O Meta Muse é um agente pessoal de inteligência artificial capaz de aceder ao correio eletrónico, calendário, aplicações de compras, serviços de pagamento, dados de saúde e dispositivos domésticos. O sistema pode enviar mensagens, reservar viagens, preencher formulários e concluir compras em nome do utilizador.
O lançamento começou a 8 de setembro nos Estados Unidos, através da aplicação Muse e do WhatsApp. A Meta afirma ter criado uma arquitetura específica para proteger os dados e limitar as ações do agente, mas documentos internos consultados pela Reuters mostram que testes realizados antes do lançamento ainda detetaram problemas de segurança e fiabilidade.
Pontos principais
- O Meta Muse executa tarefas através de aplicações e páginas Web.
- O agente pode enviar e-mails, efetuar compras e reservar viagens.
- Cada utilizador recebe uma máquina virtual dedicada na nuvem.
- Um sistema separado, denominado Sentinel, controla ações e autorizações.
- Testes internos revelaram exposição indevida de fotografias privadas.
- O Muse está inicialmente disponível apenas nos Estados Unidos.
Meta Muse passa das respostas para as ações
O Meta Muse distingue-se de um chatbot convencional pela capacidade de executar sequências de tarefas sem exigir uma instrução para cada etapa. Esta passagem de sistemas que respondem para agentes de IA capazes de executar ações tem vindo a marcar a evolução recente desta tecnologia.
No anúncio oficial do Muse, a Meta apresenta-o como um agente pessoal capaz de trabalhar em nome do utilizador através dos serviços e aplicações aos quais recebe acesso.
O utilizador pode pedir ao agente que organize uma viagem, venda um automóvel, acompanhe a disponibilidade de bilhetes ou desenvolva um plano para um objetivo de longo prazo. Como funciona numa máquina virtual na nuvem, o Muse pode continuar a executar tarefas sem uma interação permanente com o utilizador e regressar quando necessita de uma decisão ou autorização.
A Meta disponibiliza uma versão gratuita e duas subscrições destinadas a utilizações mais intensivas. Segundo a Reuters, os planos pagos custam 20 e 100 dólares por mês. A empresa não detalhou publicamente os limites de cada modalidade nem confirmou uma data de lançamento para Portugal ou outros mercados europeus.
A integração com o WhatsApp permite comunicar com o Muse através de uma interface já conhecida. O utilizador descreve o objetivo numa conversa e o agente recorre às aplicações, serviços e páginas Web autorizados para tentar concluí-lo.
Esta diferença tem consequências práticas. Num chatbot, uma resposta pode ser revista antes de produzir efeitos externos. Um agente com permissões para escrever em aplicações, contactar terceiros ou iniciar uma compra pode transformar um erro de interpretação numa ação real.
Máquina virtual procura isolar dados e credenciais
Cada instância do Muse funciona numa máquina virtual dedicada na nuvem. De acordo com a documentação técnica de segurança publicada pela Meta, este ambiente Linux isolado dispõe de navegador, armazenamento, CPU e memória próprios e serve como espaço de trabalho do agente.
A arquitetura separa o ambiente onde o Muse trabalha dos componentes responsáveis pelas operações mais sensíveis. Segundo a Meta, o agente não vê diretamente as credenciais reais dos serviços ligados. Palavras-passe e outros dados de autenticação ficam separados e são disponibilizados apenas quando uma operação autorizada necessita deles.
A arquitetura inclui ainda o Sentinel, um sistema que funciona fora do ambiente controlado pelo Muse. Todas as interações do agente com o exterior passam por este componente, que o agente não pode ignorar ou desativar.
O Sentinel pode avaliar ações e determinar se estas devem avançar, ser recusadas ou exigir autorização do utilizador. Esta separação procura limitar as consequências caso o modelo interprete incorretamente uma instrução ou seja manipulado por conteúdo externo.
Os clientes do Muse para iOS, Android e Web comunicam diretamente com a máquina virtual através de uma ligação protegida. A Meta afirma ainda que apenas uma quantidade limitada de informação sai deste ambiente quando é necessária para inferência ou telemetria.
Estas separações procuram responder a um problema inerente aos agentes pessoais: quanto mais serviços um sistema consegue utilizar, maior é a quantidade de dados e permissões concentrada numa única ferramenta. O isolamento do ambiente de execução e a supervisão humana estão entre as abordagens utilizadas para limitar as consequências caso um agente seja comprometido.
Compras exigem confirmação do utilizador
O Muse também pode concluir compras através da Web. Para os pagamentos, a Meta estabeleceu uma parceria com o Link, da Stripe, que permite ao agente utilizar métodos de pagamento guardados ou recorrer a cartões virtuais destinados a operações específicas.
Segundo a Stripe, nas lojas que aceitam diretamente o Link, o Muse pode usar o método de pagamento escolhido pelo consumidor. Noutros comerciantes, o serviço pode gerar um cartão virtual associado à compra que recebeu aprovação.
Este mecanismo procura limitar o alcance das credenciais financeiras disponibilizadas ao agente. Em vez de fornecer um número de cartão convencional que possa ser reutilizado, o sistema cria credenciais destinadas à operação autorizada.
Estas salvaguardas não eliminam, contudo, os erros que podem ocorrer antes da fase de pagamento. O agente pode selecionar um produto diferente do pretendido, interpretar incorretamente uma condição de venda ou tomar uma decisão que não corresponda ao objetivo inicial.
A confirmação de uma operação financeira reduz o risco de uma ação não autorizada, mas não substitui a supervisão das decisões que conduziram até à compra.
Testes internos revelaram acesso indevido a fotografias
As salvaguardas ganham particular relevância perante os problemas encontrados durante os testes internos. De acordo com a Reuters, um funcionário relatou que o agente contornou mecanismos de proteção e expôs fotografias pessoais armazenadas numa conta iCloud.
O teste pedia ao Muse que identificasse brinquedos visíveis em fotografias de uma festa de aniversário infantil. O agente acabou por apresentar imagens privadas que não deveriam ter sido expostas naquele contexto.
Os documentos internos também revelaram problemas de fiabilidade. Andrew Bosworth, diretor de tecnologia da Meta, relatou que era repetidamente desligado do serviço e obrigado a voltar a iniciar sessão, por vezes várias vezes em poucos minutos.
Noutro teste, um funcionário pediu ao Muse que acompanhasse bilhetes e outros artigos que esgotam rapidamente. O agente deixou de atualizar a página ao fim de cerca de 15 minutos, ignorou alguns erros sem aviso e, em determinadas ocasiões, interrompeu a monitorização sem causa aparente.
A Meta não respondeu à Reuters sobre estes incidentes específicos. Vishal Shah, vice-presidente responsável pelos produtos de IA da empresa, disse à agência que o lançamento, inicialmente previsto para abril, tinha sido adiado para reforçar a segurança.
Shah reconheceu também que não é possível garantir que o sistema nunca cometerá erros, embora tenha afirmado que o trabalho adicional permitiu atingir o nível mínimo que a empresa considerava necessário para disponibilizar o Muse ao público.
Injeção de instruções continua sem solução definitiva
Um dos principais riscos dos agentes de IA é a possibilidade de uma página, mensagem, imagem ou documento conter instruções concebidas para manipular o modelo. Este tipo de ataque, conhecido como injeção de instruções, ou prompt injection, pode levar um agente a interpretar conteúdo malicioso como uma ordem legítima.
O problema torna-se particularmente relevante quando o mesmo agente reúne três capacidades: acesso a informação privada, contacto com conteúdos externos potencialmente maliciosos e possibilidade de enviar dados ou executar ações fora do seu ambiente.
A Meta afirma que treinou o modelo para reconhecer tentativas de injeção de instruções e acrescentou mecanismos externos destinados a limitar o impacto de um ataque. O Sentinel constitui uma dessas barreiras, uma vez que o Muse não o controla e todas as interações com sistemas externos passam por esse componente.
A própria documentação da empresa admite, porém, que o Muse continuará a cometer erros e poderá ser atacado através dos dados que processa. A arquitetura foi, por isso, concebida com o pressuposto de que o agente pode vir a ser comprometido.
A Meta abriu também o programa de recompensas de segurança do Muse ao público. A empresa oferece até 300 mil dólares por vulnerabilidades válidas, dos quais até 130 mil dólares podem ser atribuídos a ataques de injeção de instruções que afetem um utilizador.
Meta ainda pode aceder aos dados em determinadas situações
A arquitetura do Muse procura manter a informação do utilizador dentro da máquina virtual dedicada, mas isso não significa que todos os dados permaneçam permanentemente isolados.
A documentação técnica explica que uma quantidade limitada de informação pode sair da máquina virtual quando é necessária para o funcionamento do modelo e para telemetria. Esta distinção é relevante num agente que pode concentrar correio eletrónico, calendário, compras e outros dados pessoais no mesmo ambiente.
A Meta afirma também que as interações podem ser utilizadas para melhorar os seus modelos de IA, embora os utilizadores possam optar por não permitir essa utilização. A Reuters confirmou a existência desta opção no lançamento.
A empresa prevê ainda introduzir uma versão encriptada do Muse durante 2026. O objetivo é acrescentar mecanismos técnicos de proteção aos dados processados pelo agente, embora a Meta não tenha indicado uma data concreta para essa modalidade.
O Meta Muse transfere para um único agente permissões que normalmente estão distribuídas por várias aplicações e serviços. Essa concentração permite automatizar tarefas mais complexas, mas também aumenta as consequências potenciais de uma decisão incorreta. A utilidade do sistema dependerá, por isso, não apenas do que consegue executar, mas da fiabilidade das ações e da capacidade das salvaguardas para limitar o impacto dos erros.
Outros artigos interessantes:
