- Meta ha lanciato Muse, un agente AI consumer che gestisce email, acquisti e pagamenti, superando ChatGPT in download nei primi 13 giorni.
- L'architettura Secure VM e il Sentinel separato promettono privacy, ma la cifratura completa (Confidential VM) è solo promessa per fine anno.
- La diffidenza degli utenti verso il modello di business basato sugli ads resta l'ostacolo principale all'adozione massiva di Muse.
Meta ha lanciato Muse, un agente AI personale che gestisce email, acquisti e pagamenti, rubando la scena a OpenAI e Anthropic durante il Meta Connect del 23 settembre 2026. Mentre i concorrenti spingono su strumenti enterprise e coding, Meta scommette tutto sul consumatore, con un approccio che ricorda i vecchi gadget Tamagotchi ma con ambizioni da superintelligenza.
Il lancio ha funzionato sul piano della curiosità: 2,5 milioni di download nei primi 13 giorni, superando ChatGPT in cima alle classifiche iOS USA secondo i dati di Sensor Tower. Eppure, come emerge dalle discussioni degli analisti di TechCrunch, la vera domanda non è se Muse sia tecnicamente capace, ma se gli utenti siano disposti a fidarsi di Meta con i propri dati sensibili.
Perché Meta ha scelto il mercato consumer quando tutti fanno enterprise?
OpenAI e Anthropic stanno spingendo verso le aziende perché devono monetizzare prima di eventuali quotazioni in borsa e i costi di sviluppo sono enormi. Meta, al contrario, ha già una base di utenti enorme su Facebook, Instagram e WhatsApp e sa come integrarsi nella vita quotidiana delle persone. Muse è un’estensione naturale di questa forza: un agente che non chiede all’utente di imparare un nuovo workflow, ma si inserisce nelle abitudini esistenti.
Se quindi OpenAI e Anthropic occupano lo spazio enterprise, Meta occupa quello consumer. Non è una mossa casuale, ma una scelta che sfrutta l’infrastruttura sociale già costruita. Muse Spark, il modello che alimenta Muse, è progettato per azioni reali: aprire browser, compilare moduli, negoziare in nome dell’utente. Non è un chatbot, è un agente che continua a lavorare anche quando chiudi l’app.
Quanto è davvero privata l’architettura Secure VM di Muse?
Meta ha costruito Muse Secure VM, una macchina virtuale dedicata per ogni utente, isolata nel cloud. Muse vive lì, insieme alle credenziali dei servizi collegati. Un secondo programma separato, chiamato Sentinel, controlla tutto ciò che Muse può fare: niente raggiunge internet senza il suo permesso. Meta assicura che Muse non vede mai password o dati della carta di credito, che restano in uno storage separato.
Il pagamento avviene tramite Link by Stripe, con carte usa-e-getta che nascondono i dati reali. Meta promette anche Muse Confidential VM entro fine anno: una versione dove l’intera macchina, dati e conversazioni inclusi, è cifrata con una chiave che solo l’utente possiede, così che nemmeno Meta possa accedere. Ma quella versione non esiste ancora. Oggi l’utente deve fidarsi della policy aziendale, non della crittografia.
Il test di Sean O’Kane: party trick o strumento quotidiano?
Sean O’Kane di TechCrunch ha provato Muse per due settimane. La prima cosa che ha fatto è stato il suggerimento dell’agente: “Scansiono se hai fondi non reclamati a tuo nome”. Ha trovato soldi, un assegno in arrivo. Ma quel servizio è una tantum, non un uso ripetibile. “È più un party-trick che una funzione che guida un utilizzo continuo”, ha commentato O’Kane.
“Meta’s business is to sell you ads. And yes, they’ll make the argument that the more they know about you, the more accurate and interesting the ads will be — wake me up when we get to that fever dream.”
La funzione più utile di Muse, quella che Meta spinge, è collegare carte di credito, Gmail e servizi finanziari per cancellare abbonamenti inutili o identificare doppi addebiti. Ma qui si scontra con il muro della fiducia. O’Kane ha notato che Muse, al primo avvio, non ha subito collegato Threads, Instagram o Facebook come si aspettava. Questo lo ha reso più disposto a usarlo, perché non sembrava che Meta avesse già tutto su di lui. Ma usando Muse, l’agente cerca di trascinare quei dati nel sistema, e la diffidenza torna.
Limiti pratici: Amazon blocca, CNN trova ristoranti chiusi
Muse non è infallibile. Amazon ha bloccato Muse dal suo store, dicendo che l’accesso non autorizzato viola le condizioni d’uso. Target ha permesso la navigazione ma bloccato i click automatici al checkout. CNN ha testato Muse e ha trovato che suggeriva ristoranti chiusi da anni. Meta ha risposto che Muse funziona entro i parametri che l’utente imposta.
Il blocco di Amazon è il problema più grande: Muse compra bene dove i retailer sono connector ufficiali (Shopify, Walmart, Best Buy, Sephora), ma fuori da quell’ecosistema è bloccato. Questo significa che Muse è potente solo dentro un recinto partner, non ovunque. La promessa di un agente che fa tutto si scontra con le barriere commerciali dei grandi retailer.
Il modello di business: non ads, ma commissioni
Zuckerberg ha dichiarato che Meta vuole guadagnare con Muse “prendendo una piccola commissione dalle transazioni”, non con gli ads. Il free tier è generoso (100 milioni di token a settimana), ma Muse chiede una carta di credito anche per iniziare gratis. Il business model è un cut su ciò che Muse compra per te. È un cambio di paradigma, ma non elimina la diffidenza: Meta sta comunque chiedendo accesso a dati sensibili per costruire un flusso di commissioni.
La Muse Confidential VM, promessa per fine 2026, è il vero test: se Meta mantiene la promessa di cifrare tutto con chiavi che solo l’utente possiede, il muro della fiducia tecnica crolla. Se slitta o non arriva, Meta resta un’azienda che chiede dati sensibili con una policy come garanzia, non con la crittografia. E i prossimi mesi, con le decisioni di Amazon e altri retailer sull’accesso agli agenti AI, definiranno se Muse può essere un agente universale o solo un connettore partner.
La falla di Wardle e il vero confine della sicurezza
La promessa di Meta ha incassato un colpo preciso prima ancora di consolidarsi. Patrick Wardle, fondatore di Objective-See ed ex analista di NASA e NSA, ha pubblicato il 21 settembre una proof of concept contro il client Mac di Muse: un’impostazione non documentata, chiamata endo_voyager_dictation_endpoint, permette a un processo locale non privilegiato di dirottare i prompt dettati verso un server controllato dall’attaccante, intercettando audio, istruzioni e materiale di autenticazione.
Da lì il codice interroga l’inventario dei dispositivi collegati allo stesso account e può comandare un iPhone online, ottenendone la posizione e avviando una scansione Bluetooth nelle vicinanze. Non serve violare la Secure VM nel cloud: basta corrompere il client che porta già l’identità e i permessi dell’utente. L’isolamento del cloud non protegge quando il punto d’ingresso è il software installato sul computer.
Meta ha aperto un bug bounty pubblico al lancio, con compensi fino a 300.000 dollari per le segnalazioni qualificate e fino a 130.000 dollari per gli attacchi di prompt injection riusciti contro un singolo utente. Il focus dichiarato è proprio l’iniezione di prompt, l’isolamento delle credenziali e gli attacchi all’agente cloud, un perimetro che richiama da vicino i rischi già documentati quando gli agenti di OpenAI e Anthropic hanno tentato di creare identità false per manipolare un maintainer open source.
David Singleton, vicepresidente dell’ingegneria per i prodotti consumer nei Superintelligence Labs ed ex CTO di Stripe, ha ammesso che Meta potrebbe tecnicamente accedere ai dati nella Secure VM, pur essendone vietata dalla policy. La fiducia, in questo quadro, non è un sentimento ma un contratto binario che si attiva solo quando la crittografia end-to-end sarà davvero operativa.
Confidential VM: come funziona
La Muse Confidential VM è l’oggetto su cui Meta ha concentrato tutto il suo capitale reputazionale. L’architettura è co-progettata con Moxie Marlinspike, il creatore di Signal, reclutato personalmente da Zuckerberg insieme a Nat Friedman: ogni VM gira in un ambiente di esecuzione fidato, i dati e le conversazioni sono cifrati con una chiave posseduta in esclusiva dall’utente, così che nemmeno Meta possa accedervi. È una risposta tecnica seria alla falla di Wardle e all’ammissione di Singleton, ma resta una roadmap. Finché quella chiave non è nelle mani dell’utente, la garanzia è una policy aziendale supportata da un audit esterno e dal bug bounty, non una crittografia verificabile.
Meta ha però aperto un fronte inatteso che sposta la privacy da questione architetturale a scelta hardware. Il 10 agosto ha rilasciato Muse Glimmer, un modello da circa 30 miliardi di parametri con licenza Apache 2.0, distillato da Muse Spark e compresso in 4 bit per funzionare offline su una singola GPU consumer da 24 GB o su un Mac con chip M4 e M5 Max.
Qui l’utente non deve fidarsi dell’infrastruttura di Menlo Park: l’agente gira sul proprio dispositivo, senza connessione ai server Meta. Il divario tra la VM cloud e il modello locale definirà probabilmente la segmentazione del mercato nei prossimi mesi, e ricorda da vicino il modo in cui i ricercatori di sicurezza migrano verso modelli open source eseguiti in locale proprio per sfuggire ai vincoli dei modelli cloud.
