Metas Muse will Ihre Arbeitskonten – ziehen Sie die Grenzen

Ein Assistent, der in Ihren Konten handelt

Muse ist Metas persönlicher KI-Agent. Ein Agent ist Software, die Besorgungen für Sie erledigt (Mails lesen, buchen, kaufen, Formulare ausfüllen), statt nur Fragen zu beantworten. Seit Metas Connect-Event in dieser Woche kann er auch auf Tools zugreifen, die viele Menschen bei der Arbeit nutzen. Metas Connect-Beitrag listet sie auf:

For getting work done, there's Notion, Granola, GitHub, and Box.

Im selben Beitrag sagt Meta, Muse werde eine eigene E-Mail-Adresse bekommen. Meta hat Muse am 8. September gestartet und rollt es in den USA auf iOS, Android und muse.ai aus. Muse hat außerdem eine Mac-App: Das ist die Version, um die es bei der Sicherheitsforschung weiter unten geht, und diejenige, die John Gruber besonders hervorhebt. Nach Metas eigener Beschreibung lebt Ihre Muse auf einem eigenen Computer in Metas Cloud, und dort werden auch die Logins für jeden Dienst gespeichert, den Sie verbinden. Zum Preis sagt Meta nur, es sei "free for most of what people need, with subscription plans for people who want to do more."

So ist die Entscheidung vor Ihnen nicht, ob der Assistent klug ist. Es geht darum, was Sie bereit sind, einem einzigen Programm gleichzeitig anzuvertrauen: Ihre Notizen, Ihren Code, Ihre geteilten Dateien und möglicherweise das Recht, E-Mails in Ihrem Namen zu senden. Alles, was Meta über die Absicherung sagt, ist Metas eigene Darstellung, und diese Woche haben Außenstehende begonnen, einen Teil davon unter Druck zu setzen.

Der Arbeitszugriff kam in derselben Woche wie die ersten externen Tests

Der Auslöser ist, dass zwei Dinge gleichzeitig eintrafen. Meta hat erweitert, was Muse erreichen kann, und Menschen außerhalb von Meta haben gezeigt, wo dieser Zugriff schiefgehen kann. Innerhalb weniger Tage:

• Ab etwa dem 20. September begann Amazon, Muse das Einkaufen auf seiner Website zu blockieren, berichtet Ars Technica.
• Sicherheitsforscher Patrick Wardle veröffentlichte eine Sicherheitslücke in der Mac-App von Muse. Es ist ein lokaler Angriff: Er funktioniert nur, wenn ein Angreifer bereits ein Programm auf Ihrem Mac ausführen kann. Laut Ars Technica gab Meta an, einen Hotfix, also ein dringendes Update, veröffentlicht zu haben.
• Am 24. September, bei Connect, fügte Meta die Arbeits-Connectoren hinzu und kündigte an, dass Muse eine eigene E-Mail-Adresse bekommt.
• The Verge berichtete, dass Nutzer alles herunterladen konnten, was auf Muses Cloud-Computer gespeichert war. Meta sagt, das sei beabsichtigt.

Was das für Ihre Entscheidung bedeutet: Die Sicherheitsversprechen im Launch-Beitrag haben sich nicht geändert, aber sie stehen jetzt zwischen einem Agenten und den Dokumenten Ihres Unternehmens statt zwischen ihm und Ihrem Einkaufskorb. Die Arbeitstools kamen in denselben Tagen wie der veröffentlichte Angriff eines Forschers auf die App, die sie hält, und die öffentliche Weigerung eines Händlers, den Agenten hereinzulassen.

Metas Versprechen, und was Außenstehende tatsächlich geprüft haben

Metas Argumentation ist eine Liste von Kontrollen in seinem Launch-Beitrag, oben auf dieser Seite gezeigt. Meta sagt, Muse könne Ihre Passwörter nicht sehen:

Muse has no visibility into people's passwords or payment methods.

Meta sagt außerdem, ein zweites, separates Programm namens Sentinel prüfe alles, was Muse ins Internet zu senden versucht:

Nothing Muse does reaches the internet unless the Sentinel approves it

Meta sagt, Muse frage nach, bevor es sensible Aktionen wie das Senden einer E-Mail oder einen Kauf ausführt, dass es ein vollständiges Audit-Protokoll dessen zeige, was es getan hat und vorhat, und dass Sie bei E-Mail wählen, ob es nur liest oder auch senden darf. Metas Sicherheits-Write-up fügt hinzu, der Agent handhabe stets nur Platzhalter-Schlüssel, wobei die echten erst im letzten Moment vom Sentinel eingesetzt würden — wer den Agenten also dazu bringen wolle, Ihre Geheimnisse preiszugeben, komme damit nach Metas Darstellung nicht weiter. In den von uns gefundenen Quellen hat niemand außerhalb von Meta berichtet, den Sentinel, den Wechsel zu Platzhalter-Schlüsseln, das Audit-Protokoll oder die Nur-Lese-Einstellung für E-Mail getestet zu haben.

Ein externer Test kam von Wardle, der eine funktionierende Demonstration auf GitHub veröffentlichte. In einem Satz: Die Mac-App von Muse hat eine versteckte Einstellung, die bestimmt, wohin Ihre gesprochenen Anweisungen gesendet werden, und ein bereits auf Ihrem Mac laufendes Programm kann sie ändern.

A local attacker or malware can modify this endpoint without special privileges.

"Without special privileges" bedeutet: kein Administratorpasswort nötig. Genau hier reden die beiden Seiten aneinander vorbei. Metas Kontrollen sind darauf ausgelegt, Ihre Passwörter vom Agenten fernzuhalten. Wardles Sorge ist, dass jemand den Agenten selbst übernehmen könnte — und mit ihm potenziell alles, was Sie verbunden haben. Seine eigene Seite nennt die Grenze, und sie gehört neben jede Erwähnung dieser Lücke:

This is a local attack. An attacker must already be able to execute code as the local user.

Laut Ars Technica gab Meta an, einen Hotfix veröffentlicht zu haben, und seine Stellungnahme bezeichnete die Lücke als "not a remote exploit": Sie lässt sich nicht allein über das Internet auslösen. Dan Goodin, der den Ars-Artikel schrieb, argumentiert, das sei schwächer, als es klingt, wegen ClickFix, einem Betrug, der Menschen dazu bringt, Code auf ihrem eigenen Computer auszuführen. Ein "0-day" ist eine Lücke, die veröffentlicht wird, bevor es einen Fix dafür gibt.

The Meta statement said the 0-day was "not a remote exploit" even though an increasingly effective social engineering scam has the same effect.

Wardle, im Interview mit Goodin, geht weiter und relativiert selbst:

when you take a look at Muse, it's like they didn't, in my opinion, think about security, which is really worrisome

Amazons Einwand ist kommerzieller Natur. In einer per E-Mail an Ars Technica übermittelten Stellungnahme sagte Amazon, Apps, die für einen Kunden bei anderen Unternehmen einkaufen, sollten offen agieren und die Entscheidung eines Geschäfts respektieren, nicht mitzumachen — so wie es Lieferdienste und Reisebüros tun. Weiter hieß es:

Agentic third-party applications such as Muse have the same obligations, and we've requested that Meta remove Amazon from the experience.

Beim Filesystem-Download argumentiert Meta, Offenheit sei genau der Punkt. The Verge berichtet, David Singleton von Meta Superintelligence Labs habe auf X geschrieben:

This was a very deliberate choice - your Muse Secure VM truly is your own computer in the cloud.

Eine VM, oder virtuelle Maschine, ist ein Computer in Metas Rechenzentrum, der für Sie reserviert ist. Wir haben keinen unabhängigen Kritiker dieser Entscheidung gefunden. Der Bericht von The Verge enthielt, soweit er ohne Abonnement lesbar war, Singletons Erklärung und keinen Einwand.

Die nützlichste Stimme von außen ist gespalten. John Gruber lobt die technische Umsetzung:

It's the first consumer-accessible agentic AI system, and Meta has truly done an amazing job with that.

Im selben Beitrag bezweifelt er, dass die Leute wissen, was sie da eingeschaltet haben:

I don't think people realize how powerful — and thus dangerous — Muse is, especially if it's running on your Mac.

In den von uns gefundenen Quellen berichtet niemand außerhalb von Meta, Folgendes getestet zu haben: ob der Sentinel stoppt, was er stoppen soll, ob der Wechsel zu Platzhalter-Schlüsseln hält, ob das Audit-Protokoll vollständig ist, und ob "read only" bei E-Mail auch tatsächlich schreibgeschützt bleibt. Ebenso wenig hat jemand außerhalb von Meta berichtet, ob Metas Hotfix die ganze Problemklasse geschlossen hat oder nur die eine Einstellung, die Wardle gefunden hat.

Eng verbinden, und öffentliche Besorgungen von seiner Liste fernhalten

Wenn Sie Muse bei der Arbeit ausprobieren, richten Sie es so ein, dass ein Fehler — oder ein Angreifer — so wenig wie möglich anrichten kann.

• Lesen vor Senden. Meta sagt, bei E-Mail wählen Sie, ob Muse nur liest oder auch senden darf. Wählen Sie Lesen. Wenden Sie dieselbe Regel auf Notion, GitHub und Box an: Verbinden Sie den kleinsten Umfang, den die Einstellungen anbieten, und niemals einen Arbeitsbereich, dessen Kopie Sie sich nicht leisten könnten.
• Seine Adresse nutzen, nicht Ihre. Meta beschreibt Muses kommende E-Mail-Adresse als einen weiteren Weg, mit ihm zu kommunizieren. Sobald diese Adresse aktiv ist, gibt ihm das Weiterleiten genau des einen Threads, den Sie bearbeitet haben wollen, nur diesen Thread — nicht Ihr ganzes Postfach.
• Außer Reichweite halten: das Senden in Ihrem Namen, gespeicherte Zahlungsmittel sowie jedes Code-Repository oder geteilte Laufwerk, das Ihrem Unternehmen gehört.
• Zuerst prüfen: dass die Mac-App aktualisiert ist und den Hotfix enthält, den Meta nach eigenen Angaben für Wardles Lücke veröffentlicht hat, die ein bereits auf Ihrem Mac laufendes Programm voraussetzt; dass das Training anhand Ihrer Interaktionen abgeschaltet ist, was laut Meta möglich ist; das Audit-Protokoll nach den ersten paar Aufgaben; und die Richtlinie Ihres Arbeitgebers zum Verbinden externer Agenten.
• Auf die Maschine achten. Wardles Bedingung ist ein bereits auf Ihrem Mac laufendes Programm. Wenn Sie Tools von unbekannten Websites installieren oder Befehle von Webseiten einfügen, ist dieser Mac der Schwachpunkt, und Goodins ClickFix-Argument beschreibt genau Sie.

Manche Besorgungen, die Menschen Muse übertragen werden, brauchten nie ein Konto: jeden Morgen die Lagerbestandsseite eines Lieferanten prüfen, jede Woche dasselbe öffentliche Formular abschicken, einen Preis von einer öffentlichen Angebotsseite abgreifen. Dafür ist ein skriptgesteuerter Browser das einfachere Werkzeug. In Latenode kann ein Workflow einen Cloud-Browser mit Puppeteer steuern, einer Bibliothek, in der jeder Schritt (diese Seite öffnen, auf jenen Button warten, in dieses Feld tippen, jene Zahl kopieren) vor dem Lauf ausgeschrieben ist, sodass Sie genau lesen können, was er tun wird, und er tut nur das. Die Aufgabe braucht keinen Login zu Ihrem Postfach oder Ihren Dateien, es gibt also nichts von Ihnen, das sie festhalten könnte. Sie zahlen für die CPU-Sekunden, die ein Lauf verbraucht — also die Rechenzeit, die er benötigt —, ohne Mindestgebühr pro Lauf, sodass eine kurze Prüfung anteilig wenig kostet. Die kostenlose Stufe umfasst 10,000 CPU-Sekunden pro Monat und fünf aktive Workflows, was Raum lässt, eine tägliche Prüfung auszuprobieren, ohne zu zahlen. Das ist keine Muse-Verbindung, und sie muss auch keine sein: Es nimmt die Besorgungen, die nie ein Konto gebraucht hätten, von der Liste des Agenten.

Ja zu einem Test mit Lesezugriff. Nein zu Ihrem Postausgang, Ihrem Zahlungsmittel und den Unternehmensdateien

Probieren Sie es bei der Arbeit aus, wenn Sie Gründerin, Gründer oder Einzelunternehmer sind und Ihr Kalender und Ihre Notizen niemanden in Verlegenheit bringen würden, falls jemand sie liest, und geben Sie ihm nur Lesezugriff. Gruber hat recht, dass Meta gewöhnlichen Menschen etwas Neues in die Hand gegeben hat, und ein Agent, der Ihre Notizen und Ihren Kalender lesen kann, ist einen Nachmittag Testen wert.

Geben Sie ihm nicht das Recht, E-Mails in Ihrem Namen zu senden, kein Zahlungsmittel und kein GitHub-Repository und keinen Box-Ordner, die Kunden- oder Unternehmensdaten enthalten. Lassen Sie es dabei, bis jemand außerhalb von Meta einen Test des Sentinel und des Audit-Protokolls veröffentlicht. Diese Kontrollen stehen zusammen mit Metas Versprechen, dass Muse vor dem Senden nachfragt, zwischen einem Fehler und einer E-Mail an einen Kunden in Ihrem Namen, und im Moment ist all das Metas eigene Darstellung.

Nutzen Sie es überhaupt nicht für die Arbeit, wenn Ihr Arbeitgeber es nicht genehmigt hat, wenn Sie vertraglich Kundendaten verwalten oder wenn Sie es auf einem Mac betreiben würden, auf dem Sie routinemäßig ungeprüfte Software installieren oder online gefundene Befehle einfügen. Genau diesen Fall beschreiben Wardles Bedingung des lokalen Angriffs und Goodins ClickFix-Argument gleichermaßen.

Schauen Sie noch einmal hin, wenn eine unabhängige Überprüfung des Sentinel erscheint oder wenn Meta sagt, was der Hotfix abdeckt. Bis dahin bekommt der Agent das, was Sie einer neuen Aushilfskraft am ersten Tag geben würden: etwas zu lesen, und nichts zu unterschreiben.