Meta、パーソナルAIエージェント「Muse」を米国で公開 ― できること・料金・セキュリティ設計の要点
2026年9月8日、Meta がパーソナル AI エージェント「Muse」を米国で公開しました。要点は3つです。第一に、メール・カレンダー・決済・スマートホームなどに接続し、質問に答えるだけでなく実際に作業を代行します。第二に、ユーザーごとに専用の仮想マシン(Muse Secure VM)を割り当て、外部へ出る通信は「Sentinel」という別プロセスの許可がないと通りません。第三に、提供は米国のみで、日本からは現時点で利用できません。基本無料で、使用量の多い利用者向けに有料プランが用意されています。
Muse で何ができるのか
Muse はチャットで指示を出すと、計画を立てて自分でブラウザを開き、フォームを入力し、メールを送り、旅行を手配します。長い作業はアプリを閉じても継続し、状況が変わったときや承認が必要なときに通知が返ってきます。Meta は例として、車をより高く売る、請求額を下げる、生活の変化に合わせてトレーニング計画を調整する、といった用途を挙げています。
記憶も持ちます。Instagram で保存したレシピのリールを買い物リストに変える、一度話しただけの友人の食事制限を覚えて招待状に反映する、といった動作が想定されています。覚えた内容は「忘れて」と指示して削除できます。
決済は Stripe の Link を使い、実際のカード番号ではなく一度だけ使える使い捨てカード番号が発行されます。Meta は Link の購入保護が適用される最初の AI エージェントだとしています。Shop Pay と 1Password への対応も予告されています。
従来のチャットボットとの本質的な違いは、モデルの賢さではなく「実行環境を持つこと」です。ブラウザ、接続先サービスの権限、継続するタスク状態を持ち、時間をかけて動きます。だからこそ失敗の影響範囲も広がります。
提供範囲と料金
Meta の発表によると、Muse は米国で iOS・Android・muse.ai、および WhatsApp から利用でき、AI グラス対応は近日予定です。中核モデルは Muse Spark 1.3 で、コードベース上の内部名は Hatch です。
公式リリースは「多くの用途では無料、もっと使いたい人向けにサブスクリプション」と書くだけで価格を明記していません。Axios と CNBC は、無料枠に加えて月20ドルと月100ドルの2プランがあり、AI 責任者の Alexandr Wang 氏が大半の利用者は無料枠で足りると述べたと報じています。価格は報道ベースの情報として扱うのが安全です。
日本からは使えないため、日本の読者にとって今できることは「評価」です。特に後述する権限設計の考え方は、自分が業務で使うエージェントを選ぶ際の比較軸として、そのまま使えます。
セキュリティ設計の中身
Meta は同日、20分読了相当の技術解説を公開しました。エージェント製品としては異例に詳しい内容で、設計思想は「モデルは攻撃されうる前提で、被害の範囲を機械的に閉じる」ことに集約されます。
専用 VM と隔離: エージェント本体とファイルは systemd-nspawn のコンテナ(runtime cell)内で動き、cell 内の root は host の非特権ユーザーに割り当てられます。システムコールや kernel capability も制限されています。
認証情報を見せない: OAuth トークンやパスワードは cell の外にある認証情報ストア(authd)に保管され、エージェントには代理トークンだけが渡ります。本物との差し替えはネットワーク境界で Sentinel が行うため、プロンプトインジェクションで秘密を吐かせようとしても対象が存在しません。
Sentinel が唯一の許可権限: コネクタ操作と外部通信の許可・拒否・ユーザーへの確認は Sentinel が決めます。Muse は「提案」しかできません。
承認ダイアログは会話の外: ユーザーへの確認はクライアント UI に直接表示され、回答も Sentinel に直接返ります。会話を経由しないため、モデルが操られても承認画面を偽装できません。
tainted egress: eBPF を使い、ユーザーデータを読んだプロセスに「汚染」の印を付けます。汚染されていない安全な通信だけ自動許可し、それ以外は人間の承認に回すことで、確認の回数を抑えつつ危険な送信を止めます。
メールの穴を塞ぐ: メールコネクタはワンタイムパスコード、パスワードリセットリンク、ログイン用マジックリンクをフィルタします。受信箱を渡すことが他サービスの乗っ取りに直結しないための措置で、権限設計として特に参考になる部分です。
ブラウザ: 操作するサブエージェントが見るのは生の DOM ではなくアクセシビリティツリーのスナップショットで、ページ内での JavaScript 実行はできません。ユーザーはいつでも操作を引き取れます。
残るリスクと Meta 自身の認識
Meta は防御の枠組みを、Simon Willison 氏が2025年に提唱した「lethal trifecta」(私的データへのアクセス、信頼できないコンテンツへの露出、外部へ送信する能力の3条件が揃うと危険)に沿って説明しています。対策はモデルの訓練、外部データを非信頼として扱う仕組み、独立した検知分類器の組み合わせ、そして人間の承認という4層です。
それでも技術解説の結論部で、プロンプトインジェクションは業界として未解決であり Muse も誤りを犯すと明言しています。同時にバグバウンティを一般公開し、有効な報告に最大30万ドル、単一ユーザーへのプロンプトインジェクション成功に最大13万ドルを支払うとしています。これは自信の表明というより、攻撃が来る前提での早期発見の仕組みと読むのが妥当です。
もう一点重要なのは、現行アーキテクチャでは Meta 社員のアクセスを制限しているのは運用ポリシーであり、サービスの運用・保守・保護に必要な場合の Meta 側アクセスを技術的に排除していない、と Meta 自身が書いていることです。暗号鍵をユーザーだけが持つ「Muse Confidential VM」は年内提供予定で、設計とソースコードを外部監査に開示する方針が示されています。医療・金融のような機微なデータを預けるかどうかは、この Confidential VM と監査結果が出てから判断するのが合理的です。
タイミングも無視できません。TechCrunch や CNBC は、州の司法長官連合との巨額和解(報道では約170〜180億ドルと幅があります)の直後の発表であり、Muse は「利用者が Meta にどこまで個人情報を預けるか」という信頼の試金石になると指摘しています。
データの扱いで確認すべき3点
Meta は、Muse の会話と VM 内のデータを広告システムと共有しないと明記しています。ただし同時に、Muse がウェブを閲覧するとそれは本人の行動として現れるため、訪問先の事業者が後に広告を出す形で間接的に影響しうると認めています。「広告に使わない」と「広告に一切影響しない」は別だという点は押さえておくべきです。
会話や操作の軌跡は、個人を特定する情報を除去した上でモデル学習に使うのが既定値で、設定のスイッチでオプトアウトできます。既定がオンであることは、業務で使う場合の最初の確認項目です。
コネクタは、サービス側が対応していれば読み取りと書き込みを分けて許可でき、OAuth のスコープより細かい制御も加えられます。まず読み取りのみで挙動を確認し、納得できてから書き込みを許可する、という段階的な運用が前提として設計されています。
サイトやサービスを運営する側への示唆
Muse のブラウザ操作がアクセシビリティツリーを入力に使う点は、サイト側にとって具体的な意味を持ちます。適切な見出し構造、ラベルと入力欄の関連付け、ボタンの役割が明示された実装は、そのままエージェントからの操作可能性に直結します。逆に、視覚的な位置だけで意味を伝えている UI は、エージェントには読み取れません。アクセシビリティ対応が機械可読性の投資でもある、という関係が一段はっきりしました。
一方で、エージェント経由のアクセスを歓迎しない事業者もあります。Axios は、予約サービスの Resy が自動エージェントを使うアカウントを削除する方針を明確にしていると報じています。予約・チケット・在庫のような競合性の高いサービスでは、エージェントを受け入れるのか、規約と対策で弾くのかを事業判断として決める必要があります。決済側でも、使い捨てカード番号による支払いを自社の不正検知が誤って弾かないかは、事前に確認しておく価値があります。
まとめと次の一手
Muse は「賢いチャットボット」ではなく、権限と実行環境を持つ常駐エージェントです。日本では使えない今の段階で有効なのは、Meta が公開した技術解説を権限設計のチェックリストとして読むことです。認証情報をモデルに見せない、承認 UI を会話から切り離す、読み取りと書き込みを分ける、外部データは非信頼として扱う。この4点は、どのエージェントを導入・開発する場合でも問える基準です。機微なデータの接続については、Confidential VM の提供と外部監査の結果を待ってから判断するのが現実的な線引きになります。
