L’essentiel
- Meta a lancé mardi Muse, son agent personnel, aux États-Unis : sur le web, sur iOS et Android, et dans les conversations WhatsApp.
- L’agent s’exécute dans une machine virtuelle Linux isolée et persistante, dotée de son propre navigateur, surveillée par un second agent nommé Sentinel qui bloque toute action sortant vers Internet sans approbation.
- Muse ne voit ni vos mots de passe, rangés dans un coffre séparé, ni votre vrai numéro de carte : un numéro à usage unique est généré au paiement via Link, de Stripe.
- Gratuit pour la plupart des usages, avec deux abonnements à 20 et 100 dollars par mois.
Votre messagerie, votre agenda, vos applications de santé, votre domotique et un moyen de paiement, tous branchés sur le même logiciel. Qu’est-ce qui l’empêche, concrètement, de réserver deux fois le même vol ou d’envoyer un message à la mauvaise personne ? Meta a lancé Muse mardi, et répond par un schéma technique.
Nous décrivions il y a peu Muse comme un agent qui n’attend plus vos requêtes. À ce moment-là, le produit se résumait à une promesse de proactivité et à quelques captures d’écran d’une version en test fermé. Depuis, Meta a ouvert le capot et publié le détail de son architecture. On peut donc regarder les barrières, et plus seulement les promesses de prudence.
Un ordinateur entier, loué pour votre agent
Muse ne vit pas dans votre navigateur, ni sur votre téléphone. Il tourne dans ce que Meta appelle la Muse Secure VM : une machine virtuelle Linux hébergée dans le cloud, persistante, isolée par utilisateur, équipée d’un navigateur complet et d’assez de processeur, de mémoire et de stockage pour faire ce que vous feriez sur votre propre poste.
Ce choix a une raison très pratique. Un agent qui doit agir sur des services réels rencontre trois cas de figure : le service offre un connecteur intégré, il expose une API publique que Muse configure avec les identifiants que vous fournissez, ou il n’offre rien du tout. Dans le dernier cas, il faut cliquer dans des pages web comme un humain. Impossible sans une vraie machine, avec un vrai navigateur, qui reste allumée quand vous fermez l’application. Muse peut ainsi poursuivre une tâche longue en arrière-plan et vous relancer quand une décision est requise.
Sentinel, le poste de contrôle sur la seule porte de sortie
Isoler une machine ne suffit pas : tout l’intérêt d’un agent, c’est justement qu’il sorte, qu’il aille lire une page, remplir un formulaire, valider un panier. Meta a donc ajouté un second agent, Sentinel, qui surveille la machine virtuelle et empêche toute action de Muse d’atteindre Internet sans approbation.
L’analogie la plus juste est celle d’un bâtiment doté d’un seul sas de sortie, avec un vigile posté devant. Muse peut réfléchir, ouvrir des fichiers, naviguer, préparer un envoi ; rien ne franchit la porte sans passer devant Sentinel. La distinction technique compte. Un agent qui navigue est avant tout vulnérable à la manipulation : une page piégée qui glisse des instructions dans le texte qu’il lit, ce qu’on appelle une injection de prompt, peut lui faire ressortir ce qu’il garde en mémoire. On ne corrige pas ce défaut en demandant gentiment au modèle de résister. On le contient en surveillant la sortie plutôt que l’intention. OpenAI a fait un autre pari pour son propre agent : un modèle entraîné à repérer ces pages piégées, doublé d’une confirmation demandée avant les actions sensibles, tout en admettant que le problème ne sera sans doute jamais réglé pour de bon. Meta déplace le curseur du jugement de l’agent vers le contrôle de ce qui sort.
Mots de passe et carte bancaire hors de portée du modèle
Le reste de l’édifice consiste à retirer à Muse ce dont il n’a pas besoin. Vos identifiants sont enregistrés dans un coffre que l’agent ne peut pas lire, avec une intégration 1Password annoncée. Au paiement, un numéro de carte à usage unique est généré : ni le marchand ni l’agent ne voient votre vraie carte, et les achats éligibles sont couverts par les protections de Link, une première pour un agent grand public. Shop Pay est également en préparation.
S’y ajoutent une approbation préalable pour les actions sensibles, à commencer par l’envoi d’e-mail et l’achat, ainsi qu’un journal complet de ce que l’agent a fait et de ce qu’il compte faire. Meta précise enfin que ces conversations ne sont pas versées à ses systèmes publicitaires, et permet de demander l’oubli d’une information précise.
Sentinel reste un modèle, et Meta n’en publie aucun chiffre
Aucun taux de blocage, aucun chiffre sur les attaques passées au travers, aucun protocole de test face à un attaquant : l’annonce n’en dit rien. Un contrôleur probabiliste posté devant un exécutant probabiliste, cela fait deux couches de statistiques dans une chaîne qui touche votre boîte mail.
Deux points restent en suspens. La version dite confidentielle de la machine virtuelle, chiffrée au point de rester inaccessible à Meta elle-même, n’arrivera que plus tard dans l’année : d’ici là, l’isolement protège les utilisateurs les uns des autres, pas de l’hébergeur. Et l’option de refuser que vos interactions entraînent les modèles maison existe, sans qu’on sache si elle est active par défaut. Le passif rend ces détails sensibles : une fonction Discover qui avait exposé des contenus d’autres utilisateurs, un chatbot d’assistance ayant servi à prendre le contrôle de plus de 20 000 comptes Instagram, un accord à 18 milliards de dollars conclu avec plusieurs États américains sur les dommages causés par les réseaux sociaux. Ce dernier a été signé moins de quinze jours avant le lancement.
Une architecture faite pour être recopiée
Muse démarre gratuitement pour la majorité des usages, avec deux formules payantes, Power à 20 dollars par mois et Maximum à 100 dollars, et un compteur d’utilisation visible dans l’application. Une carte bancaire est demandée dès l’inscription, ce qui en dit long sur le modèle économique visé : facturer l’action, pas la conversation.
Le schéma d’ensemble est pourtant plus instructif que le produit lui-même. Un environnement d’exécution jetable et isolé, un point de sortie unique, un contrôleur distinct de l’exécutant, un coffre de secrets hors de portée du modèle, des jetons de paiement à usage unique et un journal consultable : rien de tout cela n’est neuf en sécurité des systèmes, tout cela est neuf appliqué à un assistant grand public. La preuve viendra au premier incident public, quand le journal d’audit dira si cette architecture protégeait ou décorait.
Mon avis
Sentinel est la meilleure idée de sécurité qu’un grand acteur de l’IA ait sortie cette année, et elle vient de celui qu’on aurait cité en dernier. Séparer le surveillant du surveillé et n’ouvrir qu’une porte, c’est de l’ingénierie défensive banale, enfin appliquée à un agent que des millions de gens vont brancher sur leur vie privée. Ce qui me retient, c’est le calendrier : tant que la machine virtuelle chiffrée n’est pas livrée, on remplace une confiance envers un modèle par une confiance envers Meta, ce qui n’est pas le même contrat. Je surveillerai la date de livraison de ce chiffrement bien plus attentivement que les prochaines performances de l’agent.
