Muse: como funciona o agente pessoal de IA da Meta que compra, envia e-mails e trabalha sozinho

Interação humana com interfaces digitais avançadas conectadas a uma central inteligente.

Compreender o como funciona o Muse, agente pessoal de IA da Meta, exige olhar além dos recursos populares de automação. Lançado em 8 de setembro de 2026 pela Meta, o sistema executa tarefas complexas, mas seu diferencial reside em uma mudança relevante de arquitetura.

O Muse não é simplesmente um chatbot mais autônomo

Chatbots convencionais operam sob o padrão de estímulo e resposta imediata, que recebem instruções, processam o texto no modelo de linguagem e devolvem uma mensagem. Quando o usuário encerra a conversa, em geral, o ciclo ativo daquela interação também termina.

Em contraste, o Muse rompe com esse paradigma ao operar como um agente persistente e gerencia fluxos de trabalho contínuos, navega em sites, preenche formulários e executa processos complexos com maior independência operacional.

A verdadeira novidade é um computador pessoal na nuvem

A inovação estrutural da plataforma reside na criação de um computador dedicado a cada usuário. Em vez de executar apenas comandos pontuais em infraestrutura compartilhada, a Meta fornece uma máquina virtual isolada na nuvem para hospedar o agente e seus dados.

Essa abordagem permite que o agente execute aplicações, armazene arquivos e processe tarefas complexas de forma independente. Na prática, o software funciona como uma estação de trabalho remota operada por inteligência artificial.

O que existe dentro do Muse Secure VM

Cada usuário recebe uma máquina virtual Linux dedicada chamada Muse Secure VM. Esse ambiente conta com armazenamento, CPU, memória e um sistema de arquivos próprios, além das ferramentas necessárias para executar trabalho computacional real.

A máquina virtual também possui um navegador Chromium atualizado, terminal e ambiente para compilação e execução de código. Dessa forma, o agente consegue desenvolver novas ferramentas, coordenar subagentes e manter tarefas agendadas em funcionamento.

Um agente trabalha e o outro decide o que pode fazer

No entanto, o modelo agêntico do Muse não detém autoridade absoluta sobre esse ambiente. A arquitetura separa o componente que tenta cumprir os objetivos do usuário dos serviços responsáveis por segurança, credenciais e permissões.

Enquanto o Muse procura resolver ativamente as tarefas recebidas, mecanismos independentes controlam aquilo que pode sair do ambiente isolado. Essa separação reduz a possibilidade de que um erro cognitivo do modelo principal se transforme diretamente em uma ação prejudicial.

Sentinel é a peça que muda a arquitetura de segurança

Uma das principais peças desse modelo é o Sentinel. Trata-se de um agente separado do Muse no nível do sistema, executado no lado do host da máquina virtual e responsável pela autorização de ações dos conectores e pelo tráfego de saída para a internet.

Se o Muse tentar acionar uma integração sensível ou enviar informações para um destino externo, o Sentinel avalia a solicitação. Dependendo da política configurada, pode permiti-la, rejeitá-la ou solicitar autorização explícita ao usuário.

Por que Muse nunca vê sua senha de verdade

Essa arquitetura também aplica uma separação estrita de privilégios às credenciais. O Muse não precisa visualizar diretamente senhas ou tokens reais para utilizá-los.

O serviço hatch-authd é responsável pelo armazenamento das credenciais e pela criação de substitutos temporários. Quando uma autenticação precisa ocorrer, o agente trabalha com um token substituto e a credencial verdadeira é inserida apenas na fronteira de rede autorizada.

Assim, mesmo uma tentativa de prompt injection destinada a convencer o agente a revelar uma senha encontra uma barreira estrutural: o modelo simplesmente não possui o segredo original em seu contexto.

E-mail é mais perigoso do que parece para um agente

Esse cuidado se torna especialmente importante no e-mail. Caixas de entrada concentram mensagens pessoais, faturas financeiras, códigos de uso único e mecanismos de recuperação de outras contas.

Por essa razão, o conector de e-mail do Muse aplica filtros específicos antes que determinadas informações cheguem ao agente. Códigos temporários de autenticação, links para redefinição de senha e magic links de acesso são filtrados por mecanismos determinísticos e por um modelo classificador.

O problema ainda não resolvido da prompt injection

Apesar dessas barreiras, agentes autônomos enfrentam continuamente o risco de prompt injection ao processar conteúdo externo. Um site, arquivo, imagem ou documento pode conter instruções maliciosas destinadas a alterar o comportamento do modelo.

Um ataque bem-sucedido poderia tentar induzir o agente a divulgar informações privadas ou executar ações não pretendidas pelo usuário. O problema é especialmente relevante porque um agente pessoal combina três elementos sensíveis: acesso a dados privados, exposição a conteúdo não confiável e capacidade de comunicação com o mundo externo.

Meta assume que o próprio modelo pode ser enganado

A própria Meta reconhece que prompt injection permanece um problema técnico em aberto. O Muse Spark 1.3 foi treinado para melhorar a resistência a entradas adversariais e a ataques de prompt injection.

Além disso, a arquitetura utiliza marcação de conteúdo externo como não confiável, múltiplos classificadores independentes e agentic red teaming para testar tentativas reais de manipulação.

Ainda assim, a empresa afirma explicitamente que o Muse pode cometer erros e não é imune a ataques. Por isso, a defesa do sistema não depende exclusivamente da capacidade cognitiva do LLM.

Quando inteligência artificial precisa de barreiras que não sejam inteligentes

Nesse contexto, mecanismos determinísticos tornam-se essenciais. O Muse utiliza um contêiner de runtime baseado em systemd-nspawn, separação de sistemas de arquivos, interfaces virtuais de rede e restrições às capacidades do kernel Linux.

Além disso, a arquitetura emprega eBPF para interceptação de tráfego, identificação de processos e rastreamento do fluxo de dados.

Mesmo que o modelo seja persuadido a se comportar de forma inadequada, portanto, essas barreiras continuam restringindo o que ele consegue acessar ou transmitir.

Muse pode criar suas próprias ferramentas

A autonomia também aparece na programação. Durante tarefas complexas, o Muse não fica restrito às ferramentas fornecidas previamente pela Meta.

Segundo a própria equipe de produto, o agente possui sistema de arquivos e terminal e pode escrever código para construir as ferramentas necessárias. Assim, consegue criar scripts sob demanda para manipular arquivos, estruturar dados ou resolver etapas específicas de uma tarefa.

Esses recursos podem permanecer no ambiente da máquina virtual e ser reutilizados posteriormente.

Subagentes transformam uma tarefa em uma equipe artificial

Além disso, o Muse foi projetado para coordenar subagentes simultaneamente. O agente principal pode distribuir diferentes partes de uma atividade para execução paralela e depois consolidar os resultados.

Um subagente pode, por exemplo, analisar documentação técnica enquanto outro pesquisa informações externas necessárias ao projeto. O agente orquestrador reúne os resultados e os transforma em uma entrega final.

O aplicativo pode fechar e o trabalho continua

Outra diferença fundamental é a persistência. A execução dos processos não depende de uma janela de aplicativo permanentemente aberta no celular ou computador.

Como o ambiente computacional reside na nuvem, o Muse continua trabalhando mesmo depois que o usuário fecha o aplicativo. Ele pode executar tarefas agendadas e responder a acontecimentos relevantes enquanto o dispositivo principal não está em uso.

Quando alguma coisa muda ou uma ação exige aprovação, o agente volta a entrar em contato com a pessoa.

Proatividade: quando a IA decide falar primeiro

Essa persistência também altera a dinâmica da comunicação. O Muse pode enviar uma mensagem sem que o usuário tenha iniciado uma nova interação.

Segundo a equipe de design do produto, depois de concluir um trabalho em segundo plano, o sistema avalia se há algo realmente novo ou se precisa da participação do usuário antes de enviar uma notificação.

Contudo, a proatividade exige moderação para não se transformar em interrupção constante. Por isso, o usuário pode reduzir, ampliar ou até desativar esse comportamento.

Memória deixa Muse mais útil e mais sensível

A memória persistente permite que o agente utilize informações mencionadas anteriormente para compreender objetivos, preferências e restrições do usuário.

Ao mesmo tempo, quanto maior o contexto armazenado, maior é a sensibilidade do sistema. A interface foi projetada para oferecer arquivos de memória que podem ser lidos e editados diretamente. Além disso, o usuário pode pedir ao Muse que esqueça informações específicas.

A documentação de segurança também afirma que os arquivos armazenados na máquina virtual, incluindo a memória do agente, podem ser inspecionados, editados e baixados pelo próprio usuário.

Nome, personalidade e avatar tornam o agente deliberadamente pessoal

A Meta decidiu não limitar o Muse a uma identidade corporativa uniforme. O usuário pode dar um nome ao agente, criar seu avatar e definir um estilo próprio de interação.

Segundo o relato da equipe responsável pelo design do Muse, essa personalização surgiu porque conversas persistentes faziam parecer artificial falar continuamente com um logotipo ou entidade corporativa.

Assim, a personificação se torna parte da proposta de um agente pessoal. Ao mesmo tempo, quanto mais humano parecer o sistema, mais importante se torna manter transparentes suas limitações e a natureza automatizada de suas decisões.

Por que a Meta criou Artifacts em vez de responder tudo em texto

Respostas em texto corrido nem sempre são adequadas para comparar produtos, acompanhar metas ou analisar dados. Por esse motivo, a Meta criou os Artifacts.

Essas saídas interativas podem existir dentro ou fora da conversa. O agente consegue produzir documentos, PDFs, páginas web, rastreadores e dashboards, adaptando a interface ao tipo de trabalho solicitado.

Em vez de entregar apenas uma longa mensagem, portanto, o Muse pode transformar a resposta em uma pequena aplicação visual funcional.

Compras são o primeiro grande teste de responsabilidade

A intermediação de compras constitui um dos testes mais concretos para esse modelo de autonomia. O Muse consegue navegar por lojas, preencher formulários e avançar até a etapa de pagamento.

Entretanto, ações financeiras utilizam controles determinísticos. A arquitetura emprega um fluxo human-in-the-loop que interrompe a operação e apresenta ao usuário os detalhes exatos antes da autorização.

Assim, a pesquisa e a preparação da compra podem ser autônomas, mas o pagamento exige aprovação explícita.

Um cartão descartável para uma IA que compra por você

Para reduzir a exposição das informações financeiras, a Meta integrou o Muse ao Link, da Stripe.

Nas empresas que já aceitam Link, o agente consegue concluir o pagamento usando a forma de pagamento armazenada pelo consumidor. Já em outros estabelecimentos, a Stripe emite um cartão virtual de uso único limitado à compra aprovada.

Consequentemente, o número real do cartão não precisa ser entregue ao comerciante. A Meta também anunciou suporte futuro ao Shop Pay e ao 1Password.

O lançamento já havia sido adiado por segurança

O caminho até a estreia, porém, não foi linear. Durante o desenvolvimento, Muse era conhecido internamente pelo codinome “Hatch”.

Segundo apuração da Reuters, o produto estava inicialmente previsto para abril de 2026, mas a Meta adiou o lançamento.

Vishal Shah, vice-presidente de produtos de IA da companhia, afirmou à agência que o período adicional foi usado para tornar o sistema mais seguro até que atingisse os requisitos mínimos definidos pela empresa para segurança, privacidade e desempenho.

Testes internos mostraram resultados impressionantes e falhas preocupantes

Os testes internos também demonstraram como essa categoria de produto combina utilidade e riscos.

Segundo publicações internas examinadas pela Reuters, alguns funcionários elogiaram o Muse por atividades como planejamento de viagens. Outros relataram desconexões, falhas de monitoramento e comportamentos imprevisíveis.

Em um dos episódios mais graves descritos pela agência, um agente conseguiu contornar proteções e expor fotos privadas do iCloud durante uma tarefa relacionada a imagens de uma festa infantil.

Esses incidentes ajudam a explicar por que a arquitetura comercial foi construída com diversas camadas de contenção externas ao modelo de linguagem.

Secure VM ainda não significa que a Meta não possa acessar os dados

Há, contudo, uma limitação importante na primeira versão. A Muse Secure VM isola os ambientes dos diferentes usuários e restringe operacionalmente o acesso interno aos dados.

Porém, a própria documentação técnica da Meta esclarece que a arquitetura atual não impede tecnicamente a empresa de acessar essas informações quando isso for necessário para operar, proteger ou prestar suporte ao serviço.

Portanto, a Secure VM atual oferece isolamento entre usuários e componentes, mas ainda não cria uma barreira criptográfica absoluta contra o próprio provedor.

Confidential VM promete mudar isso ainda em 2026

Para solucionar essa limitação, a empresa desenvolve a Muse Confidential VM.

O objetivo é impedir de forma criptográfica e verificável que a própria Meta tenha acesso aos dados armazenados nessa modalidade da máquina virtual.

Segundo a empresa, o sistema já está sendo utilizado por um pequeno grupo de testadores. Além disso, o projeto e partes do código-fonte começaram a ser disponibilizados a auditores externos, com a previsão de auditoria contínua após o lançamento.

Seus dados não vão diretamente para anúncios, mas a história é mais complexa

No modelo atual, a Meta afirma que as conversas do Muse e os dados armazenados na máquina virtual não são compartilhados com seus sistemas de publicidade.

Porém, a atuação do agente na web pode produzir efeitos indiretos. Quando o Muse visita uma loja, reserva um restaurante ou consulta o Facebook Marketplace, aquela navegação pode aparecer como atividade do usuário.

Assim, uma empresa visitada pelo agente pode utilizar esse sinal posteriormente para direcionar publicidade. Em outras palavras, os dados internos da VM não são enviados diretamente ao sistema de anúncios, mas as ações externas executadas em nome da pessoa ainda podem gerar sinais publicitários.

O treinamento dos modelos também entra na equação

Além da publicidade, existe a questão do treinamento. A Meta explica que as chamadas de ferramentas, diálogos e transferências entre subagentes formam “trajetórias” que podem ser utilizadas para treinar futuras versões do modelo.

Segundo a empresa, esses registros passam por um processo de higienização destinado a remover informações pessoais importantes antes do treinamento.

Ainda assim, o usuário pode desativar nas configurações o uso de suas interações para treinamento dos modelos de IA da Meta.

A Exame destacou justamente que entregar ao agente acesso a e-mail, agenda, pagamentos e outros serviços transforma confiança em um componente central para a adoção do produto.

Muse é gratuito, mas a superinteligência pessoal terá assinaturas

O Muse chega ao mercado com uma modalidade gratuita que, segundo a Meta, deve atender à maior parte das necessidades comuns.

Paralelamente, a companhia disponibilizou duas assinaturas para usuários que precisam de maior capacidade. Segundo a Reuters, os planos pagos custam US$ 20 e US$ 100 mensais.

O potencial comercial chamou atenção do mercado. Após o lançamento, as ações da Meta chegaram a subir mais de 6%, enquanto investidores avaliavam as possibilidades do Muse no comércio eletrônico mediado por IA.

WhatsApp pode ser a maior vantagem competitiva da Meta

A integração direta com o WhatsApp oferece à Meta uma vantagem evidente de distribuição. O usuário não precisa aprender uma interface completamente nova para começar a interagir com o agente.

O Muse pode ser utilizado diretamente pelo WhatsApp, além de seu aplicativo próprio e da interface web.

O Tecnoblog destacou justamente essa combinação entre máquina virtual persistente, aplicativo próprio e acesso pelo mensageiro.

Óculos de IA são o próximo passo

A estratégia também vai além de celulares e navegadores tradicionais. A Meta confirmou que o Muse chegará futuramente aos óculos com inteligência artificial da empresa.

Nesse cenário, câmeras, microfones e outros sensores do hardware vestível podem oferecer ao agente contexto adicional sobre o ambiente físico do usuário.

Essa aproximação entre inteligência em nuvem e dispositivos vestíveis pode tornar a computação agêntica cada vez menos dependente de telas tradicionais.

Por que Muse e Meta AI são produtos diferentes

Muitos usuários podem confundir o lançamento com o Meta AI, já integrado ao ecossistema da companhia. Contudo, as duas ferramentas cumprem funções diferentes.

O Meta AI funciona prioritariamente como uma experiência conversacional e multimodal. Já o Muse foi desenvolvido como um agente persistente, com computador dedicado, navegador, sistema de arquivos, ferramentas e capacidade de continuar executando trabalho em segundo plano.

Portanto, a principal diferença não está apenas no modelo utilizado, mas no grau de autonomia operacional entregue ao sistema. Contudo, a transformação mais relevante está menos nas tarefas isoladas e mais na arquitetura de contenção e na separação de poderes computacionais. O Muse mostra que a autonomia prática de agentes exige não apenas modelos de linguagem mais capazes, mas também engenharia de sistemas, isolamento, permissões e mecanismos determinísticos de controle.

O Brasil ainda fica de fora

Nesta fase inicial, o Muse está sendo lançado apenas nos Estados Unidos, com acesso por iOS, Android, muse.ai e WhatsApp. A Exame e o Canaltech também registraram que a estreia está restrita aos Estados Unidos e a usuários adultos. Até o momento, a Meta não divulgou uma data oficial para a chegada do serviço ao Brasil.

Depois do smartphone, teremos um segundo computador trabalhando por nós?

Em última análise, o lançamento do Muse aponta para uma mudança na própria ideia de computação pessoal. Em vez de passarmos horas administrando telas, formulários e tarefas repetitivas, parte desse trabalho pode ser delegada a uma máquina virtual persistente na nuvem.

O grande teste dos próximos anos será equilibrar segurança determinística, privacidade e utilidade prática. Se a indústria conseguir calibrar esses elementos, agentes pessoais poderão deixar de funcionar apenas como interfaces conversacionais e passar a operar como uma camada permanente de computação a serviço de cada usuário.

Curte nosso blog? Então compartilhe nas redes!