O Muse da Meta quer suas contas de trabalho. Decida o que ele toca

Um assistente que age dentro das suas contas

O Muse é o agente pessoal de IA da Meta. Um agente é um software que faz tarefas por você (ler e-mails, fazer reservas, comprar, preencher formulários) em vez de só responder perguntas. Desde o evento Connect da Meta nesta semana, ele também consegue acessar ferramentas que muita gente usa no trabalho. O post da Meta sobre o Connect lista essas ferramentas:

For getting work done, there's Notion, Granola, GitHub, and Box.

No mesmo post, a Meta diz que o Muse vai ganhar um endereço de e-mail próprio. A Meta lançou o Muse em 8 de setembro, disponibilizando-o nos Estados Unidos em iOS, Android e muse.ai. O Muse também tem um aplicativo para Mac: é essa a versão à qual a pesquisa de segurança abaixo se refere, e a que John Gruber destaca especificamente. Pela descrição da própria Meta, o Muse de cada pessoa roda no seu próprio computador na nuvem da Meta, e é lá também que ficam armazenados os logins de cada serviço que você conecta. Sobre o preço, a Meta diz apenas que é "free for most of what people need, with subscription plans for people who want to do more."

Então a decisão diante de você não é se o assistente é inteligente. É o quanto você está disposto a deixar um único programa segurar ao mesmo tempo: suas anotações, seu código, seus arquivos compartilhados e, possivelmente, o direito de enviar e-mails em seu nome. Tudo o que a Meta diz sobre manter isso seguro é a descrição da própria Meta, e nesta semana pessoas de fora começaram a colocar parte disso à prova.

O acesso a ferramentas de trabalho chegou na mesma semana em que os testes externos começaram

A causa é a soma de duas coisas acontecendo ao mesmo tempo. A Meta ampliou o alcance do Muse, e pessoas de fora da Meta mostraram onde esse alcance pode dar errado. Em poucos dias:

• Por volta de 20 de setembro, a Amazon começou a bloquear o Muse de fazer compras no seu site, segundo a Ars Technica.
• O pesquisador de segurança Patrick Wardle publicou uma falha no aplicativo do Muse para Mac. É um ataque local: só funciona se um atacante já conseguir rodar um programa no seu Mac. A Meta disse que lançou um hotfix, uma atualização urgente, segundo a Ars Technica.
• Em 24 de setembro, no Connect, a Meta adicionou os conectores de trabalho e anunciou que o Muse vai ganhar seu próprio endereço de e-mail.
• The Verge informou que os usuários conseguiam baixar tudo o que estava armazenado no computador na nuvem do Muse. A Meta diz que isso é intencional.

O que isso significa para quem está decidindo: as promessas de segurança do post de lançamento não mudaram, mas agora elas ficam entre um agente e os documentos da sua empresa, em vez do seu carrinho de compras. As ferramentas de trabalho chegaram nos mesmos dias em que um pesquisador publicou um ataque contra o aplicativo que as hospeda, e em que um varejista recusou publicamente deixar o agente entrar.

As promessas da Meta, e o que gente de fora realmente checou

O argumento da Meta é uma lista de controles no seu post de lançamento, mostrada no topo desta página. A Meta diz que o Muse não consegue ver suas senhas:

Muse has no visibility into people's passwords or payment methods.

A Meta também diz que um segundo programa, separado, chamado de Sentinel, verifica tudo que o Muse tenta enviar para fora:

Nothing Muse does reaches the internet unless the Sentinel approves it

A Meta diz que o Muse pergunta antes de ações sensíveis, como enviar um e-mail ou fazer uma compra, que ele mostra um registro de auditoria completo do que já fez e planeja fazer, e que, para e-mail, você escolhe se ele só lê ou também pode enviar. O texto de segurança da Meta acrescenta que o agente só lida com chaves substitutas, e que as chaves reais são trocadas pelo Sentinel no último instante, de modo que enganar o agente para que entregue seus segredos não leva a nada, segundo a própria Meta. Nas fontes que encontramos, ninguém fora da Meta relatou ter testado o Sentinel, a troca por chaves substitutas, o registro de auditoria ou a configuração de somente leitura para e-mail.

Um teste externo veio de Wardle, que publicou uma demonstração funcional no GitHub. Em uma frase: o aplicativo do Muse para Mac tem uma configuração oculta que decide para onde vão suas instruções faladas, e um programa já rodando no seu Mac pode alterá-la.

A local attacker or malware can modify this endpoint without special privileges.

"Without special privileges" significa sem senha de administrador. É aqui que os dois lados falam sem se entender. Os controles da Meta são construídos para manter suas senhas longe do agente. A preocupação de Wardle é que alguém possa assumir o controle do próprio agente, e com ele, potencialmente, tudo o que você conectou. A própria página dele estabelece o limite, e ele merece estar ao lado de toda menção a essa falha:

This is a local attack. An attacker must already be able to execute code as the local user.

Segundo a Ars Technica, a Meta disse que lançou um hotfix, e seu comunicado chamou a falha de "not a remote exploit": ela não pode ser acionada só pela internet. Dan Goodin, que escreveu a matéria da Ars, argumenta que isso é mais frágil do que parece, por causa do ClickFix, um golpe que engana as pessoas para que rodem código no próprio computador. Um "0-day" é uma falha tornada pública antes de existir uma correção.

The Meta statement said the 0-day was "not a remote exploit" even though an increasingly effective social engineering scam has the same effect.

Wardle, entrevistado por Goodin, vai além, e ele mesmo faz a ressalva:

when you take a look at Muse, it's like they didn't, in my opinion, think about security, which is really worrisome

A objeção da Amazon é comercial. Em um comunicado enviado por e-mail à Ars Technica, a Amazon disse que aplicativos que compram de outras empresas em nome de um cliente devem operar de forma transparente e respeitar a decisão de uma loja de não participar, como fazem aplicativos de entrega e agências de viagem. E continuou:

Agentic third-party applications such as Muse have the same obligations, and we've requested that Meta remove Amazon from the experience.

Sobre o download do sistema de arquivos, a Meta argumenta que a transparência é o ponto central. The Verge informa que David Singleton, do Meta Superintelligence Labs, escreveu no X:

This was a very deliberate choice - your Muse Secure VM truly is your own computer in the cloud.

Uma VM, ou máquina virtual, é um computador no data center da Meta reservado só para você. Não encontramos nenhum crítico independente dessa escolha. A matéria do The Verge, no que pôde ser lido sem assinatura, trazia a explicação de Singleton e nenhuma objeção.

A voz externa mais útil está dividida. John Gruber elogia a engenharia:

It's the first consumer-accessible agentic AI system, and Meta has truly done an amazing job with that.

No mesmo post, ele duvida que as pessoas saibam o que ligaram:

I don't think people realize how powerful — and thus dangerous — Muse is, especially if it's running on your Mac.

O que ninguém fora da Meta relatou ter testado, nas fontes que encontramos: se o Sentinel barra o que deveria, se a troca por chaves substitutas se sustenta, se o registro de auditoria é completo, e se o "read only" do e-mail permanece somente leitura. Também ninguém fora da Meta relatou se o hotfix da Meta fechou toda a classe do problema ou só a configuração específica que Wardle encontrou.

Conecte pouco, e mantenha tarefas públicas fora da lista dele

Se você experimentar o Muse no trabalho, configure-o para que um erro, ou um atacante, consiga fazer o mínimo possível.

• Leitura antes de envio. A Meta diz que, para e-mail, você escolhe se o Muse só lê ou também pode enviar. Escolha leitura. Aplique a mesma regra ao Notion, GitHub e Box: conecte o menor escopo que as configurações oferecerem, e nunca um espaço de trabalho que você não pudesse correr o risco de ver copiado.
• Use o endereço dele, não o seu. A Meta descreve o futuro endereço de e-mail do Muse como mais uma forma de se comunicar com ele. Assim que esse endereço estiver ativo, encaminhar a ele apenas a conversa que você quer que ele trate dá a ele aquela conversa, não a sua caixa de entrada inteira.
• Mantenha fora de alcance: o envio em seu nome, métodos de pagamento salvos, e qualquer repositório de código ou drive compartilhado que pertença à sua empresa.
• Verifique antes: se o aplicativo para Mac está atualizado com o hotfix que a Meta diz ter lançado para a falha de Wardle, que exige um programa já rodando no seu Mac; se o treinamento com base nas suas interações está desativado, algo que a Meta diz que você pode fazer; o registro de auditoria depois das primeiras tarefas; e a política do seu empregador sobre conectar agentes externos.
• Cuide da máquina. A condição de Wardle é um programa já rodando no seu Mac. Se você instala ferramentas de sites desconhecidos ou cola comandos vindos de páginas da web, esse Mac é o ponto fraco, e o argumento do ClickFix de Goodin descreve você.

Algumas tarefas que as pessoas vão dar ao Muse nunca precisaram das contas delas: checar a página de estoque de um fornecedor toda manhã, enviar o mesmo formulário público toda semana, puxar um preço de uma listagem pública. Para essas, um navegador roteirizado é a ferramenta mais direta. No Latenode, um workflow pode controlar um navegador na nuvem com Puppeteer, uma biblioteca na qual cada passo (abrir esta página, esperar por aquele botão, digitar neste campo, copiar aquele número) é escrito antes da execução, então você consegue ler exatamente o que ele vai fazer, e ele faz só isso. A tarefa não precisa de login na sua caixa de entrada nem nos seus arquivos, então não há nada seu para ele segurar. Você paga pelos segundos de CPU que uma execução consome, ou seja, o tempo de computação gasto, sem cobrança mínima por execução, então uma checagem curta custa proporcionalmente pouco. O plano gratuito inclui 10,000 segundos de CPU por mês e cinco workflows ativos, o que deixa espaço para testar uma checagem diária sem pagar. Isso não é uma conexão com o Muse, e não precisa ser: isso tira da lista do agente as tarefas que nunca precisaram das suas contas.

Sim a um teste somente leitura. Não à sua caixa de saída, à sua carteira e aos arquivos da sua empresa

Experimente no trabalho se você for fundador ou operador solo, cuja agenda e anotações não constrangeriam ninguém se fossem lidas, e dê a ele apenas acesso de leitura. Gruber tem razão ao dizer que a Meta colocou algo novo nas mãos de pessoas comuns, e um agente que consegue ler suas anotações e sua agenda vale uma tarde de teste.

Não dê a ele o direito de enviar e-mails em seu nome, um método de pagamento, ou qualquer repositório do GitHub ou pasta do Box que guarde dados de clientes ou da empresa. Mantenha assim até que alguém fora da Meta publique um teste do Sentinel e do registro de auditoria. Esses controles, junto com a promessa da Meta de que o Muse pergunta antes de enviar, são o que fica entre um erro e um e-mail enviado a um cliente em seu nome, e no momento tudo isso é descrição da própria Meta.

Não use para trabalho de jeito nenhum se o seu empregador não aprovou, se você lida com dados de clientes por contrato, ou se você o rodaria num Mac onde costuma instalar software não verificado ou colar comandos encontrados online. Esse é exatamente o caso que a condição de ataque local de Wardle e o argumento do ClickFix de Goodin descrevem.

Reavalie quando surgir uma análise independente do Sentinel, ou quando a Meta disser o que o hotfix cobriu. Até lá, o agente recebe o que você daria a um temporário novo no primeiro dia: algo para ler, e nada para assinar.