Meta publicou 2 documentos sobre o Muse e apenas um menciona ataques
Meta lançou o Muse em 8 de setembro. Nas próprias palavras do Meta, ele “pode abrir um navegador, preencher formulários e negociar em seu nome” e, quando chegar a hora de pagar, “pode finalizar a compra com o Link criado pela Stripe”. Ele é executado no Muse Secure VM, “uma máquina virtual (VM) dedicada que abriga os dados do agente e de uma pessoa”. Somente nos EUA, no WhatsApp ou no aplicativo Muse, e chegando aos óculos AI.
Essa é a notícia. Também não é por isso que estou escrevendo isso.
Todas as empresas de IA estão agora a promover alguma versão disto, e não creio que alguém tenha dito claramente porquê.
Então, eu li o que Meta realmente publicou. São dois documentos, ambos datados de 8 de setembro: um comunicado ao consumidor e um post de engenharia. Através das palavras risco, ataque, atacante, erro, não confiável e injeção imediata, o anúncio as usa zero vezes, e a postagem de engenharia as usa 39. Apenas a postagem de engenharia menciona que o Muse aparecerá como sua atividade em todos os sites que visitar.
Ninguém que eu conheço fez de uma dessas sua principal forma de trabalhar
Eu experimentei esses produtos e muitas outras pessoas também. Não conheço ninguém que tenha feito de um deles a forma dominante como fazem as coisas.
Eu não sei exatamente o que é. Meu palpite é que eles querem mostrar sua IA fazendo algo que parece economizar seu tempo. Mais performático do que qualquer coisa.
Há uma razão estrutural para isso, e não é que os modelos sejam maus. O Web UX foi desenvolvido para olhos humanos, não para legibilidade e interatividade por máquina. Cada um desses produtos pega um navegador e o conduz, e é por isso que argumentei que os navegadores de IA eram atrasados. É a versão mais difícil do trabalho disponível: ler uma interface projetada para uma pessoa, adivinhar e clicar.
A resposta da indústria é que a web que está sendo construída para os olhos é um problema temporário que eles irão resolver. Isso é uma ilusão, não é? Vamos vê-los fazer isso primeiro.
A forma continua mudando enquanto o tom permanece o mesmo
A navegação agente assumiu três formatos distintos de produtos em menos de dois anos.
Um navegador que você instala e para o qual alterna. O Atlas da OpenAI foi lançado em outubro de 2025, nunca saiu do macOS e parou de funcionar em 9 de agosto de 2026. A OpenAI não abandonou a ideia; isso mudou. O artigo de ajuda que cobre o desligamento é intitulado “Evoluindo o Atlas para ChatGPT para trabalho de agente baseado em navegador”.
Uma IA inserida no navegador que você já usa. Gêmeos no Chrome, Claude no Chrome.
E agora um navegador que fica na máquina deles, com a qual você conversa. Esse é o Muse, e acho que é o melhor dos três formatos. Você não deveria precisar assistir uma IA funcionar em um navegador. Ficar sentado enquanto uma máquina clica em uma finalização de compra em sua tela não é automação, é supervisão com etapas extras. Colocá-lo em uma máquina virtual em algum lugar é o instinto certo.
Mas um navegador no hardware do Meta, conectado às suas contas, levanta questões reais sobre autenticação e identidade.
Meta publicou 2 documentos no mesmo dia
Um deles é o anúncio na redação do Meta, escrito para pessoas que possam usar o Muse. O outro é um posto de engenharia, How We Built Safety Into Muse, do Meta Superintelligence Labs. O anúncio está vinculado a ele, então nada disso fica oculto.
Eles não são a mesma história. Puxei o texto de ambos e contei.
O anúncio diz que Meta “construiu o Muse desde o início para ser um agente pessoal de IA seguro, privado e amplamente disponível”, com “privacidade, segurança e proteções de segurança inéditas projetadas nele que nenhum outro agente fornece”. Nada chega à internet “a menos que o Sentinela aprove”. Muse “não tem visibilidade das senhas ou métodos de pagamento das pessoas”. Ele “verifica com a pessoa antes de ações delicadas”.
Cada um deles é verdade, e o posto de engenharia apóia cada um deles com mecanismos reais.
Aqui está o que o anúncio nunca diz. Nem uma vez, em cerca de seis mil caracteres.
Risco. Ataque. Atacante. Erro. Não confiável. Injeção imediata.
O posto de engenharia usa essas trinta e nove vezes entre eles. Ele abre dizendo que “qualquer agente como este ainda cometerá erros e às vezes será atacado por meio dos dados que lê” e que Meta “projetou o sistema para assumir que o agente pode estar sob ataque e limitar o dano potencial”. Diz claramente: “O Muse pode e ainda cometerá erros”. Ele oferece até US$ 300.000 para relatórios de segurança, “incluindo até US$ 130.000 para tentativas bem-sucedidas de injeção imediata que afetem um usuário”.
Essa é uma empresa excepcionalmente direta com os engenheiros. Suponha que esteja comprometido, contenha o dano, aqui está o dinheiro se você conseguir quebrá-lo.
Mas os dois descrevem o mesmo produto como duas coisas diferentes. Uma delas é uma história de capacidade em que a segurança é uma propriedade acabada. A outra é uma história de contenção onde se presume que o agente está sob ataque. Se você lesse apenas aquele que foi escrito para você, não saberia que o segundo existe nessa forma.
Somente o Engineering Post diz que Muse aparecerá como sua atividade
Uma frase decide o que cada site que o Muse visita vê e está ausente do anúncio.
“Quando o Muse navegar na internet, isso aparecerá como sua atividade, então se você pedir ao Muse para comprar uma camisa no site de um estilista, esse estilista poderá usar sua visita para mostrar um anúncio no Instagram.”
Meta está descrevendo o design, não admitindo uma falha. Muse dirige “um navegador realmente atualizado baseado em Chromium”. Então o designer vê uma pessoa. Suas análises registram uma visita. Seu redirecionamento dispara. E o anúncio persegue um humano que estava fazendo algo totalmente diferente enquanto uma máquina virtual navegava.
Essa frase está no post escrito para engenheiros. Está ausente daquele escrito para as pessoas a quem acontece.
Existem 2 níveis e a maioria dos sites está no segundo
A postagem de engenharia da Meta usa a palavra conector onze vezes, e o anúncio nunca a usa uma única vez.
Para os serviços com os quais a Meta se relaciona, não existe nenhum navegador. “Para cada conector, trabalhamos em estreita colaboração com o provedor de serviços para integrar sua API.” Uma interface negociada, credenciais com escopo definido, uma lista de permissões por trabalhador e um serviço que sabe exatamente com o que está falando.
Para todos os outros, o Muse abre o Chromium e se comporta como você.
Portanto, a pergunta que o proprietário de um site deve fazer não é se os agentes estão chegando. É o nível em que eles estão. Se você for grande o suficiente para que o Meta construa um conector, você terá uma interface e uma conversa. Do contrário, você receberá uma máquina com o rosto do visitante.
Suas regras de bot, seu acesso pago e suas análises verificam a mesma coisa
Regras de bot nomeiam rastreadores. Um acesso pago para máquinas verifica o nome em uma linha da solicitação. O Analytics conta uma visita como humana quando um navegador executa o JavaScript. Tudo isso é digitado em uma máquina que se identifica ou em uma máquina que não se parece com um navegador.
Muse não faz nada disso, e Meta anotou isso. O Muse está fazendo algo que você pediu, com suas credenciais, sob a aprovação que você deu, e o Meta divulgou o comportamento em um documento que qualquer pessoa pode ler.
A alternativa está sendo construída pela mesma indústria, em paralelo
Agora existe todo um conjunto de protocolos de agência em que a máquina se comunica com o site como uma máquina. O MCP e seu irmão do navegador, WebMCP, permitem que um site entregue a um agente um conjunto de ferramentas nomeadas, em vez de fazê-lo adivinhar os botões. UCP e AP2 fazem isso para o comércio, então um checkout é uma chamada com termos, em vez de um formulário preenchido por algo que imita dedos. A2A faz isso entre agentes. Existe um grupo de trabalho da IETF sobre Web Bot Auth, a peça que permitiria a um agente provar quem é. Essa divisão, entre agentes que podem provar quem são e agentes que só podem fazer coisas, é a linha divisória ao longo da qual toda a rede de agentes está se formando.
Nada disso exige que alguém finja. Talvez a melhor maneira de fazer isso seja por meio desses protocolos, e não deixar a IA fingir que é humana enquanto navega.
Esse é o garfo. Um caminho tem uma máquina conduzindo uma interface humana enquanto ninguém na extremidade receptora é informado. O outro possui máquinas e sites conversando entre si propositalmente. No momento, o dinheiro e os eventos de lançamento estão indo para o primeiro, e o segundo é onde a engenharia propriamente dita está acontecendo.
Não vou dizer para você fazer nada hoje, porque ainda não há nada útil para fazer. Mas fique de olho nisso, pois há três coisas específicas a serem observadas.
Se algum desses agentes carrega uma identidade, um site pode verificar, que é o que o trabalho do Web Bot Auth na IETF lhes daria. Se a lista de conectores cresce, porque essa é a lista de sites que recebem uma interface em vez de um navegador. E se o próximo deles será lançado com um ou dois documentos.
Mais recursos:
Este post foi publicado originalmente no No Hacks.
Imagem em destaque: Viktoriia_M/Shutterstock
