Meta 在 9 月 8 日发布了 Muse，一个给个人用的 AI 代理。它和聊天机器人不是一回事——能长期干活，应用关了还在后台继续跑。底层是 Muse Spark 1.3，Meta 最新一代模型，专门为长周期任务设计。Muse 能接邮箱、日历、购物、支付，还支持 WhatsApp。免费用户每周最多 100M tokens，重度用户有 $20 和 $100 两档订阅。目前仅限美国用户。
但 Muse 真正值得注意的不是任务能力，而是安全架构。Zuckerberg 在 Sources 播客上介绍了保密虚拟机（Confidential VM）的概念：每个用户都能拥有一个包含高度私密数据的云虚拟机，系统设计目标是连 Meta 本身都无法查看。
“你不想让别人帮你配置一台电脑或 VM，”Zuckerberg 说，“你只希望能在云里一键部署，同时拥有像把机器放在自家桌下那样的安全性和保密性。”据他说，目前还没有任何其它 agent 产品做到接近这种程度。
Meta 官方博客详细公开了这套设计。核心思路：假设模型一定会出错，也一定会被攻破。安全不依赖模型自我克制。整件事的核心，是把 agent 放进一个无法越狱的笼子里。
每个用户有一台独立的 Linux VM。Muse 的运行时放在 systemd-nspawn 容器里，root 权限映射为非特权用户。关键服务全在容器外面。有个独立的 Sentinel agent，是唯一的权限权威。Muse 想操作连接器或发起任何网络请求，都得向 Sentinel 申请。Sentinel 评估策略后，对用户展示批准请求。Muse 无法覆盖这个决定。
真实凭据存放在 authd 服务里，在容器之外。Muse 在上下文里只接触代理令牌，真实 token 要到网络出站那一刻由 Sentinel 替换。即使攻击者通过 prompt injection 诱导 Muse 泄露机密，Muse 手里根本没有真实凭据可泄露。
还有内核级数据流跟踪（tainted egress）。执行工具会因读取用户数据而被打上“污染”标记，通过 eBPF 进行网络拦截。被污染或无法验证的请求会被剥夺自动放行资格，强制进入人工审批流程。数据外泄必须过一道人眼。
浏览器的处理同样激进。Muse 的浏览器子代理看到的是可访问性树，不是原始 DOM；无法执行 JavaScript，无法使用 DevTools，也不能读取密码。密码由用户输入后直达 authd，在需要时直接注入页面。每次结账都要人工确认，在不熟悉的站点上使用 Stripe Link 生成单次卡号，绑定商户、金额和有效期。卡号被偷也几乎无用。
这套架构获得了一些业内人的认可。有开发者评价：隔离 VM 加出站数据门，才是 agent 能真正触碰金钱的形态。Mahir 在回复中概括得更准：两年来“AI 安全”一直意味着“把模型训练得更好”，Muse 的设计说这不够，安全得住在 VM 隔离、凭据分离和强制门禁里。你不需要对齐 agent。你把它关起来。这个赌注是：有能力的 agent 默认不可信。这大概是对的。
Zuckerberg 在播客里也聊了日常怎么用 Muse。他会给 Muse 设置持续的目标和项目，让它完成后主动建议下一步。比如帮他喜欢烘焙的三岁女儿，监控登山许可证什么时候放出，以便抢周末出游名额。他还把 MMA 健身房的摄像头接到 Muse 上，让它看训练录像，给动作反馈。
开头的保密虚拟机目前还在内测，代码已交给外部审计。Meta 计划今年晚些时候推出，届时会有持续的公开审计报告，让专家验证 Meta 在密码学上确实无法读取 VM 数据。
不过，也有人对此不买账。有人提醒：Facebook 曾经把用户的手机号开放给全世界。有人数出 Meta 今年已经吃了三起重大隐私诉讼。Confidential VM 能不能兑现，得等审计结果。但抛开对 Meta 的信任问题，这个安全思路本身值得注意：不指望模型学乖。关键在于让模型即使学坏，也拿不到关键数据和资金。这可能是 agent 时代的“对齐”方式。
AI 安全的下一个战场，可能不在模型参数里，而在内核的权限边界上。
完整访谈：Mark Zuckerberg on Muse, Meta's biggest AI bet yet (https://www.youtube.com/watch?v=Lx8lrn-cytc)
关注公众号回复“进群”入群讨论