9月9日、Metaが「Introducing Muse: The World's First Personal AI Agent Built for Everyone」と題した記事を公開した。個人向けAIエージェント「Muse」の発表だが、単なる機能紹介にとどまらず、AIエージェント全般が抱えるセキュリティ上の根本的な課題——認証情報の漏洩リスクやプロンプトインジェクション攻撃——に対して、専用VMと決済トークン化という具体的なアーキテクチャで答えようとしている点が際立つ。

AIエージェントのセキュリティ問題という「壁」

AIエージェントは、ブラウザを操作し、フォームを埋め、購入を実行する。それはすなわち、パスワードやクレジットカード番号といった機密情報をエージェントが「触る」ことを意味する。

現在、AIエージェントの普及を阻む最大の懸念の一つが、この認証情報の取り扱いリスクだ。悪意あるウェブページが埋め込んだ指示によってエージェントの挙動を乗っ取るプロンプトインジェクション攻撃は、研究者の間で繰り返し実証されており、OpenAIやAnthropicも対策を模索している段階にある。OpenAIは「Operator」で実世界タスクの自動化を打ち出し、AnthropicはClaudeによるComputer use機能を展開しているが、いずれも認証情報の安全な扱いについては発展途上だ。

Metaが今回のMuseで提示したアーキテクチャは、この問題への一つの回答として読める。

MetaがAIエージェント競争に本格参戦

WhatsAppやInstagramという数十億規模のユーザーベースを持つMetaが、個人向けAIエージェント市場に本格参戦する。

Museの基本コンセプトは、「技術的な知識がなくても誰でも使える」という設計方針だ。ユーザーが目標を伝えると、Museがプランを立て、ブラウザを操作し、フォームの入力や交渉まで自律的にこなす。車の売却交渉、通信費の値下げ交渉、トレーニングプランの調整といった具体的なユースケースが挙げられている。

推論エンジンには、Meta独自のMuse Sparkを採用している。同社はこれを「同社史上最高性能のモデル」と位置付けており、MetaがオープンソースLLMとして公開してきたLlamaシリーズとは別に、エージェント用途に特化して開発されたモデルと説明されている。

アーキテクチャの核心：Muse Secure VM

エンジニア目線で最も注目すべきは、専用仮想マシン（VM）上でエージェントを動かすという設計だ。Metaはこれを「Muse Secure VM」と呼ぶ。

通常のAIエージェントはクラウド上の共有インフラで動くが、Muse Secure VMではユーザーごとに専用のVMを割り当て、他のエージェントからは完全に分離する。認証情報やデータはすべてそのVM内に格納される。この「プロセス分離」の考え方は、OSのサンドボックス設計に近い発想であり、エージェント間のデータ漏洩を構造的に防ぐ。

セキュリティ設計の要点は以下のとおりだ：

• Sentinelエージェント：Museとは別プロセスとしてシステムレベルで分離して動作し、Museの外部通信をすべて監視・承認する。ユーザーの許可が必要な操作はその都度確認を取る。
• パスワード・決済情報の不可視化：Museは認証情報を直接参照できない。ユーザーが入力した情報はセキュアストレージに格納され、Museはその情報を「使う」だけで「見る」ことができない。
• 監査ログの公開：Museが実行した操作・今後実行予定の操作を完全な履歴として提示する。
• モデル学習からのオプトアウト：ユーザーは自分のやり取りがMetaのAIモデルの学習に使われることを拒否できる。
• 広告システムとの分離：Muse内の会話・データはMetaの広告システムと共有されない。

年内にはMuse Confidential VMも提供予定で、こちらはVM全体をユーザーのみが保持する鍵で暗号化する。Metaも中身を参照できない設計となる。これはクラウド事業者によるデータアクセスを構造的に遮断する、機密コンピューティング（Confidential Computing）の考え方に近い。

決済はStripe Linkと統合

タスクの実行過程で購入が発生する場合、Museは**Stripe Linkによるチェックアウト**に対応する。

特徴的なのは、Link's wallet for agentsという仕組みだ。エージェントが購入を行う際、実際のカード番号を渡すのではなく、ワンタイムカードを生成してインターネット上での購入に使う。実カード番号がウェブサービス側に渡らないため、エージェントがプロンプトインジェクション攻撃を受けてカード情報を窃取されるリスクを構造的に低減できる。加えて、MuseはAIエージェントとして初めてLinkの購入保護の対象となっており、破損・紛失補償、値下がり補償、無料返品保証が適用される。

近日中にShop Payも追加予定で、**1Password**との連携によりMuseが既存のログイン情報を利用できるようになる予定だ。

アプリ連携とメモリ機能

Museは接続するアプリとアクセス権限をユーザーが個別に設定できる。たとえばメールに連携する場合、「読み取りのみ」か「送信も許可する」かをユーザーが選択する。

メモリ機能も備えており、ユーザーが一度言及した内容（友人の食事制限など）を記憶し、必要なタイミングで自律的に活用する。Instagramで保存したレシピリールを食料品リストに変換したり、ディナーパーティーの招待状を送る前に参加者のアレルギー情報を反映したりといった動作が例示されている。記憶の削除も「forget」と伝えるだけで可能だ。

展開状況

Museは現在、米国向けにiOS・Android・muse.aiでロールアウト中だ。AIグラス（スマートグラス）への対応も近日予定されている。基本機能は無料で、より多くの用途には有料サブスクリプションプランが用意される。

詳細はIntroducing Muse: The World's First Personal AI Agent Built for Everyoneを参照していただきたい。