Meta hat einen Agenten in einen getrennten Rechner in der Cloud gesetzt und ihn angewiesen, den Browser zu oeffnen, Formulare zu fuellen, Preise zu vergleichen und zu bestellen, und nur vor einem nicht umkehrbaren Schritt kurz zu fragen.

Meta hat den persoenlichen Agenten Muse am 8. September 2026 veroeffentlicht und nennt ihn den ersten persoenlichen Agenten, der fuer alle gebaut wurde. Das Gewicht dieses Satzes liegt nicht auf dem Gespraech. Es liegt auf einem Verb: Muse soll im Namen des Nutzers handeln und nicht nur raten.

Eine Aufgabe zu uebergeben folgt dem Muster, das man schon kennt. Im Programm, auf einem Mac oder direkt in WhatsApp das Ziel so beschreiben, wie man es einem anderen Menschen beschreiben wuerde, und offiziell gibt es nichts zu lernen und keinen technischen Hintergrund noetig. Darunter arbeitet Muse Spark, ein selbst gebautes Modell von Meta, das laut Unternehmen fuer lange, vielstufige echte Agentenarbeit trainiert wurde.

Er wohnt in einem eigenen Rechner in der Cloud

Anders als ein ortlich installierter Assistent, der die Hardware des Nutzers mitbenutzt, laeuft Muse in einer virtuellen Maschine in der Cloud namens Muse Secure VM. Die Maschine wird pro Nutzer vergeben und bringt einen vollstaendigen Browser mit sowie Speicher, Rechenkern und Arbeitsspeicher, die fuer echte Arbeit reichen. Laut Meta muessen diese Mittel genuegen, damit er selbst geschriebenen Code uebersetzen und gleichzeitige Unteraufgaben und geplante Arbeiten laufen lassen kann.

Die Maschine ist bewusst zweigeteilt. Der Kern von Muse laeuft zusammen mit dem Arbeitsbereich, den Dateien und den Werkzeugen, die im Namen des Nutzers arbeiten, in einer Laufzeitumgebung; root darin ist auf einen nicht bevorrechtigten Nutzer des Wirts abgebildet, das heisst root im Behaelter ist nicht root auf der Maschine. Der Behaelter hat ein eigenes Wurzel Dateisystem, seine Systemaufrufe werden gefiltert, und Rechte im Kern sind beschnitten. Der Dienst fuer Sicherheit lebt ausserhalb des Behaelters als eigene Systemeinheit.

Muse arbeitet, Sentinel laesst durch

Ob etwas geschehen darf, entscheidet nicht Muse. Meta hat auf derselben Maschine einen zweiten, getrennten Agenten platziert, Sentinel genannt. Muse darf nur eine Handlung vorschlagen, nur Sentinel darf die Erlaubnis zur Ausfuehrung geben. Jeder Aufruf eines fremden Dienstes ueber einen Verbinder und jede einzelne Anfrage nach draussen geht durch ihn. Er beurteilt eine Anfrage nach Rechnername, aufgeloester Adresse, Anschluss, Protokoll, Methode und Pfad und nutzt Adressbeschraenkungen, damit eine oeffentlich wirkende Domain nicht auf interne Einrichtungen zeigt.

Haelt Sentinel eine Sache fuer eine Entscheidung durch Menschen, setzt er die Ausfuehrung aus und schiebt die wartende Handlung direkt in die Oberflaeche des Programms, statt sie in einer Unterhaltung zu vergraben. Freigaben gibt es in mehreren Koernungen: einmalig, fuer die Sitzung, fuer die Aufgabe, fuer einen Zeitraum oder dauerhaft, und sie sind an ein bestimmtes Ziel und einen Zweck gebunden. Offiziell gilt, dass nur lesende, bereits erlaubte oder nachweislich harmlose Handlungen nicht unterbrechen, und die Reibung sitzt nur dort, wo Zustimmung wirklich noetig ist.

Kennwoerter und Kartennummern bleiben ihm verborgen

Ein Agent, der sich anmelden und bezahlen kann, kommt am Problem der Nachweise nicht vorbei. Muse loest es, indem das Modell von den echten Dingen ferngehalten wird: Anmeldedaten liegen in einem Speicher, den es nicht lesen kann, und eine eigene Komponente setzt sie an der richtigen Stelle ein; beim Bezahlen wird eine Einmalkartennummer erzeugt, sodass die echte Nummer sowohl beim Haendler als auch fuer den Agenten verborgen bleibt.

Bei der Zahlung haengt Muse an Stripe Link. Meta bezeichnet ihn als ersten Agenten, der vom Kaufschtz von Link erfasst ist, der verlorene, beschaedigte, im Preis gefallene und zurueckgegebene Waren abdeckt.

Programm geschlossen, Arbeit laeuft weiter

Hier liegt die deutlichste Grenze zwischen Muse und einem Gespraechsfenster. Die offizielle Antwort darauf, ob er nach dem Schliessen weiterarbeitet, ist ja: Lange Aufgaben laufen im Hintergrund weiter, und er kommt zurueck, wenn sich Bedingungen aendern oder eine Freigabe noetig wird. Er merkt sich auch, was dem Nutzer wichtig ist, macht aus einem gespeicherten Rezeptvideo eine Einkaufsliste oder behaelt eine nebenbei genannte Vorliebe fuer spaeter.

Was heute schon geht

Muse wird in den Vereinigten Staaten und in Kanada fuer Nutzer ab achtzehn Jahren angeboten, ueber iOS, Android, das Netz und WhatsApp, und eine Fassung fuer macOS ist erschienen, die Dateien ordnet, Formulare fuellt und Inhalte aus Nachrichten, Kalender und Notizen zieht. Meta nennt eine Brille als naechsten Schritt. Beim Preis sind die meisten Alltagsaufgaben kostenlos mit einer Obergrenze, und ist sie erreicht, kann man auf die Erneuerung warten oder fuer zwanzig Dollar im Monat oder hundert Dollar im Monat mehr Rechenzeit abonnieren.

Die Grenzen sind einen Blick wert. Meta sagt im technischen Blog klar, dass Muse nicht gegen Angriffe gefeit ist, dass eingeschleuste Anweisungen in der ganzen Branche ungeloest sind und dass er selbst Fehler macht; das System soll den Schaden eines Fehlers in einem begrenzten Bereich halten und die Kontrolle beim Nutzer lassen. Die als naechster Schritt genannte Muse Confidential VM geht weiter: Die ganze virtuelle Maschine samt Daten und Gespraechen wird mit einem Schluessel verschluesselt, den nur der Nutzer haelt, sodass auch Meta nicht lesen kann.

Einem Agenten einen ganzen Rechner in der Cloud zu geben ist die Quelle seiner Faehigkeit und die Quelle seines Risikos. Meta hat das Risiko mit Abschottung, Austausch der Nachweise und einer Schicht Freigabe eingerahmt, doch ob er taugt, haengt am Ende daran, wie verlaesslich er die Arbeit beendet und wie viel Vollmacht der Nutzer abzugeben bereit ist.