Meta a lancé Muse aujourd'hui, un agent personnel que Meta dit développer et utiliser elle-même « depuis début 2026 », décrivant les premières lueurs d'une « véritable superintelligence personnelle » — un agent qui « vous connaît, accomplit réellement des choses, travaille en arrière-plan, déploie des essaims de sous-agents, construit ses propres outils, et se modifie lui-même ». Chaque utilisateur reçoit une VM cloud dédiée où vit Muse, des connecteurs vers la messagerie et d'autres services, un vrai navigateur Chromium que Muse peut piloter, et un portefeuille pour des identifiants de paiement à usage unique. Meta ouvre un programme public de primes aux bugs dès le lancement, payant jusqu'à 300 000 $ pour les signalements valides et jusqu'à 130 000 $ spécifiquement pour une injection de prompt réussie affectant un seul utilisateur.
L'architecture de sécurité est réellement détaillée, et mérite d'être créditée comme telle
La plupart des billets de lancement d'agents évoquent la « sécurité » en un paragraphe. Celui de Meta se déploie en un document système complet, avec des précisions suffisamment réelles pour être évaluées plutôt que simplement crues sur parole. Le harnais principal tourne dans un conteneur systemd-nspawn avec un root mappé vers un utilisateur hôte non privilégié, des appels système filtrés, et des capacités noyau limitées. Les fonctions sensibles pour la sécurité vivent entièrement en dehors de ce conteneur, comme des unités systemd séparées : hatch-authd gère le stockage des identifiants et ne fournit à l'agent que des jetons « de substitution » plutôt que les jetons réels, échangés contre le véritable identifiant seulement à la frontière réseau par un processus appelé Sentinel — l'unique autorité sur les actions des connecteurs et le trafic sortant, que l'agent lui-même ne peut pas outrepasser. Une technique que Meta appelle « trafic sortant marqué » utilise des programmes eBPF attachés à des points d'ancrage Linux Security Module pour suivre quels processus ont touché aux données utilisateur, rétrogradant tout ce qui est marqué hors d'une politique d'autorisation automatique et vers un flux d'approbation humaine. Le sous-agent navigateur ne voit qu'un instantané de l'arbre d'accessibilité de chaque page, pas le DOM brut, ne peut pas exécuter de JavaScript, et est entièrement mis en pause dès qu'un humain reprend la main. Meta nomme directement le cadre du « trifecta mortel » de Simon Willison et construit sa défense en profondeur explicitement autour de lui. Rien de tout cela n'est un langage marketing — c'est suffisamment précis pour qu'un chercheur en sécurité puisse réellement essayer de le casser, ce qui est vraisemblablement l'objet de l'ouverture du programme de primes le jour même.
Le modèle qui fait le travail est celui que ce blog avait déjà trouvé exclu sur exactement ce type de tâche
Muse tourne sur Muse Spark 1.3, et le billet de Meta ne fait qu'une seule affirmation de capacité directe sur ce modèle : « Muse Spark 1.3 est proche de l'état de l'art » pour reconnaître et résister à l'injection de prompt — affirmé sans nom de benchmark, sans score, sans comparaison externe. C'est le même schéma d'auto-évaluation et de superlatif non étayé que ce blog a relevé dans les publications d'autres laboratoires ce mois-ci, et il mérite d'être nommé ici aussi. Mais il existe une tension plus précise et plus pointue à soulever, car ce blog avait déjà vérifié les chiffres des propres benchmarks de lancement de Muse Spark 1.3 : face à Claude Opus 5 et GPT-5.6 Sol, sur le propre tableau comparatif publié par Meta, Muse Spark 1.3 n'avait remporté aucune des six catégories de benchmarks « Agent » — Claude Opus 5 l'emportait sur GDPval-AA v2, la performance en travail de connaissance (1824 contre 1754), JobBench, l'usage professionnel d'outils (65,7 contre 64,9), OSWorld 2.0, l'usage agentique d'ordinateur (68,3 contre 66,9), et AutomationBench, les flux de travail métier de bout en bout (50,3 contre 49,4) ; GPT-5.6 Sol l'emportait sur DeepSearchQA, la navigation agentique (93,0 contre 89,4), et le propre indice interne de Meta pour le suivi d'instructions agentiques, l'Agentic IF Index (60,5 contre 57,8). Relisez cette liste de catégories à la lumière de ce que Muse est censé réellement faire : piloter un navigateur, utiliser des outils en votre nom, exécuter des flux de travail de type métier comme la prise de rendez-vous et les achats, suivre fidèlement des instructions agentiques longues. Cela correspond presque exactement, catégorie par catégorie, aux benchmarks que Muse Spark 1.3 avait nettement perdus, dans les propres chiffres de Meta, quelques semaines avant de devenir le modèle responsable d'un produit ayant accès à votre messagerie, votre agenda et vos identifiants de paiement. L'architecture de sécurité de Meta est conçue pour limiter les dégâts quand le modèle se trompe ; cette architecture compte d'autant plus, et non moins, au vu de ce que les propres benchmarks de lancement du modèle montraient déjà sur la fréquence à laquelle cela pourrait arriver, spécifiquement sur les tâches agentiques.
Ce que « vos données » ne signifie pas encore tout à fait
Le cadrage du billet — « votre ordinateur, vos données » — s'accompagne d'une réserve déterminante deux sections plus loin : l'architecture actuelle « restreint l'accès à vos données par le personnel de Meta via des politiques opérationnelles », mais « n'empêche pas Meta d'accéder aux données lorsque cela est nécessaire pour assister, sécuriser ou faire fonctionner le service ». La véritable promesse que Meta soit incapable d'accéder aux données utilisateur est rattachée à Muse Confidential VM, qui n'est pas disponible aujourd'hui — elle est en test avec « un petit groupe de testeurs de confiance », la conception et le code source ne sont que maintenant soumis à des auditeurs externes, et le propre calendrier de Meta évoque « plus tard cette année ». L'architecture de confidentialité dont les gens liront parler aujourd'hui est l'actuelle, où Meta conserve un accès opérationnel ; la version garantie cryptographiquement est une promesse sans date de sortie publique pour l'instant. Séparément, Meta affirme clairement que Muse « ne partage pas vos conversations ni les données de votre machine virtuelle avec les systèmes publicitaires de Meta » — vrai tel qu'énoncé, mais le même paragraphe concède que la navigation de Muse sur le web « apparaîtra comme votre propre activité », de sorte qu'un site que Muse visite en votre nom peut vous recibler avec des publicités ailleurs, et qu'une réservation de restaurant ou un achat sur Marketplace géré par Muse « peut aussi influencer indirectement les publicités que vous voyez ». C'est une distinction réelle, divulguée, entre « nous ne partageons pas vos données avec nos systèmes publicitaires » et « utiliser ce produit n'affectera pas les publicités que vous voyez » — et c'est le propre billet de Meta qui la trace, ce qui mérite d'être crédité même si le mécanisme sous-jacent mérite d'être signalé clairement.
Le programme de primes aux bugs est l'affirmation la plus vérifiable de tout le billet
Contrairement à la ligne « proche de l'état de l'art », le programme de primes est un engagement précis et falsifiable : jusqu'à 300 000 $ pour les signalements valides, jusqu'à 130 000 $ pour une injection de prompt affectant avec succès un utilisateur, et il est ouvert au public à partir d'aujourd'hui plutôt que restreint au programme privé de chercheurs déjà existant chez Meta. Ce programme fonctionnait apparemment déjà « tout au long de l'année » sous forme privée, ce qui signifie que le lancement d'aujourd'hui est la première fois que le système affronte une pression adverse publique et ouverte à grande échelle, plutôt qu'un ensemble restreint de testeurs invités — un test sensiblement différent et plus difficile que ce que suggère à lui seul le « durci sur la base d'un dogfooding extensif ».
À surveiller
- Les résultats réels du programme public de primes aux bugs. Un programme précis et chiffré en dollars est la rare affirmation de sécurité IA qui produit son propre tableau de résultats ; la rapidité avec laquelle des chercheurs trouveront une injection de prompt du niveau 130 000 $ est un signal réel que la seule description architecturale ne peut pas fournir.
- La publication d'un benchmark derrière le « proche de l'état de l'art » sur la résistance à l'injection de prompt. Chaque autre affirmation de capacité dans les récentes sorties de Muse Spark de Meta s'est accompagnée d'un chiffre ; celle-ci, dans un lancement critique pour la sécurité, ne l'a pas encore fait.
- Si un futur point de contrôle de Muse Spark remporte réellement des benchmarks agentiques, pas seulement réduit l'écart. Un agent personnel construit sur un modèle qui perd actuellement chaque comparaison de catégorie « agent » face à ses rivaux est une affirmation précise et vérifiable sur la question de savoir si le modèle sous-jacent rattrape le produit construit dessus.
- La date de sortie réelle et les résultats d'audit de Muse Confidential VM, puisque c'est la version de la promesse de confidentialité que Meta ne rend effective que « plus tard cette année », plutôt que dès aujourd'hui.