Meta Muse: como funciona o agente da Meta que navega por você e onde fica a linha do que eu conectaria
O Dani Geek — arte original
A Meta lançou um agente que abre um navegador, preenche, envia e compra em seu nome. Ele ainda não chega ao Brasil, então este texto é sobre a arquitetura publicada e sobre o cerco que eu montaria antes de plugar qualquer conta.
Primeiro, o aviso honesto
O Muse saiu em 8 de setembro, só nos Estados Unidos, e a Meta não publicou data para nenhum outro país. Eu não tenho acesso. Tudo que vem abaixo sai da documentação da própria Meta, do post técnico do time de pesquisa e da cobertura de imprensa dos primeiros dias. Nenhuma dessas fontes tem teste hands-on: o TechCrunch diz explicitamente que não observou uso real. Quando eu conseguir rodar, volto com o teste. Até lá, o que dá pra fazer é ler a arquitetura com calma e decidir a linha de confiança antes que o produto chegue.
O que foi lançado
Segundo o anúncio oficial, o Muse é um agente pessoal que “não só responde, faz o trabalho”. Ele roda na web (muse.ai), em apps iOS e Android e dentro de chats no WhatsApp; os óculos de IA da Meta vêm “em breve”. Os exemplos que a Meta e a Axios citam são os de sempre nesse tipo de produto: reservar, comprar, mandar e-mail, organizar uma viagem. São exemplos do fornecedor. Ninguém de fora demonstrou nenhum deles ainda.
Preços: uma camada grátis com medidor de uso, Power a US$ 20 por mês e Maximum a US$ 100. A Meta diz que a maioria vai ficar no grátis, e o TechCrunch registra um detalhe que importa: o cartão é exigido pra começar, mesmo na camada gratuita. Nenhuma fonte diz o que separa Power de Maximum além de “mais uso”. Não há limite numérico publicado.
O modelo por trás se chama Muse Spark, da equipe de Alexandr Wang, e as referências apontam a versão 1.3. Dá pra dar nome, avatar e estilo de comunicação ao agente, mas isso é cosmética.
A arquitetura: uma VM, dois agentes
A peça central se chama Muse Secure VM. É uma máquina virtual dedicada, na nuvem da Meta, que guarda o agente e os dados da pessoa. O navegador que o agente usa fica dentro dessa VM e é visível pra você: dá pra assistir o que ele está fazendo enquanto faz.
Na mesma máquina roda um segundo agente, o Sentinel, que a Meta descreve como “separado do Muse no nível do sistema”. Segundo a documentação, nada que o Muse faz chega à internet sem o Sentinel aprovar. O Muse propõe uma ação, o Sentinel decide se permite, nega ou pergunta pra você. Os pedidos de aprovação aparecem na interface do app, fora do chat. Essa é uma decisão de desenho boa: uma aprovação dentro da conversa seria fácil de confundir com texto gerado pelo próprio agente.
Para ações que a Meta chama de sensíveis, como mandar e-mail ou fazer uma compra, a aprovação do usuário é obrigatória. Existe uma trilha de auditoria do que o agente fez e do que planeja fazer.
A documentação não diz quem define a lista de “sensível”. Se é fixa, se você consegue ampliar, se dá pra marcar um site inteiro como “sempre pergunta”. Essa ausência é a primeira coisa que eu vou testar quando o acesso chegar, porque é ela que define se o Sentinel aplica uma política sua ou uma política da Meta.
Conectores e o que a Meta promete sobre credenciais
Os conectores anunciados: e-mail, com escolha entre somente-leitura e permissão de envio; pagamento via Link, da Stripe, com Shop Pay “em breve”; integração com 1Password planejada; e Instagram, transformando posts salvos em lista de compras.
A Meta afirma que o agente “não terá visibilidade das senhas nem dos meios de pagamento”. A leitura correta disso é que o segredo fica no conector (Link, 1Password) e o agente pede a ação sem enxergar a credencial. É o padrão certo. Ainda assim, é uma alegação de fornecedor sobre um sistema fechado.
Sobre privacidade: conversas e dados da VM não vão pro sistema de anúncios, dá pra optar por não treinar os modelos da Meta, e a memória tem um “esquecer” item a item. A VM cifrada com chave só do usuário, chamada Muse Confidential VM, está prometida pra “ainda este ano”. Ou seja, hoje a chave da máquina onde seus dados moram ainda não é só sua.
Prompt injection: a Meta admite o problema
O post do time de pesquisa descreve a defesa em camadas: modelo treinado pra resistir, harness que marca conteúdo vindo de fonte não confiável, checagens determinísticas e classificadores que ficam fora do alcance do agente. O mesmo texto admite que prompt injection “continua um problema em aberto”.
Análises independentes publicadas entre 9 e 12 de setembro (jahanzaib.ai, explainx.ai) tratam a resistência anunciada como alegação não reproduzida por terceiros. O TechCrunch vai pelo mesmo caminho e lembra o histórico: acordos com a FTC em 2011 e 2019, senhas expostas em 2019, Cambridge Analytica. As alegações de segurança da VM, diz o texto, “exigem investigação de especialistas externos”.
Pra quem vai usar, o que isso significa é que um agente que lê páginas da web e age em seguida pode ser instruído pela página que leu. O Sentinel existe pra segurar isso, e ninguém de fora mediu quanto ele segura.
O que eu não conectaria, e o motivo de cada recusa
Isso é o que eu decidiria hoje, com a documentação na mão. Reviso depois do teste, com evidência.
- O e-mail principal, mesmo em somente-leitura. Ler a caixa já é acesso a tudo que passou por ela: links de recuperação de senha de todas as outras contas, faturas, contratos, conversas com cliente. Quem lê a caixa consegue resetar a senha de qualquer outra conta. O cerco: uma caixa separada, que recebe por encaminhamento só o que o agente precisa ver (confirmações de reserva, rastreio de pedido), com envio desligado.
- O meio de pagamento principal. O Link intermedeia e o agente não vê o número, segundo a Meta. Mas o cartão exigido no cadastro já é um cartão dentro do sistema, e a aprovação humana em compras depende de uma lista de “sensível” que ninguém documentou. O cerco: cartão virtual com teto mensal baixo, criado só pra isso, e o cartão da vida fora.
- Contas de cliente. Se você é consultor, agência ou freelancer, dado de terceiro dentro de uma VM cuja chave ainda pertence à Meta é, antes de tudo, um problema de contrato e de LGPD. A trilha de auditoria existe, mas fica guardada por eles. Enquanto a Confidential VM não estiver no ar, a resposta é não.
- O cofre inteiro do gerenciador de senhas. A integração com 1Password está planejada. Quando vier, o agente ganha um cofre próprio, com as três ou quatro credenciais que ele precisa pra trabalhar. O cofre principal continua onde está.
Os quatro itens têm a mesma lógica: separar o que o agente toca do que sustenta a sua vida. Isso vale pra qualquer agente que navega por você, de qualquer fornecedor. O Muse só é a ocasião.
Onde o Brasil entra
Nada foi publicado sobre acesso de fora dos Estados Unidos, seja por VPN, conta americana ou WhatsApp brasileiro. Sem informação, eu não recomendo gambiarra, porque a gambiarra vira exatamente a superfície de risco que o resto deste texto tenta fechar.
O que dá pra fazer agora é montar o cerco. Caixa de e-mail separada com encaminhamento, cartão virtual com limite, cofre de senhas segmentado. Isso leva uma tarde, custa nada e serve pra qualquer agente que apareça nos próximos meses.
O que eu testo primeiro quando o acesso chegar
Duas coisas, nesta ordem. Se o Sentinel me deixa definir o que é “sensível” ou se a lista é fixa. E o que o agente faz numa página que eu mesmo preparei com uma instrução escondida no HTML. O primeiro diz quem manda na política. O segundo diz se dá pra confiar nela.
Enquanto isso, a pergunta que eu queria discutir com quem já usa agente no trabalho: qual você conectaria primeiro, a caixa de e-mail em somente-leitura ou um cartão virtual com limite de R$ 200? A conversa está na página do ODG no LinkedIn.
Fontes: Meta Newsroom · Meta AI Research · Axios · TechCrunch · PBS · jahanzaib.ai · explainx.ai