Meta detalha arquitetura de segurança da Muse com VM isolada e Sentinel

Agente pessoal com arquitetura de segurança dedicada

A Meta lançou o Muse, seu agente pessoal, com um detalhamento técnico da arquitetura de segurança por trás do produto. Segundo a empresa, o time usa o agente internamente desde o início de 2026, e grande parte do esforço do projeto foi dedicado à engenharia de segurança - uma vez que o Muse tem acesso a e-mails, calendários e a um shell e roda sem supervisão contínua.

Muse Secure VM: dois domínios isolados

Cada usuário recebe uma máquina virtual dedicada na nuvem, baseada em Linux, com navegador e recursos para tarefas reais, como compilar código e executar subagentes. A VM é dividida em dois domínios de segurança usando primitivas de isolamento do Linux. O núcleo do agente (chamado internamente de Hatch) roda em um contêiner runtime via systemd-nspawn, com root mapeado para um usuário sem privilégios no host, sistema de arquivos próprio, chamadas de sistema filtradas (como a proibição de io_uring) e capacidades de kernel limitadas.

Fora dessa célula rodam os serviços sensíveis: o hatch-safety opera modelos e classificadores independentes que inspecionam as requisições de inferência; workers em privsep executam conectores com credenciais de escopo restrito; e o authd guarda credenciais e tokens OAuth na própria VM do usuário, não em infraestrutura centralizada da Meta, além de fornecer "tokens substitutos" - o agente nunca vê as credenciais reais, o que torna inútil tentar extorvi-las via injeção de prompt.

Sentinel: autoridade única de permissões

O Sentinel é um agente separado, no host, e única autoridade de permissão para ações de conectores e todo o tráfego de rede de saída. O Muse propõe ações; só o Sentinel autoriza. Ele avalia cada requisição de rede em camada 4 e 7 (hostname, IP final, porta, método HTTP, caminho e conteúdo decodificado), com restrições contra SSRF, e insere credenciais reais apenas na fronteira da rede, no momento da execução.

Para equilibrar o volume de aprovações, o sistema usa rastreamento de fluxo de dados no nível do kernel, chamado "tainted egress": processos que leram dados do usuário perdem a permissão automática e passam pelo fluxo normal de aprovação. A implementação usa programas eBPF para interceptação de rede e propagação de contaminação. Ações classificadas como "perguntar" geram uma aprovação humana direto na interface do cliente - não na conversa com o agente - e as permissões são capacidades estritas, com escopos de uso único, por sessão, por tarefa, temporais ou permanentes. Ações de leitura ou de baixo risco seguem sem interrupção.

Defesa em profundidade contra injeção de prompt

A Meta cita a "trífeta letal", termo cunhado por Simon Willison em junho de 2025 (acesso a dados privados, exposição a conteúdo não confiável e capacidade de comunicação externa) como a condição para injeções de prompt bem-sucedidas, e descreve camadas de defesa: o modelo é treinado para reconhecer e resistir a injeções - o Muse Spark 1.3 estaria próximo do estado da arte nessa métrica; dados externos entram no contexto rotulados como não confiáveis; um conjunto de classificadores treinados independentemente do modelo roda em paralelo sobre todas as entradas externas; e há aprovações humanas para ações que movem dados para fora da VM. Abaixo do agente, limites determinísticos persistem mesmo que o agente seja persuadido a agir mal.

Navegador e compras

O navegador é baseado em Chromium, atrás de uma camada de virtualização. O subagente de navegação vê apenas uma árvore de acessibilidade da página, não o DOM bruto, não pode executar JavaScript, e é pausado quando o usuário assume o controle ou quando credenciais são preenchidas. Classificadores adicionais detectam vazamento de dados pessoais, injeções via DOM, imagens ou arquivos baixados, e submissões de formulários de risco. O conector de e-mail filtra tokens de uso único e links de redefinição de senha, para impedir que o agente seja usado para se passar pelo usuário em outros sites.

Para compras, toda finalização de checkout exige aprovação humana com os detalhes exatos. Em sites novos, um número de cartão de uso único é emitido (parceria com Stripe Link no lançamento; Shop Pay previsto), vinculado ao comerciante, ao valor e a um prazo curto.

Bug bounty e próximos passos

O programa de recompensas por falhas, antes privado, agora está aberto a qualquer pessoa, com prêmios de até 300 mil dólares, incluindo até 130 mil dólares para injeções de prompt bem-sucedidas contra um usuário. A Meta também anunciou o Muse Confidential VM, previsto para mais tarde no ano, que pretende impedir criptograficamente e de forma verificável o acesso da Meta aos dados da VM, com auditoria contínua e código-fonte aberto a auditores externos.

Sobre dados: tudo fica na VM do usuário, com backup contínuo; conversas e trajetórias são sanitizadas antes de treinar novos checkpoints, com opção de desativação. O agente não compartilha dados com os sistemas de anúncios da Meta, embora a navegação apareça como atividade do usuário e possa influenciar anúncios indiretamente. A empresa conclui reconhecendo que o Muse não é imune a ataques e que injeção de prompt segue um problema aberto na indústria; o objetivo é limitar o dano quando algo der errado e manter o usuário no controle.