Meta startet mit Muse einen KI-Agenten für die breite Masse – aber nur in den USA

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

Meta hat soeben seinen bisher größten Vorstoß im Consumer-KI-Markt vorgestellt: Muse, einen persönlichen KI-Agenten, der Aufgaben nicht bloß bespricht, sondern selbst erledigt. Der Start erfolgt vorerst in den USA, verfügbar ist Muse im Web unter muse.ai, über Apps für iOS und Android sowie in Chats in WhatsApp. Die AI-Brillen des Konzerns sollen laut Meta folgen. Als Modell darunter arbeitet Muse Spark 1.3, das Meta zuletzt zurück an die Spitze der Benchmarks gebracht hat.

Was Muse können soll

Meta beschreibt Muse als Agenten für Alltagsaufgaben und längerfristige Vorhaben. Genannt werden unter anderem: E-Mails schreiben und versenden, Reisen buchen, Rechnungen und Tarife nachverhandeln, Formulare ausfüllen, Pläne erstellen, gespeicherte Rezept-Reels aus Instagram in Einkaufslisten verwandeln, Partyeinladungen verschicken und Einkäufe abschließen. Der Agent arbeitet auch weiter, wenn die App geschlossen ist, und meldet sich zurück, wenn sich etwas ändert oder eine Freigabe nötig wird.

Bezahlt wird über Link by Stripe, das laut Meta als erster Agent überhaupt von den Käuferschutz-Regeln von Link abgedeckt ist. Shop Pay und eine 1Password-Anbindung sollen folgen. Muse merkt sich außerdem, was Nutzer:innen wichtig ist, und soll von sich aus Vorschläge machen. Einzelne gespeicherte Details lassen sich per Befehl wieder löschen.

Die Nutzung ist grundsätzlich gratis (bis zu 100 Mio. Tokens/Woche), ab einem gewissen Verbrauch greifen Abos: Power um 20 Dollar pro Monat, Maximum um 100 Dollar pro Monat. Eine Zahlungskarte ist bereits für den Start nötig, ein Verbrauchsbalken in der App zeigt an, wie viel Kontingent noch offen ist.

Welche Daten in welchen Apps verarbeitet werden

Muse wird erst dann nützlich, wenn er Zugriff auf die Dienste bekommt, die Nutzer:innen ohnehin verwenden. Meta liefert dafür fertige Connectors aus, verbunden wird einzeln und aktiv:

• Kommunikation und Organisation: E-Mail und Kalender, dazu Chats über WhatsApp
• Bezahlen: Zahlungsdienste für Checkout und Abwicklung
• Alltagsdienste: Health und Fitness, Smart Home, Gastronomie, Shopping, Musik, Events
• Meta-eigene Apps: unter anderem Instagram und Facebook
• Alles andere: Dienste mit öffentlicher API kann Muse selbst anbinden, mit Zugangsdaten, die Nutzer:innen bereitstellen. Fehlt eine API, steuert der Agent den Dienst über den Browser

Bei E-Mail lässt sich abgestuft festlegen, ob Muse nur lesen oder auch im Namen der Nutzer:innen versenden darf. Zugriffe können jederzeit geändert oder ganz getrennt werden. Wer nicht will, dass die eigenen Interaktionen in das Training von Metas KI-Modellen fließen, kann laut Unternehmen widersprechen.

Wo die Daten liegen

Jede Nutzerin und jeder Nutzer bekommt eine eigene virtuelle Maschine in Metas Cloud, die Muse Secure VM. Dort läuft der Agent, dort liegen die Daten, und dort werden auch die OAuth-Tokens und sonstigen Zugangsdaten für verbundene Dienste gespeichert, ausdrücklich nicht in zentraler Meta-Infrastruktur. Meta bezeichnet diese VM als „system of record“ für alles, was in Muse hineingeht. Die VM verlässt nur, was für Inferenz und Telemetrie nötig ist.

Technisch handelt es sich um eine isolierte Linux-Box mit eigenem Chromium-Browser, genug Rechenleistung für Sub-Agenten und Cronjobs. Innerhalb dieser Box zieht Meta noch eine zweite Grenze: Der eigentliche Agent läuft in einem abgeschotteten Runtime-Container, sicherheitsrelevante Dienste laufen außerhalb davon. Dazu zählen die Credential-Verwaltung, die Ausführung der Connector-Logik mit eng begrenzten Rechten, eine Postgres-Datenbank für den dauerhaften Zustand sowie unabhängige Klassifikatoren, die Prompt-Injection-Versuche erkennen sollen. Weil diese Schutzschicht außerhalb des Agentenbereichs läuft, kann sie laut Meta von einem manipulierten Agenten nicht abgeschaltet werden.

Wer Zugriff hat

Zentral ist ein zweiter, getrennter Agent namens Sentinel. Er ist die einzige Instanz, die Aktionen über Connectors und jeden ausgehenden Netzwerkverkehr freigibt. Muse schlägt vor, Sentinel entscheidet. Bei sensiblen Schritten wie dem Versand einer E-Mail oder einem Kauf holt Sentinel eine Freigabe ein, und zwar über einen eigenen Dialog in der App, nicht über die Konversation mit dem Agenten. Nutzer:innen sehen zudem ein Protokoll aller erledigten und geplanten Aktionen.

Passwörter und Zahlungsdaten bekommt der Agent selbst nie zu sehen. Zugangsdaten landen in einem gesonderten Speicher, der Agent arbeitet nur mit Platzhaltertokens, die erst an der Netzwerkgrenze durch die echten Credentials ersetzt werden. Beim Bezahlen wird eine Einmal-Kartennummer erzeugt, gebunden an Händler, Betrag und Zeitraum. Der E-Mail-Connector filtert Einmalcodes, Passwort-Reset- und Magic-Links heraus, damit ein kompromittierter Agent nicht über das Postfach andere Konten übernehmen kann. Der Browser-Sub-Agent sieht nur einen Accessibility-Baum der Seite statt des rohen DOM und kann kein JavaScript ausführen.

Gegenüber der Werbeseite des Konzerns zieht Meta ebenfalls eine Linie: Weder Konversationen noch die Daten in der VM sollen in Metas Anzeigensysteme fließen. Parallel zum Start öffnet Meta ein Bug-Bounty-Programm für alle, mit Prämien von bis zu 300.000 Dollar, davon bis zu 130.000 Dollar für erfolgreiche Prompt-Injection-Angriffe auf eine einzelne Nutzerin oder einen einzelnen Nutzer.

Die Confidential VM, und was sie über den Ist-Zustand sagt

Eine Einschränkung formuliert Meta selbst sehr deutlich. Die heutige Architektur isoliert die Daten der Nutzer:innen voneinander und beschränkt den Zugriff durch Meta-Mitarbeiter:innen über betriebliche Richtlinien. Sie verhindert aber nicht, dass Meta auf Daten zugreift, wenn das zum Betrieb, zur Absicherung oder zum Support des Dienstes nötig ist. Der Schutz vor dem Betreiber selbst beruht damit vorerst auf Policies, nicht auf Kryptografie.

Genau hier soll die Muse Confidential VM ansetzen, die laut Meta noch heuer kommen soll. Bei ihr wird die gesamte VM samt Daten und Konversationen mit einem Schlüssel verschlüsselt, den ausschließlich die Nutzer:innen halten. Ziel ist, den Zugriff durch Meta kryptografisch und überprüfbar auszuschließen. Ein kleiner Kreis an Tester:innen arbeitet bereits damit, Design und Quellcode liegen externen Auditor:innen vor, nach dem Launch soll ein fortlaufendes, öffentlich einsehbares Audit folgen.

Praktisch heißt das: Wer Muse zum Start nutzt, vertraut seine E-Mails, Kalender und Zahlungsvorgänge einem System an, dessen Betreiber im Bedarfsfall hineinsehen kann. Die technisch erzwungene Vertraulichkeit kommt später.

Der Vertrauensfaktor

Ob das reicht, ist die offene Frage. Meta hat eine lange Vorgeschichte bei Datenschutzverfahren, von der FTC-Einigung 2011 über die damals rekordhohe 5-Milliarden-Dollar-Strafe 2019 bis zu neuerlichen Vorwürfen 2023. Erst kürzlich hat der Konzern einen Vergleich über 18 Milliarden Dollar mit 29 US-Bundesstaaten geschlossen, in dem es um Schäden von Social Media bei Kindern und Jugendlichen ging. Wie TechCrunch anmerkt, verlangt Muse deutlich mehr Vertrauen als Social Media je gebraucht hat, weil der Agent nicht nur Daten sammelt, sondern im Namen der Nutzer:innen handelt.