Muse de Meta es un agente de IA personal que quiere tus contraseñas y tus compras

Meta presentó Muse el 8 de septiembre de 2026, describiéndolo como un agente que no se limita a responder preguntas, sino que hace de verdad el trabajo: lee tu correo, reserva tus viajes, negocia tus facturas y, cuando se lo permites, compra cosas con tu dinero. Es el primer agente de IA personal de la compañía, y llega muy por detrás de rivales que llevan dos años lanzando productos agénticos tanto a consumidores como a programadores.

Lectura relacionada: Nvidia entra con 3.000 millones en la ampliación de capital de Meta y amplía la alianza con Muse · Amazon bloquea a Muse de Meta en sus compras y pone a prueba quién controla al agente de IA.

La propuesta de Meta es que construyó Muse desde cero para que fuera seguro, protegido y privado, y que los agentes personales requieren un nuevo tipo de ordenador seguro. La afirmación no es que Muse sea más listo que la competencia. Es que Muse es más seguro de confiar. Que los lectores lo acepten depende menos del diagrama de arquitectura que del historial de Meta, y de lo que los propios empleados de la empresa estaban informando internamente solo unos días antes del lanzamiento.

Qué lanzó realmente Meta

• Muse es un «proactive personal AI agent» que, según Meta, ayuda con objetivos y ofrece sugerencias por iniciativa propia; se construyó con el nombre en clave interno Hatch y funciona con la familia de modelos fundacionales Muse Spark de Meta Superintelligence Labs (Meta Newsroom; WIRED).
• Se ejecuta en «Muse Secure VM», una máquina virtual en la nube dedicada por usuario que alberga tanto al agente como los datos del usuario, aislada para que ningún agente de otro usuario pueda alcanzarla (Meta Newsroom).
• La disponibilidad comienza en Estados Unidos en iOS, Android y la web en muse.ai, y a través de WhatsApp. Meta dice que llegará a sus gafas de IA (Ray-Ban Meta) a finales de este año (TechCrunch; The Verge).
• Meta dice que el plan gratuito cubre las tareas cotidianas, con suscripciones de 20 dólares al mes («Power») y 100 dólares al mes («Maximum») para un uso más intenso. Se requiere una tarjeta de pago para registrarse, y la app incluye un medidor de uso que avisa a los usuarios antes de que el uso exija pagar (TechCrunch; CNBC).

Para una empresa cuya última gran plataforma de consumo se construyó sobre feeds y anuncios, Muse es un producto de otro tipo. Necesita acceso a los sistemas donde ocurre de verdad tu vida (correo, calendario, pagos, salud, compras, el hogar inteligente) para ser útil siquiera, que es exactamente lo que lo convierte en una prueba de confianza y no de funciones.

Cómo funciona el agente

El modelo de interacción es deliberadamente anodino: Meta dice que hablar con Muse funciona como enviar mensajes a una persona, en la app Muse o directamente dentro de WhatsApp. Los usuarios describen un objetivo, y Muse elabora un plan y luego lo avanza por su cuenta. Según Meta, puede abrir un navegador, rellenar formularios, enviar correos, reservar viajes, hacer compras en línea y negociar facturas en nombre del usuario (Meta Newsroom).

Los trabajos más largos siguen ejecutándose después de cerrar la app. Meta dice que Muse regresa cuando algo cambia o cuando necesita aprobación, por ejemplo antes de enviar un correo o hacer una compra. También recuerda detalles que los usuarios mencionan una sola vez y los usa para sugerencias no solicitadas, como convertir un reel de recetas guardado en una lista de la compra o recordar las restricciones alimentarias de un amigo antes de enviar invitaciones (Meta Newsroom).

En materia de pagos, Meta se asoció con Link, de Stripe. Meta dice que Muse es el primer agente de IA cubierto por las protecciones de compra de Link (cobertura para artículos dañados o perdidos, bajadas de precio, devoluciones sin comisiones y una garantía de devolución en compras elegibles) y que la cartera de agentes de Link genera una tarjeta de un solo uso para que los datos reales de la tarjeta del usuario permanezcan ocultos. El soporte de Shop Pay y 1Password está por llegar, según Meta (Meta Newsroom).

La arquitectura de seguridad, según la describe Meta

La decisión de diseño central de Meta es que el agente y las credenciales del usuario viven en dominios de seguridad distintos aunque compartan una máquina. Un agente «Sentinel» independiente se ejecuta en la misma VM pero se mantiene separado de Muse a nivel de sistema. Según Meta, nada de lo que hace Muse llega a internet a menos que Sentinel lo apruebe, y Sentinel pide permiso al usuario cuando es necesario (Meta AI Research).

El informe técnico de la compañía añade varios detalles concretos:

• Muse nunca ve contraseñas ni métodos de pago; las credenciales van a un almacenamiento seguro y se inyectan solo en el punto de necesidad.
• Los usuarios eligen a qué apps se conecta Muse y cuánto acceso tiene exactamente cada una, y pueden desconectar un servicio o cambiar el acceso en cualquier momento.
• Muse muestra un rastro de auditoría completo de lo que ha hecho y planea hacer, y pregunta antes de las acciones sensibles.
• Meta dice que Muse no comparte las conversaciones del usuario ni los datos de la VM con sus sistemas publicitarios, y los usuarios pueden pedirle que «olvide» cosas concretas.

Meta publicó un extenso artículo de ingeniería que describe primitivas de aislamiento, un guardián de salida basado en proxy y la «credential surrogation», por la que el modelo solo maneja tokens sustitutos que Sentinel cambia por credenciales reales en la frontera de la red (Meta AI Research).

Ese último detalle importa. La inyección de prompts (texto o imágenes no confiables que llevan a un agente a actuar contra su usuario) sigue siendo un problema sin resolver, y Meta lo reconoce. Su respuesta es la defensa en profundidad: entrenamiento del modelo, clasificadores de entrada, un navegador restringido que ve un árbol de accesibilidad en lugar de la página en bruto y la puerta de Sentinel. Meta también abre un programa público de recompensas por errores que paga hasta 300.000 dólares, incluidos hasta 130.000 por una inyección de prompt exitosa que afecte a un solo usuario (Meta AI Research).

La promesa de privacidad que Meta todavía no ha cumplido del todo

La VM «segura» del nombre de Muse está aislada, pero en el lanzamiento no es privada frente a Meta. El propio artículo de ingeniería de Meta dice que la arquitectura «restricts access to your data by Meta personnel through operational policies», pero «does not prevent Meta from accessing data when necessary to support, secure or operate the service» (Meta AI Research). WIRED informó de que, aunque una política prohíbe a Meta acceder a los datos de Muse de los usuarios, seguiría siendo técnicamente posible (WIRED).

Meta dice que planea una «Muse Confidential VM» para finales de este año, en la que toda la VM (datos y conversaciones) esté cifrada con una clave que solo posee el usuario, de modo que ni la propia Meta pueda acceder a ella. Meta dice que ya la está probando con un pequeño grupo de evaluadores de confianza y que ha empezado a poner el diseño y el código fuente a disposición de auditores externos (Meta Newsroom; Meta AI Research). Hasta que eso llegue y se audite de forma independiente, las garantías de privacidad se apoyan en políticas y en código que solo Meta opera actualmente.

Los datos de entrenamiento son otra pregunta abierta. Los usuarios pueden excluirse de que sus interacciones se usen para entrenar los modelos de Meta, pero CNBC informó de que excluirse no es lo predeterminado: los usuarios deben elegirlo activamente. Si no lo hacen, Meta dice que depura «critical personally identifying information» antes de usar las conversaciones para mejorar sus modelos, dijo Singleton a CNBC (CNBC). Meta dijo que la app no compartiría conversaciones ni datos de la VM con sus sistemas publicitarios, aunque su artículo técnico señala que, cuando Muse navega en tu nombre, esa navegación todavía puede influir indirectamente en los anuncios que ves (Meta AI Research).

El problema de la confianza y lo que encontró Reuters

Muse aterriza menos de dos semanas después de que Meta aceptara un enorme acuerdo multestatal (cifrado en unos 17.000 a 18.000 millones de dólares) con los fiscales generales por los daños de las redes sociales a los consumidores. Meta todavía afronta demandas relacionadas por lesiones personales y de distritos escolares. En ese contexto, pedir a los usuarios que conecten su correo, sus pagos y sus calendarios es una petición considerable (CNBC; TechCrunch).

Reuters, citando publicaciones internas de empleados de Meta que probaban la herramienta, informó de resultados desiguales aún en la semana del lanzamiento. Los empleados describieron casos en los que Muse se desconectaba sin explicación y subía información sensible sin permiso. Un empleado, que había pedido a Muse que vigilara entradas de venta rápida, informó de «many failure modes that made it unreliable»: el producto dejaba de actualizar una página tras unos 15 minutos, ignoraba errores en silencio y a veces desactivaba la vigilancia «for no apparent reason», según Reuters. Otro dijo que el agente fue lo bastante útil mientras planeaba una luna de miel de tres semanas en Indonesia como para convertirse en «the third participant» del viaje (Reuters; The Hindu/Reuters).

Meta no respondió a la petición de comentarios de Reuters sobre los incidentes concretos. La compañía ha dicho que pospuso el lanzamiento, previsto en un principio para abril, para reforzar las salvaguardas; Vishal Shah, vicepresidente de productos de IA de Meta, dijo a los periodistas que el trabajo adicional llevó el producto al nivel mínimo necesario de seguridad, privacidad y rendimiento del modelo (Mezha/Reuters).

Nada de esto significa que Muse vaya a fracasar. Significa que la brecha entre las salvaguardas documentadas de Meta y sus resultados de pruebas internas es lo que los lectores deberían sopesar.

Por qué Meta cree que aún puede ganar

La competencia es real. The Verge señaló que Muse es muy similar a un conjunto creciente de agentes (ChatGPT Work de OpenAI, Claude Cowork de Anthropic, Copilot Tasks de Microsoft y Gemini Spark de Google) y que Meta llega tarde a lanzar un agente personal de consumo (The Verge).

La ventaja de Meta, si tiene alguna, es la distribución y la facilidad de uso. Solo WhatsApp llega a miles de millones de personas, y Meta presenta Muse como usable nada más sacarlo de la caja, sin «no learning curve» (Meta Newsroom). Reuters describe Muse como la pieza central del plan del consejero delegado Mark Zuckerberg de ofrecer «personal superintelligence» a los miles de millones de personas que usan los servicios de Meta a diario (Reuters vía Khaleej Times; CNBC).

CNBC también informó de que Meta explora formas de monetizar el comercio impulsado por agentes, como quedarse con una parte de las transacciones de compra, aunque el jefe de IA, Alexandr Wang, dijo que no hay ningún plan concreto cerrado. Wang describió la app como algo que se ejecuta en «its own isolated environment» que «never sees your actual passwords or payment details and asks before doing anything sensitive» (CNBC).

La lógica estratégica es sencilla: si los agentes se convierten en la interfaz de internet, la empresa que suministra el agente (y el pago) captura un valor enorme. El precio es un nivel de acceso a datos personales que ningún producto anterior de Meta había requerido.

Qué hay que observar

• La Confidential VM. Meta dice que la versión totalmente cifrada, con claves en manos del usuario y auditorías de terceros, llegará a finales de este año. Conviene ver si llega según lo previsto y si auditores independientes confirman que Meta no puede acceder a los datos cifrados de la VM; la privacidad de la arquitectura actual se apoya en políticas, no en criptografía, según el propio artículo de Meta.
• Incidentes reales de usuarios. La arquitectura está diseñada para acotar el daño cuando el agente se equivoca. La prueba es qué ocurre cuando una compra, un correo o una reserva reales salen mal, y con qué rapidez responde Meta.
• El valor predeterminado del entrenamiento. Conviene confirmar si la exclusión del entrenamiento de modelos está activada o desactivada de forma predeterminada en las versiones distribuidas, y cómo se verifica la depuración de información personal identificable (CNBC).
• La señal del programa de recompensas. Cuántos hallazgos de inyección de prompts y de manejo de credenciales reporten los investigadores, y con qué rapidez se corrijan, será una medida más honesta de la seguridad de Muse que cualquier afirmación de márketing.
• Si la confianza es medible. El reciente acuerdo de Meta y sus demandas pendientes convierten a Muse en un experimento inusual: un producto cuyo éxito depende no solo de su capacidad, sino de convencer a usuarios escépticos de que las promesas de la compañía esta vez coinciden con sus prácticas.