Meta Muse Security
エージェントに
本物の鍵を渡さない、
という設計思想。
メール・カレンダー・決済に手を伸ばすAIエージェントを、どうすれば安心して放てるのか。Meta が公開した Muse の答えは、モデルに「やらないよう教える」ことではなく、触れる範囲そのものを構造で断つことでした。1人1台の隔離VMと、通信を握る別プロセス「Sentinel」の役割を読み解きます。
「モデルに教える」から
「構造で断つ」へ
Meta は 2026年9月8日、個人向けAIエージェント「Muse」を米国の成人向けに公開した（iOS / Android / Web、WhatsApp からも利用可）。社内では「Hatch」というコードネームで、従業員が third-party アプリの操作やWeb閲覧を代行させる形でテストされてきたものだ。同社は同時に、設計思想をまとめた技術ブログ How We Built Safety Into Muse を公開している。
核になるのは Muse Secure VM——ユーザー1人につき1台、クラウド上に専用の仮想マシンを立てるという構成だ。エージェント本体、データ、ブラウザ、ファイル、連携サービスの認証情報が、その箱の中で完結する。事故や攻撃が起きても被害がその1台に閉じるようにする、という発想である。
さらに一段効いているのが Sentinel だ。Muse とはシステムレベルで分離された別プロセスで、Meta の説明では「third-party コネクタでの実行承認と、ネットワーク外向き通信すべてに対する唯一の権限判断者」。エージェント側が見られるのはダミーのプレースホルダートークンだけで、本物の認証情報は Sentinel がネットワーク境界で差し込む。つまりプロンプトインジェクションで認証情報を盗もうとしても、盗む対象がそもそもエージェントの視界に存在しない。
公開時点の条件
エージェントを「どこで動かすか」は、そのまま料金設計に跳ね返る。1人1台のVMを常時用意する構成は、チャットボットのように1つの巨大な推論基盤へ相乗りさせる方式より計算資源の単価が高くつくからだ。無料枠がトークン数で明示されているのは、その重さを裏返したものと読める。
Muse は週あたり1億トークンまで無料で使え、計算資源をより多く必要とする人向けに月額 $20 と $100 のプランが用意されている。加えて Meta は、各VMを Trusted Execution Environment 上で動かし鍵をユーザー自身が管理する「Confidential VM」版を後日提供すると予告している。
| 従来型（モデル任せ） | Muse（構造で分離） |
|---|---|
| 危険な指示はモデルが断る前提 | 断れなくても鍵に届かない構造にする |
| 認証情報はエージェントの文脈内に置かれる | エージェントはダミートークンしか見ない |
| 実行と権限判断が同じプロセス | Sentinel が別プロセスで通信を判定 |
| 被害範囲は連携先全体に及びうる | 被害はユーザー専用VM1台に閉じる想定 |
盗ませないための最善手は、
盗めるものを置かないことだった。
この設計をどう読むか
なぜ今これが重要か
エージェントの安全対策は長らく「モデルに危険な指示を断らせる」方向が中心だった。だがメールや決済に手が届く相手では、一度の判断ミスが実害に直結する。Muse の答えは権限の分離——判断するAIと、鍵を持つ番人を別物として置く古典的なセキュリティ設計の持ち込みであり、エージェント業界の議論の軸を「モデルの賢さ」から「壊れても被害が広がらない構造」へ動かすものだ。
誰に・どう効くか
個人利用者にとっては、迷惑メールや悪意あるWebページ経由でエージェントが誘導されても、認証情報そのものは持ち出されにくい。エージェントを自作する開発者には、「実行主体には偽のトークンを見せ、外向き通信の境界で本物を注入する」というパターンが直接まねできる設計として参考になる。一方で企業導入を検討する情報システム部門には、これはあくまで消費者向けサービスであり、監査ログやSSOといった統制機能を前提にできない点に注意が要る。
次に何をすべきか
まずは重要度の低いアカウントで試し、Sentinel が出す承認要求をまとめて許可しないこと。承認画面が判断の最後の砦である以上、そこを流し読みすると設計上の利点は消える。社内データを触らせる可能性があるなら、鍵をユーザー側が持つ Confidential VM 版の提供を待つ判断も現実的だ。
反対視点・リスク
設計は堅牢でも、実装が追いついているかは別の話だ。Forbes や implicator.ai は、公開週の時点で社内テスト中の従業員がガードレールの回避や iCloud 写真の露出、繰り返し発生するログアウト、監視機能が自ら停止する事象などを報告していたと伝えている。加えて、社員がユーザーのVM内部を読むことはポリシーでは禁止されているが技術的には可能とされる。ここまでの安全性の主張は現時点では Meta 自身の説明であり、第三者による公開監査は行われていない。