Agente de IA Muse, da Meta, deu respostas contraditórias sobre acesso a mensagens

Resumo

• A Meta lançou uma versão para Mac do Muse, um assistente de IA capaz de agir dentro dos apps Files, Messages, Calendar, Notes e Mail do usuário, não apenas responder perguntas, segundo a TechCrunch.
• A Meta afirma que cada conexão a um app é opcional (opt-in) e que o Muse sempre pede confirmação antes de uma ação sensível, de acordo com a TechCrunch.
• Dias após o lançamento para Mac, um jornalista percebeu que o Muse fazia referência a uma troca de mensagens privada no Messages que, segundo ele, nunca autorizou o assistente a ver; ao perguntar como isso havia acontecido, o assistente deu duas respostas diferentes e inconsistentes, sem conseguir explicar o mecanismo, segundo o The Verge.
• Um executivo da Meta disse que a explicação do próprio Muse estava errada, e que o acesso ao Messages só ocorre depois que o usuário o ativa — mas nenhuma verificação externa e independente do que de fato aconteceu foi relatada, nota o The Verge.

O que aconteceu

A Meta lançou o Muse, um agente pessoal de IA projetado para executar tarefas nos apps de uma pessoa em vez de apenas conversar, em 8 de setembro de 2026, para iPhones e para a web, nos Estados Unidos. Em 18 de setembro, veio um app dedicado para computadores Mac que permite ao Muse operar dentro dos apps Files, Messages, Calendar, Notes e Mail do usuário, diretamente nesses aplicativos nativos, segundo a TechCrunch. A Meta disse à publicação que o acesso a cada app é concedido em regime opcional, controlado pelo usuário, e que o Muse sempre pedirá aprovação antes de realizar uma ação sensível.

Em seu próprio anúncio, a Meta descreveu várias salvaguardas incorporadas ao Muse: o assistente roda em um computador isolado na nuvem, mantido separado dos agentes de outros usuários, e a Meta afirma que “o Muse roda em seu próprio computador dedicado na nuvem, isolado, de modo que o agente de mais ninguém consegue alcançá-lo”. Um sistema de monitoramento separado, chamado Sentinel, supostamente controla tudo o que o Muse envia para a internet, e a Meta afirma que “nada do que o Muse faz chega à internet a menos que o Sentinel aprove, e ele pede permissão à pessoa quando necessário”. A Meta também diz que os usuários escolhem a quais apps e serviços o Muse se conecta, podem ajustar ou revogar esse acesso depois, e podem instruir o Muse a esquecer coisas específicas que aprendeu sobre eles.

Dias após o lançamento do app para Mac, o editor colaborador da Inc. Magazine Jason Aten publicou no Threads capturas de tela mostrando o Muse perguntando sobre uma conversa do app Messages dele que, segundo Aten, ele nunca autorizou o assistente a acessar, relatou o The Verge. Ao pressionar o assistente sobre como ele havia obtido esse conteúdo, o Muse primeiro respondeu: “Eu vi as prévias das notificações, não o histórico das suas mensagens. Eu não estive lendo seus textos”; depois, quando questionado novamente, disse: “Resposta honesta: não posso te dar os detalhes exatos de como isso funciona”. O The Verge relatou que essas foram duas explicações diferentes e inconsistentes, e que o Muse acabou sendo incapaz de descrever o próprio mecanismo.

David Singleton, da Meta Superintelligence Labs, disse ao The Verge que “[o Muse] não monitora notificações no seu Mac, mas sim sincroniza dados do Messages somente depois que o usuário ativa especificamente esse acesso”, e que “quando o Muse disse que sincronizava ‘notificações do dispositivo’, ele estava confuso sobre como explicar o recurso e deu uma explicação incorreta”.

O que isso significa (e o que não significa)

O episódio mostra que o Muse pode dar ao usuário um relato errado e autocontraditório de como obteve informações sobre ele — um problema real para um produto que pretende ter acesso confiável a mensagens, notas e arquivos privados. A própria explicação da Meta, de que o acesso subjacente exigia opt-in prévio do usuário, significaria que nenhum acesso não autorizado ocorreu; o que teria acontecido, segundo a Meta, é que o assistente descreveu incorretamente o próprio funcionamento, segundo o The Verge.

Essa distinção importa, mas o dossiê não permite resolvê-la de forma independente: nenhuma verificação técnica externa das capturas de tela de Aten ou do recurso de sincronização de notificações do Muse foi relatada, então se o acesso às mensagens ocorreu exatamente como a Meta descreve, ou por alguma outra via, não está estabelecido em nenhum dos dois sentidos.

Também seria um exagero interpretar isso como prova de que o Muse acessa dados rotineiramente sem consentimento, ou de que suas outras salvaguardas — o computador isolado na nuvem, o sistema de aprovação Sentinel, o opt-in por aplicativo e a opção de recusar que as conversas sejam usadas para treinar IA — não funcionam como descrito. Esses mecanismos vêm do próprio anúncio da Meta e são afirmações separadas do incidente das mensagens; nada no dossiê os testa diretamente.

O que ainda não sabemos

A garantia de privacidade mais forte da Meta — a de que nem mesmo a própria Meta conseguiria acessar os dados dentro da máquina virtual do Muse de um usuário — é declarada apenas para uma futura versão de computação confidencial dessa máquina, criptografada com uma chave que só o usuário possui; a Meta diz que essa versão ainda está por vir. Se a própria Meta consegue hoje acessar os dados de Messages, Calendar, Notes, Mail ou arquivos sincronizados de um usuário na versão atual, não confidencial, isso não é abordado por nenhuma fonte deste dossiê, que só descarta o compartilhamento desses dados com os sistemas de publicidade da Meta.

Restam várias outras lacunas. Nenhuma fonte descreve se o Muse consegue acessar o Photos no Mac. Nenhuma trata se os termos de privacidade que cobrem os dados manipulados pelo Muse diferem das políticas já existentes da Meta para Facebook, Instagram ou WhatsApp. Nenhuma especifica por quanto tempo o Muse retém o conteúdo sincronizado de Messages, Calendar, Notes, Mail ou arquivos, ou onde exatamente esses dados são armazenados, além da descrição geral de uma máquina virtual baseada em nuvem. E nenhuma fonte detalha o escopo completo da permissão de acesso total ao disco no macOS que o app Muse solicita, o que deixa incerto o que mais, além dos apps citados, ele poderia tecnicamente alcançar uma vez concedida. Mais importante: nenhuma auditoria técnica independente reproduziu ou confirmou o mecanismo de prévia de notificações que as capturas de tela de Aten inicialmente sugeriam, de modo que o único relato do que aconteceu, além de uma troca de capturas de tela contestada, vem, por ora, da própria Meta.