Muse de Meta veut vos comptes pro. Décidez ce qu'il peut toucher

Un assistant qui agit dans vos comptes

Muse est l'agent d'IA personnel de Meta. Un agent est un logiciel qui s'occupe de tâches à votre place (lire le courrier, réserver, acheter, remplir des formulaires) au lieu de se contenter de répondre à des questions. Depuis l'événement Connect de Meta cette semaine, il peut aussi accéder à des outils que beaucoup de gens utilisent au travail. Le billet Connect de Meta les liste :

For getting work done, there's Notion, Granola, GitHub, and Box.

Dans le même billet, Meta annonce que Muse aura sa propre adresse email. Meta a lancé Muse le 8 septembre, en déploiement aux États-Unis sur iOS, Android et muse.ai. Muse a aussi une application Mac : c'est la version que concerne la recherche en sécurité ci-dessous, et celle que John Gruber mentionne en particulier. Selon la description de Meta, le Muse de chaque personne vit sur son propre ordinateur dans le cloud de Meta, et c'est aussi là que sont stockés les identifiants de tous les services que vous connectez. Sur le prix, Meta dit seulement qu'il est "free for most of what people need, with subscription plans for people who want to do more."

La question qui se pose à vous n'est donc pas de savoir si l'assistant est habile. C'est ce que vous êtes prêt à laisser un seul programme détenir à la fois : vos notes, votre code, vos fichiers partagés, et peut-être le droit d'envoyer des emails en votre nom. Tout ce que Meta dit sur la sécurité de tout cela est la propre description de Meta, et cette semaine des tiers ont commencé à mettre certains de ces éléments à l'épreuve.

L'accès pro est arrivé la même semaine que les premiers tests extérieurs

La cause, c'est deux choses qui arrivent en même temps. Meta a élargi ce que Muse peut atteindre, et des gens extérieurs à Meta ont montré où cet accès peut mal tourner. En quelques jours :

• Vers le 20 septembre, Amazon a commencé à bloquer les achats de Muse sur son site, selon Ars Technica.
• Le chercheur en sécurité Patrick Wardle a publié une faille dans l'application Mac de Muse. C'est une attaque locale : elle ne fonctionne que si un attaquant peut déjà exécuter un programme sur votre Mac. Meta affirme avoir publié un hotfix, c'est-à-dire une mise à jour urgente, selon Ars Technica.
• Le 24 septembre, lors de Connect, Meta a ajouté les connecteurs de travail et annoncé que Muse aurait sa propre adresse email.
• The Verge a rapporté que les utilisateurs pouvaient télécharger tout ce qui est stocké sur l'ordinateur cloud de Muse. Meta dit que c'est intentionnel.

Ce que cela signifie pour qui doit trancher : les promesses de sécurité du billet de lancement n'ont pas changé, mais elles se dressent désormais entre un agent et les documents de votre entreprise plutôt que votre panier d'achats. Les outils de travail sont arrivés les mêmes jours qu'une attaque publiée par un chercheur contre l'application qui les héberge, et qu'un refus public d'un distributeur de laisser entrer l'agent.

Les promesses de Meta, et ce que des tiers ont réellement vérifié

L'argumentaire de Meta est une liste de garde-fous dans son billet de lancement, présentée en haut de cette page. Meta affirme que Muse ne peut pas voir vos mots de passe :

Muse has no visibility into people's passwords or payment methods.

Meta dit aussi qu'un second programme, distinct, qu'il appelle le Sentinel, vérifie tout ce que Muse tente d'envoyer :

Nothing Muse does reaches the internet unless the Sentinel approves it

Meta indique que Muse demande confirmation avant des actions sensibles comme l'envoi d'un email ou un achat, qu'il affiche un historique complet de ce qu'il a fait et prévoit de faire, et que pour l'email vous choisissez s'il se contente de lire ou peut aussi envoyer. Le document de sécurité de Meta ajoute que l'agent ne manipule jamais que des clés de substitution, les vraies étant insérées par le Sentinel au dernier moment, de sorte que piéger l'agent pour lui faire livrer vos secrets ne mène nulle part, selon Meta. Dans les sources que nous avons trouvées, personne en dehors de Meta n'a rapporté avoir testé le Sentinel, la substitution par des clés de remplacement, l'historique complet ou le réglage lecture seule pour l'email.

Un test extérieur est venu de Wardle, qui a publié une démonstration fonctionnelle sur GitHub. En une phrase : l'application Mac de Muse a un réglage caché qui détermine où sont envoyées vos instructions vocales, et un programme déjà en cours d'exécution sur votre Mac peut le modifier.

A local attacker or malware can modify this endpoint without special privileges.

"Without special privileges" signifie sans mot de passe administrateur. C'est là que les deux camps se parlent sans s'entendre. Les garde-fous de Meta sont conçus pour tenir vos mots de passe à l'écart de l'agent. La préoccupation de Wardle, c'est que quelqu'un pourrait prendre le contrôle de l'agent lui-même, et potentiellement avec lui tout ce que vous avez connecté. Sa propre page énonce cette limite, et elle mérite d'accompagner chaque mention de cette faille :

This is a local attack. An attacker must already be able to execute code as the local user.

Selon Ars Technica, Meta affirme avoir publié un correctif d'urgence, et sa déclaration qualifiait la faille de "not a remote exploit" : elle ne peut pas être déclenchée par internet seul. Dan Goodin, l'auteur de l'article d'Ars, soutient que c'est plus faible que ça n'en a l'air, à cause de ClickFix, une arnaque qui pousse les gens à exécuter du code sur leur propre ordinateur. Un "0-day" est une faille rendue publique avant qu'un correctif n'existe.

The Meta statement said the 0-day was "not a remote exploit" even though an increasingly effective social engineering scam has the same effect.

Wardle, interrogé par Goodin, va plus loin, et nuance lui-même son propos :

when you take a look at Muse, it's like they didn't, in my opinion, think about security, which is really worrisome

En substance : à l'entendre, tout se passe comme si personne, chez Meta, n'avait pensé à la sécurité, et cela l'inquiète vraiment.

L'objection d'Amazon est commerciale. Dans une déclaration envoyée par email à Ars Technica, Amazon a dit que les applications qui achètent auprès d'autres entreprises pour le compte d'un client devraient opérer ouvertement et respecter la décision d'un magasin de ne pas y participer, comme le font les applications de livraison et les agences de voyage. Elle a ajouté :

Agentic third-party applications such as Muse have the same obligations, and we've requested that Meta remove Amazon from the experience.

Sur le téléchargement du système de fichiers, Meta soutient que l'ouverture est précisément le principe. The Verge rapporte que David Singleton, de Meta Superintelligence Labs, a écrit sur X :

This was a very deliberate choice - your Muse Secure VM truly is your own computer in the cloud.

Une VM, ou machine virtuelle, est un ordinateur dans le centre de données de Meta réservé à votre usage. Nous n'avons trouvé aucun critique indépendant de ce choix. Le rapport de The Verge, dans la mesure où il a pu être lu sans abonnement, présentait l'explication de Singleton et aucune objection.

La voix extérieure la plus utile est partagée. John Gruber salue le travail d'ingénierie :

It's the first consumer-accessible agentic AI system, and Meta has truly done an amazing job with that.

Dans le même billet, il doute que les gens sachent ce qu'ils ont activé :

I don't think people realize how powerful — and thus dangerous — Muse is, especially if it's running on your Mac.

Ce que personne en dehors de Meta n'a rapporté avoir testé, dans les sources que nous avons trouvées : si le Sentinel bloque ce qu'il devrait, si la substitution par des clés de remplacement tient, si l'historique est complet, et si "read only" sur l'email reste vraiment lecture seule. Personne en dehors de Meta n'a non plus rapporté si le correctif de Meta a fermé toute la classe du problème ou seulement le réglage trouvé par Wardle.

Connectez au plus juste, et gardez les tâches publiques hors de sa liste

Si vous essayez Muse au travail, configurez-le pour qu'une erreur, ou un attaquant, ne puisse faire que le moins de dégâts possible.

• La lecture avant l'envoi. Meta dit que pour l'email vous choisissez si Muse se contente de lire ou peut aussi envoyer. Choisissez la lecture. Appliquez la même règle à Notion, GitHub et Box : connectez la portée la plus restreinte que proposent les réglages, et jamais un espace de travail dont vous ne pourriez pas vous permettre qu'il soit copié.
• Utilisez son adresse, pas la vôtre. Meta décrit la future adresse email de Muse comme un autre moyen de communiquer avec lui. Une fois cette adresse active, lui transférer le seul fil que vous voulez lui confier lui donne ce fil-là, pas toute votre boîte de réception.
• Gardez hors de portée : l'envoi en votre nom, les moyens de paiement enregistrés, et tout dépôt de code ou lecteur partagé appartenant à votre entreprise.
• Vérifiez d'abord : que l'application Mac est mise à jour pour inclure le correctif d'urgence que Meta affirme avoir publié pour la faille de Wardle, laquelle exige qu'un programme tourne déjà sur votre Mac ; que l'entraînement sur vos interactions est désactivé, ce que Meta dit possible ; l'historique après les premières tâches ; et la politique de votre employeur sur la connexion d'agents externes.
• Surveillez la machine. La condition posée par Wardle est qu'un programme tourne déjà sur votre Mac. Si vous installez des outils depuis des sites peu familiers ou collez des commandes trouvées sur des pages web, ce Mac est le point faible, et l'argument ClickFix de Goodin vous décrit.

Certaines tâches que les gens confieront à Muse n'ont jamais eu besoin de leurs comptes : vérifier chaque matin la page de stock d'un fournisseur, soumettre le même formulaire public chaque semaine, relever un prix sur une liste publique. Pour cela, un navigateur scripté est l'outil le plus simple. Dans Latenode, un workflow peut piloter un navigateur cloud avec Puppeteer, une bibliothèque où chaque étape (ouvrir cette page, attendre ce bouton, taper dans ce champ, copier ce nombre) est écrite avant l'exécution, de sorte que vous pouvez lire exactement ce qu'il va faire, et il ne fait que cela. La tâche n'a besoin d'aucune connexion à votre boîte de réception ou à vos fichiers, donc il n'y a rien de vous qu'il puisse détenir. Vous payez les secondes CPU consommées par une exécution, c'est-à-dire le temps de calcul utilisé, sans minimum facturé par exécution, si bien qu'une vérification courte coûte proportionnellement peu. L'offre gratuite inclut 10,000 secondes CPU par mois et cinq workflows actifs, ce qui laisse la place d'essayer une vérification quotidienne sans payer. Ce n'est pas une connexion à Muse, et cela n'a pas besoin d'en être une : cela retire de la liste de l'agent les tâches qui n'ont jamais eu besoin de vos comptes.

Oui à un essai en lecture seule. Non à votre messagerie sortante, votre portefeuille et les fichiers de votre entreprise

Essayez-le au travail si vous êtes fondateur ou si vous travaillez seul, avec un agenda et des notes que personne ne serait gêné de voir lues, et donnez-lui uniquement un accès en lecture. Gruber a raison de dire que Meta a mis quelque chose de nouveau entre les mains de gens ordinaires, et un agent capable de lire vos notes et votre agenda mérite un après-midi de test.

Ne lui donnez pas le droit d'envoyer des emails en votre nom, un moyen de paiement, ni aucun dépôt GitHub ou dossier Box contenant des données clients ou d'entreprise. Maintenez cela tant que personne en dehors de Meta n'a publié de test du Sentinel et de l'historique. Ces garde-fous, ajoutés à la promesse de Meta que Muse demande confirmation avant d'envoyer, sont ce qui se dresse entre une erreur et un email envoyé à un client en votre nom, et à l'heure actuelle, tout cela repose sur la seule description de Meta.

Ne l'utilisez pas du tout pour le travail si votre employeur ne l'a pas approuvé, si vous traitez des données clients sous contrat, ou si vous le feriez tourner sur un Mac où vous installez régulièrement des logiciels non vérifiés ou collez des commandes trouvées en ligne. C'est exactement le cas que décrivent à la fois la condition d'attaque locale de Wardle et l'argument ClickFix de Goodin.

Reconsidérez la question quand un examen indépendant du Sentinel paraîtra, ou quand Meta précisera ce que couvrait le correctif. D'ici là, l'agent obtient ce que vous confieriez à un intérimaire tout juste arrivé, le premier jour : quelque chose à lire, et rien à signer.