测试验证的特性。
结语
Muse 本质上是一台云端虚拟机，内部运行着一个智能体，网络前端则由一个独立的守门人 Sentinel 把关。这一设计同时解释了它能做什么、不能做什么：它可以为任何公开 API 或远程 MCP server 自行构建客户端，但无法访问仅存在于你本机上的任何内容，并且只保护通过安全凭据输入框输入的密钥。如果你打算接入自己的服务，请将 MCP server 部署在公网可访问的 streamable HTTP 端点上，并先运行可达性检查。同时，在能完成任务的前提下，为 Muse 授予尽可能窄的访问级别。
常见问题
Meta 能访问我的 Muse 虚拟机中的数据吗？
能。Meta 的安全说明指出，Muse Secure VM 会将每位用户的数据与其他用户隔离，并通过运营策略限制 Meta 员工的访问，但这并不能阻止 Meta 在支持、保障或运营服务所需时访问数据。已宣布的 Muse Confidential VM 旨在以加密且可验证的方式阻断此类访问。Meta 表示，一小批受信任的测试者已在使用它，并且 Meta 已开始与外部审计方共享其设计和源代码。
是否有用于控制 Meta Muse 的公开 API？
没有。根据 Parallel 的报告，目前没有任何公开 API 可用于在应用外部驱动 Muse 智能体或读取其技能。开发者可以向 Meta 提交连接器供审核，但这并不能让他们控制任何人的智能体。Meta 另外还提供 Meta Model API，这是一项处于公开预览阶段的独立服务，通过 api.meta.ai 上兼容 OpenAI 和 Anthropic 的端点提供 Muse Spark 模型。它提供的只是模型，而不包括智能体、其虚拟机或 Sentinel。
Sentinel 能保护 Muse 免受提示词注入攻击吗？
只能部分做到。Meta 称提示词注入是整个行业尚未解决的问题，并表示 Muse 仍会犯错。其防御是多层次的：针对注入指令的模型训练、将所有外部内容标记为不可信、与主模型分开训练的检测分类器，以及对将数据移出虚拟机的操作要求人工批准。批准请求以系统对话框而非聊天消息的形式出现，因此注入的文本无法伪造你的同意。
为什么 Muse 对某些出站请求需要批准，而对另一些则不需要？
Sentinel 会追踪哪些工具进程读取过你的数据。按照 Meta 的描述，未读取过用户数据的进程可以自行访问一小份预先批准的目标列表，而读取过用户数据的进程在向外发送任何内容之前都必须征得你的同意。此外，你为每个连接器设置的访问权限同样适用，Meta 也表示 Muse 在发送邮件或完成购买前会与你确认。
