Metas Muse ist ein persönlicher KI-Agent, der Ihre Passwörter und Ihre Einkäufe will

Meta stellte Muse am 8. September 2026 vor und beschrieb ihn als einen Agenten, der nicht nur Fragen beantwortet, sondern tatsächlich die Arbeit erledigt: Ihre Post lesen, Ihre Reisen buchen, Ihre Rechnungen verhandeln und, wenn Sie es zulassen, mit Ihrem Geld Dinge kaufen. Es ist der erste persönliche KI-Agent des Unternehmens, und er kommt deutlich hinter Konkurrenten, die zwei Jahre damit verbracht haben, agentische Produkte sowohl für Verbraucher als auch für Entwickler auszuliefern.

Zum Weiterlesen: Nvidia steckt 3 Milliarden Dollar in Metas Aktienverkauf und weitet die Muse-Partnerschaft aus · Amazon blockiert Metas Muse beim Einkaufen und testet, wer den KI-Agenten steuert.

Metas Versprechen ist, dass Muse von Grund auf sicher, geschützt und privat gebaut wurde – und dass eine neue Art von sicherem Computer das ist, was persönliche Agenten erfordern. Die Behauptung ist nicht, dass Muse klüger ist als die Konkurrenz. Sie lautet, dass Muse sicherer zu vertrauen ist. Ob Leser das akzeptieren, hängt weniger vom Architekturdiagramm als von Metas Bilanz ab – und davon, was die eigenen Mitarbeiter des Unternehmens nur wenige Tage vor dem Start intern berichteten.

Was Meta tatsächlich gestartet hat

• Muse ist ein „proactive personal AI agent“, der laut Meta bei Zielen hilft und Vorschläge von sich aus macht, unter dem internen Codenamen Hatch entwickelt und angetrieben von der Muse-Spark-Familie von Foundation-Modellen aus den Meta Superintelligence Labs (Meta Newsroom; WIRED).
• Er läuft auf „Muse Secure VM“, einer dedizierten Cloud-VM pro Nutzer, die sowohl den Agenten als auch die Daten des Nutzers beherbergt und so isoliert ist, dass der Agent keines anderen Nutzers darauf zugreifen kann (Meta Newsroom).
• Die Verfügbarkeit beginnt in den Vereinigten Staaten auf iOS, Android und im Web unter muse.ai sowie über WhatsApp. Meta sagt, sie komme später in diesem Jahr auf seine KI-Brillen – Ray-Ban Meta (TechCrunch; The Verge).
• Meta sagt, der kostenlose Tarif decke alltägliche Aufgaben ab, mit Abonnements zu 20 US-Dollar/Monat („Power“) und 100 US-Dollar/Monat („Maximum“) für intensivere Nutzung. Zur Anmeldung ist eine Zahlungskarte erforderlich, und die App enthält einen Nutzungsanzeiger, der Nutzer warnt, bevor die Nutzung kostenpflichtig wird (TechCrunch; CNBC).

Für ein Unternehmen, dessen letzte große Verbraucherplattform auf Feeds und Werbung gebaut war, ist Muse ein andersartiges Produkt. Es braucht Zugang zu den Systemen, in denen Ihr Leben tatsächlich stattfindet – E-Mail, Kalender, Zahlungen, Gesundheit, Einkaufen, das Smart Home –, um überhaupt nützlich zu sein, und genau das macht es zu einem Vertrauenstest statt zu einem Funktionstest.

Wie der Agent funktioniert

Das Interaktionsmodell ist bewusst unspektakulär: Meta sagt, mit Muse zu sprechen funktioniere wie das Nachrichten an eine Person, in der Muse-App oder direkt in WhatsApp. Nutzer beschreiben ein Ziel, und Muse entwickelt einen Plan und treibt ihn dann selbst voran. Laut Meta kann er einen Browser öffnen, Formulare ausfüllen, E-Mails senden, Reisen buchen, Online-Einkäufe tätigen und im Namen eines Nutzers Rechnungen verhandeln (Meta Newsroom).

Längere Aufträge laufen weiter, nachdem die App geschlossen wurde. Meta sagt, Muse melde sich zurück, wenn sich etwas ändert oder wenn er eine Genehmigung braucht – etwa bevor er eine E-Mail sendet oder einen Kauf tätigt. Er merkt sich zudem Details, die Nutzer einmal erwähnen, und nutzt sie für unaufgeforderte Vorschläge, etwa um ein gespeichertes Rezept-Reel in eine Einkaufsliste zu verwandeln oder sich vor dem Versenden von Einladungen an die Ernährungseinschränkungen eines Freundes zu erinnern (Meta Newsroom).

Bei Zahlungen hat Meta mit Stripes Link zusammengearbeitet. Meta sagt, Muse sei der erste KI-Agent, der unter Links Kaufsicherungen fällt – Abdeckung für beschädigte oder verlorene Artikel, Preisstürze, gebührenfreie Rücksendungen und eine Rückgabegarantie bei berechtigten Käufen –, und Links Agenten-Wallet erzeuge eine Einwegkarte, sodass die echten Kartendaten eines Nutzers verborgen bleiben. Shop Pay und 1Password sollen laut Meta folgen (Meta Newsroom).

Die Sicherheitsarchitektur, wie Meta sie beschreibt

Metas zentrale Designentscheidung ist, dass der Agent und die Zugangsdaten des Nutzers in unterschiedlichen Sicherheitsdomänen leben, auch wenn sie sich eine Maschine teilen. Ein separater „Sentinel“-Agent läuft auf derselben VM, wird aber auf Systemebene von Muse getrennt gehalten. Nach Metas Darstellung erreicht nichts, was Muse tut, das Internet, es sei denn, Sentinel genehmigt es, und Sentinel fragt den Nutzer bei Bedarf um Erlaubnis (Meta AI Research).

Die technische Ausarbeitung des Unternehmens ergänzt mehrere Details:

• Muse sieht niemals Passwörter oder Zahlungsmethoden; Zugangsdaten landen in einem sicheren Speicher und werden nur zum Zeitpunkt des Bedarfs eingespeist.
• Nutzer wählen aus, mit welchen Apps Muse sich verbindet und wie viel Zugriff jede genau erhält, und können einen Dienst jederzeit trennen oder den Zugriff ändern.
• Muse zeigt einen vollständigen Prüfpfad dessen, was er getan hat und zu tun plant, und fragt vor sensiblen Aktionen nach.
• Meta sagt, Muse teile die Gespräche oder VM-Daten eines Nutzers nicht mit seinen Werbesystemen, und Nutzer könnten ihm sagen, bestimmte Dinge zu „vergessen“.

Meta veröffentlichte einen langen Engineering-Beitrag, der Isolationsprimitive, einen proxybasierten Ausgangs-Gatekeeper und „credential surrogation“ beschreibt, bei der das Modell stets nur Surrogat-Tokens handhabt, die Sentinel an der Netzgrenze gegen echte Zugangsdaten tauscht (Meta AI Research).

Dieses letzte Detail ist wichtig. Prompt-Injection – nicht vertrauenswürdiger Text oder Bilder, die einen Agenten dazu bringen, gegen seinen Nutzer zu handeln – bleibt ein ungelöstes Problem, und Meta räumt das ein. Seine Antwort ist Tiefenverteidigung: Modelltraining, Eingabe-Klassifikatoren, ein eingeschränkter Browser, der einen Accessibility-Baum statt der rohen Seite sieht, und das Sentinel-Gate. Meta öffnet zudem ein öffentliches Bug-Bounty-Programm, das bis zu 300.000 US-Dollar zahlt, darunter bis zu 130.000 US-Dollar für eine erfolgreiche Prompt-Injection, die einen einzelnen Nutzer betrifft (Meta AI Research).

Das Privatheitsversprechen, das Meta noch nicht vollständig eingelöst hat

Die „sichere“ VM im Namen von Muse ist isoliert, aber sie ist beim Start nicht privat vor Meta. Metas eigener Engineering-Beitrag sagt, die Architektur „restricts access to your data by Meta personnel through operational policies“, aber „does not prevent Meta from accessing data when necessary to support, secure or operate the service“ (Meta AI Research). WIRED berichtete, dass es Meta zwar per Richtlinie untersagt ist, auf Muse-Nutzerdaten zuzugreifen, dies aber technisch weiterhin möglich wäre (WIRED).

Meta sagt, es plane für später in diesem Jahr eine „Muse Confidential VM“, bei der die gesamte VM – Daten und Gespräche – mit einem Schlüssel verschlüsselt ist, den nur der Nutzer hält, sodass nicht einmal Meta darauf zugreifen kann. Meta sagt, es teste sie bereits mit einer kleinen Gruppe vertrauenswürdiger Tester und habe begonnen, das Design und den Quellcode externen Auditoren zur Verfügung zu stellen (Meta Newsroom; Meta AI Research). Bis sie ausgeliefert und unabhängig geprüft ist, ruhen die Privatheitsgarantien auf Richtlinien und Code, die derzeit nur Meta betreibt.

Ein weiteres offenes Thema sind die Trainingsdaten. Nutzer können der Verwendung ihrer Interaktionen zum Trainieren von Metas Modellen widersprechen, doch CNBC berichtete, dass der Widerspruch nicht die Standardeinstellung ist: Nutzer müssen ihn aktiv wählen. Tun sie das nicht, sagt Meta, entferne es „critical personally identifying information“, bevor Gespräche zur Verbesserung seiner Modelle genutzt werden, so Singleton gegenüber CNBC (CNBC). Meta sagte, die App werde Gespräche oder VM-Daten nicht mit seinen Werbesystemen teilen, wobei sein technischer Beitrag anmerkt, dass dieses Surfen, wenn Muse in Ihrem Namen browst, dennoch indirekt beeinflussen könne, welche Werbung Sie sehen (Meta AI Research).

Das Vertrauensproblem und was Reuters fand

Muse erscheint weniger als zwei Wochen, nachdem Meta einem massiven Vergleich mit mehreren Bundesstaaten – berichtet auf rund 17–18 Milliarden US-Dollar – mit Generalstaatsanwälten wegen Schäden sozialer Medien für Verbraucher zugestimmt hat. Meta sieht sich weiterhin damit zusammenhängenden Klagen wegen Personenschäden und von Schulbezirken gegenüber. In diesem Kontext ist es ein erhebliches Ansinnen, Nutzer zu bitten, ihre E-Mails, Zahlungen und Kalender zu verbinden (CNBC; TechCrunch).

Reuters berichtete unter Berufung auf interne Beiträge von Meta-Mitarbeitern, die das Tool testeten, noch in der Startwoche von gemischten Ergebnissen. Mitarbeiter beschrieben Fälle, in denen Muse sich ohne Erklärung trennte und sensible Informationen ohne Erlaubnis hochlud. Ein Mitarbeiter, der Muse gebeten hatte, nach schnell verkauften Tickets Ausschau zu halten, berichtete von „many failure modes that made it unreliable“: Das Produkt habe nach etwa 15 Minuten aufgehört, eine Seite zu aktualisieren, Fehler stillschweigend ignoriert und die Überwachung zeitweise „for no apparent reason“ abgeschaltet, so Reuters. Ein anderer sagte, der Agent sei bei der Planung einer dreiwöchigen Flitterwochenreise nach Indonesien nützlich genug gewesen, um „the third participant“ der Reise zu werden (Reuters; The Hindu/Reuters).

Meta reagierte nicht auf Reuters' Bitte um eine Stellungnahme zu den konkreten Vorfällen. Das Unternehmen hat erklärt, es habe den ursprünglich für April erwarteten Start verschoben, um die Schutzmaßnahmen zu stärken; Vishal Shah, Metas Vice President of AI Products, sagte Reportern, die zusätzliche Arbeit habe das Produkt auf das minimal notwendige Niveau an Sicherheit, Privatheit und Modellleistung gebracht (Mezha/Reuters).

Nichts davon bedeutet, dass Muse scheitern wird. Es bedeutet, dass die Lücke zwischen Metas dokumentierten Schutzmaßnahmen und seinen internen Testergebnissen die Geschichte ist, die Leser abwägen sollten.

Warum Meta glaubt, trotzdem gewinnen zu können

Der Wettbewerb ist real. The Verge merkte an, dass Muse einer wachsenden Schar von Agenten sehr ähnlich sei – OpenAIs ChatGPT Work, Anthropics Claude Cowork, Microsofts Copilot Tasks und Googles Gemini Spark –, und dass Meta beim Ausliefern eines persönlichen Verbraucher-Agenten spät dran ist (The Verge).

Metas Vorteil, falls es einen gibt, ist die Verbreitung und die einfache Nutzung. Allein WhatsApp erreicht Milliarden von Menschen, und Meta präsentiert Muse als sofort einsatzbereit ohne „no learning curve“ (Meta Newsroom). Reuters beschreibt Muse als Kernstück von CEO Mark Zuckerbergs Plan, „personal superintelligence“ für die Milliarden von Menschen bereitzustellen, die Metas Dienste täglich nutzen (Reuters via Khaleej Times; CNBC).

CNBC berichtete außerdem, dass Meta Wege prüft, agentengesteuerten Handel zu monetarisieren, etwa einen Anteil an Einkaufstransaktionen zu nehmen, wobei AI-Chef Alexandr Wang sagte, es sei kein konkreter Plan beschlossen. Wang beschrieb die App als in „its own isolated environment“ laufend, die „never sees your actual passwords or payment details and asks before doing anything sensitive“ (CNBC).

Die strategische Logik ist einfach: Wenn Agenten zur Schnittstelle zum Internet werden, erfasst das Unternehmen, das den Agenten – und den Checkout – liefert, enormen Wert. Der Preis ist ein Maß an Zugriff auf persönliche Daten, das kein früheres Meta-Produkt verlangt hat.

Was zu beobachten ist

• Die Confidential VM. Meta sagt, die vollständig verschlüsselte Version mit nutzereigenen Schlüsseln und Drittanbieter-Audits komme später in diesem Jahr. Beobachten Sie, ob sie planmäßig erscheint und ob unabhängige Auditoren bestätigen, dass Meta nicht auf verschlüsselte VM-Daten zugreifen kann – die Privatheit der aktuellen Architektur ruht Metas eigenem Beitrag zufolge auf Richtlinien, nicht auf Kryptografie.
• Reale Nutzervorfälle. Die Architektur ist darauf ausgelegt, Schaden zu begrenzen, wenn der Agent sich irrt. Der Test ist, was passiert, wenn ein echter Kauf, eine E-Mail oder eine Reservierung schiefgeht, und wie schnell Meta reagiert.
• Die Trainings-Standardeinstellung. Bestätigen Sie, ob der Widerspruch gegen Modelltraining in ausgelieferten Builds standardmäßig an oder aus ist und wie die Bereinigung personenbezogener Informationen verifiziert wird (CNBC).
• Das Signal des Bug-Bounty-Programms. Wie viele Prompt-Injection- und Credential-Handling-Funde Forscher melden – und wie schnell sie behoben werden –, wird ein ehrlicheres Maß für Muses Sicherheit sein als jede Marketingbehauptung.
• Ob Vertrauen messbar ist. Metas jüngster Vergleich und die anhängigen Klagen machen Muse zu einem ungewöhnlichen Experiment: ein Produkt, dessen Erfolg nicht allein von der Fähigkeit abhängt, sondern davon, skeptische Nutzer davon zu überzeugen, dass die Versprechen des Unternehmens diesmal zur Praxis passen.