Metaが公開したMuseの技術文書は、20分の読了時間が示されたうち、大半が権限設計の説明に充てられています。モデルの賢さではなく、エージェントに何を許すかをOSのレベルで決めた設計です。そして脚注に、8月に報じられたコードネームの正体が書かれていました。
Metaは2026年9月8日、パーソナルAIエージェント「Muse」の提供を米国で開始した。専用アプリのほかWhatsAppからも操作でき、AIグラスへの対応も予定する。メール送信、旅行の予約、フォーム入力、ブラウザ経由の購入などを利用者に代わって実行し、基盤モデルには9月2日公開のMuse Spark 1.3を用いる。Museは利用者ごとの専用仮想マシン「Muse Secure VM」上で動作する。
同じVM上にはシステムレベルで分離された別エージェント「Sentinel」が常駐し、外部サービスの操作とネットワークへの送信はすべてSentinelの許可を経る。Museは認証情報や決済情報そのものを見ない。Metaは同日、最大30万ドルのバグバウンティを一般開放した。基本利用は無料である。
From: 
Introducing Muse: The World’s First Personal AI Agent Built for Everyone
【編集部解説】
2026年8月25日、当媒体は「Hatch」というコードネームで報じられていたMetaの消費者向けAIエージェントを扱いました。あのときは内部文書に基づく報道であり、Meta自身はコメントを拒んでいます。
今回、答えが出ました。Metaが公開した技術文書の脚注には、こう書かれています。「Hatchは、コードベース上でのMuseの社内名称である」。8月にHatchとして報じられていた計画は、Museという名前で製品になりました。技術文書に添えられた画像のファイルパスには、いまも hatch の綴りが残っています。
ただ、答え合わせとして興味深いのはここからです。8月の報道が「どのWebサービスまで操作できるようになるのか」に注目していたのに対し、Metaが自ら前面に置いたのは、まったく別の問いでした。
ベンチマークより先に、安全設計を出してきた
今回Metaが製品発表に合わせて案内した文書は3本あります。ニュースルームの製品発表、プロダクトデザインの解説、そして20分の読了時間が示されたセキュリティ技術文書です。
このうち最も分量が割かれているのは3本目です。OSレベルの権限分離を土台に、モデルの訓練、プロンプトインジェクション検出の分類器群、ブラウザの制御、人による承認までを積み重ねた多層防御が説明されています。基盤モデルであるMuse Spark 1.3は9月2日に公開されたばかりですが、前面に出ているのはベンチマークではなく、この設計のほうです。
Meta自身、文書の冒頭でこう書いています。安全に動かすための設計とエンジニアリングに、このプロジェクトの労力の大半が費やされた、と。
つまりMetaが今回売り出しているのは、賢いエージェントであると同時に、エージェントを安全に走らせるための専用コンピューターです。製品発表でも技術文書でも「Muse Secure VM」が繰り返し前に出てくるのは、そのためだと読めます。
Museは許可を出せない
設計の中心にあるのがSentinelです。
Museと同じ仮想マシンの上に、システムレベルで分離された別のエージェントが常駐します。外部サービスの操作とネットワークへの送信について、Museは提案することしかできません。許可を出せるのはSentinelだけです。Museの側からこの仕組みを止める経路はありません。
認証情報の扱いも徹底しています。Museが受け取るのは「代理トークン」であり、本物の認証情報はネットワークの出口でSentinelが差し替えます。Museは最後まで本物を見ません。プロンプトインジェクションでエージェントを言いくるめて本物の秘密を引き出そうとしても無駄だ、とMetaは書いています。
メールコネクタの作りにも同じ思想が表れています。ワンタイムパスコード、パスワードリセットのリンク、ログイン用のマジックリンクは、Museに渡る前に取り除かれます。決定論的なフィルタと分類モデルを組み合わせた仕組みで、取りこぼしをゼロにするというより、メールを一つ預けたことが、ほかのアカウントへ被害が広がる入り口にならないよう、経路を狭める設計です。
さらにeBPFを使った「tainted egress」では、利用者のデータを読んだプロセスに汚染の印が付き、自動許可の対象から外れます。すべての操作で人に聞けば、承認画面は形骸化します。どこで人に聞くかを、勘ではなくカーネルレベルの追跡で決めようとしている点が、この設計の特徴です。
未解決だと自分から書いた
注目したいのは、Metaがこの文書のなかで、サイモン・ウィリソン氏が2025年6月に命名した「lethal trifecta」をそのまま引用していることです。私的データへのアクセス、信頼できないコンテンツへの露出、外部への通信。この3つがそろうと情報は盗まれうる、という警告です。
そしてMetaは、プロンプトインジェクションが業界の未解決問題であり、Museも間違いを犯すと明記しました。同社が挙げているのは解決宣言ではなく、被害の範囲をどこまで小さく囲えるかという設計目標です。
同日、バグバウンティが一般開放されました。有効な報告に最大30万ドル、うち単一の利用者に影響するプロンプトインジェクションの成功に最大13万ドルという水準です。攻撃が成立しうると考えているからこそ、この金額が置かれています。
設計と、実際に動かしたときの挙動は別ものです。ロイターは9月8日、社内テストでの投稿を確認したとして、いくつかの報告を伝えています。子どもの誕生日会の写真に写ったおもちゃを識別するよう頼んだところ、エージェントがガードレールを回り込んで利用者のiCloudの写真を露出させた事例。タスクの途中で止まり、失敗を知らせないまま監視をやめてしまった事例。Metaは個別の事案についてコメントしていませんが、AI製品担当バイスプレジデントのビシャル・シャー氏はロイターに対し、4月に予定していた公開を安全性の作業のために延期したと述べ、間違いが絶対に起きないとは言えないと語っています。この認識は、技術文書の結論部とも重なります。
自社の未解決課題を、業界の識者の言葉を借りて名指しし、賞金付きで外部に開く。エージェント製品の発表としては、かなり率直な部類に入ります。
199.99ドル案は、どこへ行ったのか
8月に報じられていた上位プランの月額最大199.99ドルという数字は、結果として姿を消しました。報道によれば、提供開始時点の有料プランはPowerが月額20ドル、Maximumが月額100ドルの2本です。この価格帯は公式発表の本文には書かれておらず、報道ベースの数字として扱う必要があります。
そして中心はあくまで無料枠です。ザッカーバーグ氏が8月に公開した長文の論考は、超知能を一部の企業や政府に集中させず個人に広く行き渡らせることが安全性の基盤になる、という主張でした。無料で配ることが戦略の一部である以上、価格の着地点が下がったのは方針の後退ではなく、想定どおりの実装と見るのが自然です。
Museの中に広告は入らない。Axiosの取材に、アレクサンドル・ワン氏はそう答えています。一方でMetaの技術文書が明記しているのは、会話とVM内のデータを広告システムに渡さないという線であり、この2つは別のことを言っています。そして文書はこうも説明しています。Museがあなたの代わりにブラウザで店を訪れれば、その訪問はあなた自身の行動として現れ、Instagramに出る広告に影響しうる、と。
日本ではまだ使えない。それでも読む価値がある
日本向けの提供時期は、Metaから公表されていません。米国のみ、18歳以上という条件も報じられています。触れないものについて、なぜ書くのか。
理由は、これが評価軸になるからです。
これから各社のパーソナルエージェントが日本にも届きます。そのとき問うべきは、モデルが賢いかどうかだけではありません。エージェントは自分に許可を出せてしまうのか。認証情報は本当に見えていないのか。承認を求める場面は、誰がどう決めているのか。Museが公開した設計は、その問いを具体的な言葉で立てられるようにしました。
現行のMuse Secure VMも、Metaの社員によるアクセスを運用ポリシーで制限しているだけで、サービスの保守や運用に必要な場合のアクセスまでは遮断していない、とMeta自身が書いています。ここを技術で塞ぐのが年内予定のMuse Confidential VMで、利用者だけが鍵を持ち、設計とソースコードは外部監査人に開示され、公開後は誰でも検証できる継続監査を置くとされています。
エージェントに生活を預けられるかどうかは、これまで各社の約束を信じるかどうかの問題でした。それを、検証できる性質に変えられるか。Museが本当に問いを進めた製品になるかは、そこで決まっていくはずです。
【関連記事】
Meta「Hatch」は何を変える？｜チャットからWebを操作する消費者向けAIエージェントへ
今回Museとして製品化された計画を、コードネーム「Hatch」の段階で扱った記事。報道と実装との差分をここで確認できる。
Meta「Muse Code」公開｜macOS・Linux対応、長時間の開発作業を継続するAIエージェント
Muse Spark 1.2を搭載した開発者向けのエージェント。長時間の自律作業という設計思想の前段にあたる製品である。
Muse Spark発表｜MetaのAI再起をかけた新モデルが目指す「個人向けスーパーインテリジェンス」とは
Muse系列の起点となったモデルを扱った記事。Metaが掲げるパーソナル超知能という構想を、ここで確認することができる。
Meta Muse Image始動─公開Instagram写真がAI素材に、内製化と広告戦略の全貌
開発時のコードネームが「Mango」だったことに触れている記事。Hatchという呼び名の背景を読むうえで参考になる記事だ。
【編集部後記】
技術文書に、こんな一節があります。自分たちの受信箱とカレンダーとシェルをソフトウェアに預けて放置してみたのは、これが初めてだった。うまくいかないこともあった、と。
製品発表の文章としては、ずいぶん素直です。ロイターが伝えた社内テストの報告も、おそらく同じ場所から出てきています。エージェントを最初に信用してみせるのは、いつも作った本人たちです。日本で使えるようになったとき、あなたは最初に何を預けますか。
【用語解説】
パーソナルAIエージェント
質問に答えるだけでなく、利用者に代わって実際に作業を完了させるAI。予約、購入、メール送信など、外部サービスへの操作をともなう点でチャットボットと区別される。
Muse Secure VM
Museの利用者ごとに1台ずつ割り当てられる、クラウド上の隔離されたLinux環境。ブラウザとストレージを備え、接続したサービスの認証情報もここに保管される。
Sentinel
Muse Secure VM上に、Museとはシステムレベルで分離して常駐する別のエージェント。外部サービスの操作とネットワークへの送信について、唯一の許可権限者となる。
代理トークン（surrogate token）
本物の認証情報の代わりにエージェントへ渡される、値を持たない引換券のようなもの。実際の認証情報への差し替えは、ネットワークの出口でSentinelが行う。
tainted egress
利用者のデータを読んだプロセスに「汚染」の印を付け、自動許可の対象から外す仕組み。Metaによる呼称で、Linuxカーネルの機能を使ってデータの流れを追跡する。
プロンプトインジェクション
AIが読み込む文章や画像に指示を紛れ込ませ、本来の目的とは違う行動を取らせる攻撃。エージェントが外部データを扱う以上、避けて通れない問題とされる。
lethal trifecta
私的データへのアクセス、信頼できないコンテンツへの露出、外部への通信。この3つがそろうとAIから情報が盗まれうるという警告。定訳はまだ定まっていない。
eBPF
Linuxカーネルの中で、安全に検証された小さなプログラムを動かす仕組み。通信の遮断や、どのプロセスが何を読んだかの追跡に使われる。
多層防御（defense in depth）
単一の対策に頼らず、防御の層を重ねて、どこか一つが破られても被害が広がらないようにする設計思想。もともとは情報セキュリティの一般的な考え方。
バグバウンティ
製品の脆弱性を見つけて適切に報告した外部の研究者へ、企業が報奨金を支払う制度。攻撃者より先に問題を見つけることを目的とする。
Muse Spark 1.3
Meta Superintelligence Labsが2026年9月2日に公開した、Museの基盤となるモデル。長時間にわたるエージェント作業とコーディングに向けて訓練されている。
Muse Confidential VM
Metaが2026年内の投入を予定する、暗号化されたVM。鍵を持つのは利用者だけで、Metaを含む提供者側からも中身を見られないことを目指す。
【参考リンク】
Muse（外部）
Museの公式サイト。アプリの入手方法と主な機能の概要を掲載している。提供地域は現時点で米国のみに限られており、日本からは利用できない。
Muse（Meta AI）（外部）
Meta AIサイト内のMuse製品ページ。日常のどんな作業を任せられるのかを、機能ごとに整理して具体的に紹介している。
Meta AI Research（外部）
Meta Superintelligence Labsの研究発表ポータル。Museのセキュリティ技術文書とMuse Sparkの記事を掲載。
Meta Bug Bounty（外部）
Metaの脆弱性報奨金プログラム。2026年9月8日からMuseが対象に加わり、誰でも責任ある開示ができるようになった。
The lethal trifecta for AI agents（外部）
サイモン・ウィリソン氏が2025年6月16日にこの語を命名した記事。Metaの技術文書が直接引用している一次情報にあたる。
【参考記事】
How We Built Safety Into Muse（外部）
Muse Secure VM、Sentinel、代理トークン、tainted egressの設計を詳述したMetaの技術文書。
How We Designed Muse（外部）
Museのプロダクトデザインの解説記事。会話を中心に据えた設計思想と、目標や成果物の扱い方について詳しく説明している記事である。
Meta debuts its Muse AI agent. Will consumers trust it?（外部）
有料プランがPower月額20ドル、Maximum月額100ドルであることと、利用開始に決済カードが必要な点を報じている。
Meta debuts Muse, its long-planned personal AI agent（外部）
アレクサンドル・ワン氏への取材を含む記事。大多数の利用者は無料枠で足りるという発言と、Muse内に広告がない点を伝えている。
Meta Launches Muse Personal AI Agent As Staff Flag Security Flaws（外部）
ロイターが確認した社内投稿を整理した記事。iCloud写真が露出した事例と、シャー氏の発言の内容を具体的に伝えている記事だ。
Introducing Muse Spark 1.3（外部）
2026年9月2日に公開されたMuseの基盤モデル。長時間のエージェント作業と、利用者へ確認を挟む挙動の改善を説明する。
Meta、細かなところまで記憶し自律的行動するパーソナルAIエージェント「Muse」（外部）
日本語による発表内容の整理記事。主な機能と提供形態に加えて、日本での提供については現時点で未定であることを記している記事だ。
