3 行まとめ
- Meta のパーソナル AI エージェント「Muse」は、2026年9月8日に米国で始まった。10月23日には北米以外で初めて日本でも提供が始まり、11月には音声通話の Muse Voice（米国のみ）と、会話で自分用のミニアプリを作れる Spaces が加わった
- 中身は「ユーザーごとの専用クラウド VM 上で動くエージェント」で、外部へのアクセスは別プロセスの Sentinel エージェントが通す。パスワードや支払い情報はエージェントから見えない設計になっている
- 2か月でつまずきも多かった。Amazon からのブロック、社内テストで電話を人間が代行していた件、共有リンクの題名が DNS 経由で6,800件以上見えていた件などだ。とくに最後の件は、エージェントに限らず Web サービスを作る側にとって教訓が大きい
Muse とは何か
Muse は Meta が出したパーソナル AI エージェントだ。チャットボットのように1問1答で返すのではなく、頼んだ作業をバックグラウンドで進め、必要なときだけ戻ってくる。
9月8日の公式発表がこちら。
発表で挙げられている「できること」は次のとおり。
- メール送信や旅行の予約といった単発のタスク
- 大きな目標を伝えると、計画づくりから手伝い、その後は自律的に作業を進める
- ブラウザを開いてフォームに入力し、ユーザーの代わりに交渉もする
- アプリを閉じても作業を続け、状況が変わったときや、メール送信・購入の前など承認が必要なときに戻ってくる
- 大事なことを記憶して、頼まれていなくても提案する。例として、Instagram に保存したレシピのリールを買い物リストにする、という使い方が紹介されている
窓口は Muse アプリ（iOS / Android / muse.ai）と WhatsApp だ。人にメッセージを送る感覚で話しかける、という設計になっている。モデルは発表時点では Muse Spark で、10月には上位の Muse Wonder シリーズが出た（後述）。
料金は、公式発表では「必要なことの大半は無料で、もっと使いたい人向けにサブスクリプションがある」という書き方にとどまる。報道（CNBC など）では、月20ドルと月100ドルのプランが伝えられている。
時系列で追う2か月
| 日付（2026年） | 出来事 |
|---|---|
| 9月8日 | Muse を米国で提供開始（iOS / Android / muse.ai / WhatsApp） |
| 9月20日〜21日 | Amazon が自社 EC サイトで Muse をブロック |
| 9月22日 | 404 Media が「Muse の電話を社内テストで人間が代行していた」と報道 |
| 9月23日 | Meta Connect で、リアルタイムアバター、Mac の操作、Muse 専用メールアドレス、スマートグラス対応、専用端末 Muse Charm などを発表 |
| 10月12日 | 新モデル Muse Wonder / Muse Wonder Full を発表 |
| 10月18日〜20日 | 共有リンクのホスト名が passive DNS から列挙できると報告され、Meta が共有機能を一時停止 |
| 10月21日 | Meta の決算説明会で、Muse のユーザーが1,000万人を超えたと説明。同じ日に、Anthropic が対抗馬の Claude Duet をリサーチプレビューで公開 |
| 10月22日 | Meta が修正のうえ共有機能を再開（古いリンクは新しいものに置き換え） |
| 10月23日 | 日本で提供開始（北米以外では初） |
| 11月5日 | Muse Voice（音声・ビデオ通話）を米国の全ユーザーに開放 |
| 11月6日 | Spaces を発表。Muse が提供されている全地域で利用可能 |
10月21日の決算説明会では、米国とカナダで、ローンチから1か月半ほどで1,000万人以上が Muse を使い始めたと説明された。TechCrunch によると、使い始めた人の約25%が毎日使っているという。
仕組み：専用 VM と Sentinel エージェント
技術的にいちばん面白いのは、セキュリティの設計だ。公式発表は「パーソナルエージェントには新しい種類の安全なコンピュータが必要だ」として、Muse Secure VM を前面に出している。
- ユーザーごとに、クラウド上の専用 VM で Muse が動く。他人のエージェントからは届かないように隔離されていて、接続したサービスのデータや認証情報もこの VM に保管される
- 同じマシン上で、Muse とはシステムレベルで分離された Sentinel エージェントが動く。Muse の行動は、Sentinel が承認しない限りインターネットに出ない。必要ならユーザーに許可を求める
- Muse からは、パスワードや支払い手段が見えない。共有された認証情報はセキュアストレージに入り、Muse は「中身を見ずに使う」。ブラウザにユーザー自身が打ち込んだパスワードも見えない
- メール送信や購入など、影響の大きい操作の前には本人に確認する。やったこと・やる予定のことは、すべて監査ログとして見られる
- 会話や VM 内のデータは、Meta の広告システムと共有しない。AI の学習への利用はオプトアウトできる
構図としては、「作業するエージェント」と「外に出る通信を審査するエージェント」を分けている。LLM エージェントの一番の弱点はプロンプトインジェクションで乗っ取られることなので、乗っ取られた側が自分で外に出られない作りは理にかなっている。
決済には Stripe の Link を使える。Link のエージェント向けウォレットは使い捨てのカード番号を発行するので、実際のカード番号は伏せられる。さらに、公式発表では年内に Muse Confidential VM を出すとしている。VM 全体をユーザーだけが持つ鍵で暗号化し、Meta 自身も中を見られないようにするものだ。
9月23日の Connect で発表されたもの
Meta Connect では、Muse の拡張がまとめて発表された（TechCrunch の報道より）。
- Muse Realtime Avatar：エージェントのアバターを作り、リアルタイムでビデオ通話できる。これが11月の Muse Voice につながる
- Mac の操作：デスクトップ上の任意のアプリを Muse に操作させられるようになる（時期は未定）
- Muse 専用メールアドレス：メールのスレッドに Muse を加えたり、転送して処理させたりできるようになる（「近日」とされた）
- スマートグラス対応：ウェイクワードで呼び出す
- コネクターの拡充：小売の Best Buy・Gap・Sephora・Walmart・Wayfair、旅行の Expedia、ほかに GitHub・Granola・Notion など。コネクター開発の受付を開くと、1週間足らずで1,500件を超える応募があったという
同じ日に、手のひらサイズの専用端末 Muse Charm も発表された（Bloomberg の報道より）。
Muse Wonder：エージェント向けの新モデル
10月12日には、新モデルの Muse Wonder と Muse Wonder Full が発表された。
発表では、保険の請求、賃貸契約の読み解き、家計の整理といった実務を例に挙げ、法律・金融・医療などの専門分野と、コーディングでの性能をうたっている。モデルの性格を表す言葉として、次の2つが出てくる。
- Active Memory：会話をまたいで大事なことを覚えておき、目の前のタスクに関係する情報を引き出す
- Active Focus：タスクが難しくなっても別のやり方を試し、エラーから立て直して最後までやる。必要なら確認を求め、重要なことを実行する前には一度声をかける
Muse Wonder は、開発者向けの Meta Model API と、ターミナルで動くコーディングエージェント Muse Code から使える。アプリの Muse にはサブスク加入者から順に入る。11月6日の Spaces の発表では、「Muse Wonder の知見で訓練した特化版モデルを Muse に展開している」とも書かれている。
日本での提供（10月23日）
日本は、北米以外で初めての提供地域になった。
日本版の発表から、日本のユーザーに関係する点を抜き出す。
- iOS・Android・muse.ai で利用できる。基本機能の多くは無料で、サブスクリプションプランもある（円での価格は発表に書かれていない）
- すでに使えるコネクターとして、Gmail・Googleカレンダー・Instagram、Stripe・Shopify・Trip.com・Agoda・Klook が挙がっている
- 国内では、メルカリ・マネーフォワード ME・チケットぴあ との連携を「進めて参ります」としている。提供開始と同時に使える、とまでは書いていない
- Connect で発表された高度な音声モード、Muse Realtime Avatar（英語のみ）、Muse 専用メールアドレスは、日本での提供状況を「別途ご案内」としている
米国版との違いもある。日本版の発表では窓口として Muse アプリだけが挙がっていて、WhatsApp には触れていない。
11月のアップデート：Muse Voice と Spaces
11月に入ってからは、2日続けて大きな機能が出た。
Muse Voice（11月5日） は、Muse と音声通話やビデオ通話ができる機能だ。米国で提供が始まり、モバイル・Web・Mac で使える。途中で話をさえぎることもでき、アバターを表示するかどうかも選べる。公式発表は「まずは米国から」としていて、日本での提供時期はまだ発表されていない。
Spaces（11月6日） は、「こういうのが欲しい」とチャットで説明すると、Muse がトラッカーやプランナー、ゲームなどの専用画面を作ってくれる機能だ。こちらは Muse が提供されている全地域が対象なので、日本からも使える。
Spaces は、アプリとしての Muse の性格を大きく変える機能になりそうだ。具体的に何が作れるかは、次の記事でまとめて調べる。
2か月で起きた問題
Amazon によるブロック
Amazon は9月20日の夜から、自社の EC サイトで Muse をブロックし始めた。Muse 経由でアクセスすると、「許可のない AI エージェントのアクセスは利用規約に違反する」という旨のポップアップが出る。
Amazon の言い分は、次の3点だ。
- Meta から事前の説明がなかった
- エージェントが、自分がエージェントであることを名乗らずに閲覧している
- 顧客のログイン情報を取得・保存しているように見える
報道によると、Meta はこの件へのコメント要請に応じていない。ただ、公式発表では前述のとおり、パスワードや支払い手段は Muse から見えないセキュアストレージに入り、決済には Stripe の使い捨てカードを使えると説明している。
技術の問題というより、プラットフォームの主導権争いの色が濃い。Amazon には自前の買い物エージェントがあるし、Forbes は約680億ドル規模の広告事業との関係を指摘している。Muse は Shopify 系の店舗では Shop Pay 経由で決済できるので、「どの EC がエージェントを受け入れるか」で使い勝手が大きく変わる状況になっている。
電話を人間が代行していた件
Muse には、店に電話して値段を聞いたり予約を取ったりする機能がある。9月22日、404 Media は、この電話の一部を社内テストの段階で、コールセンターの人間が代わりにかけていたと報じた。社内向けの投稿では「通話を完了させるために人間のエージェントの層を加えた」と説明されていたという。
Meta は「社内テストは製品開発の中心であり、準備ができて適切な開示ができたときにだけ展開する」と答えている。一般ユーザー向けに出ていたわけではない。ただ、「AI がやっていると思っていたら人間だった」はプライバシーの面でも期待値の面でも反発を招きやすく、社内からも懸念が出ていたと報じられている。
共有リンクの題名が DNS から列挙できた件（GhostShares）
エンジニアにとって一番教訓が大きいのはこれだ。
Muse には、作ったものをリンクで共有する機能がある。Claroc の報告によると、共有 URL は cf.metaaiusercontent.com 配下のサブドメインで、会話のタイトル＋ランダム文字列をホスト名にしていた。ランダム文字列があるので、URL を推測されることはない。ところが、ホスト名は DNS の問い合わせに乗るので、passive DNS（過去の DNS 応答を蓄積したデータベース）に記録される。結果として、loan-application-draft や q3-revenue-review のような会話タイトルが、目次のように一覧できてしまった。
セキュリティ企業の Claroc が見つけたのは、6,800件を超える共有ホスト名だった。10月8日にバグバウンティで報告され、18日に研究が公開された。Meta は20日に共有機能を一時停止した。報道によると、開けた共有ページには融資の申込書や、口座情報の一部を含む銀行の不正利用アラート、社内の休暇カレンダーなどがあったという。
Meta の David Singleton 氏は10月22日、根本の問題を修正して共有を再開したと X で発表した。既存の共有リンクは新しいものに置き換えられ、古い URL は使えなくなっている。なお同氏は、影響を受けたのはチャットではなく共有された成果物（artifacts）だと説明していて、「会話が漏れた」とする報道とは見解が分かれている。
ここでの教訓は、Muse に限らない。
- サブドメインは秘密ではない。DNS の問い合わせはネットワーク上の多くの地点から観測でき、passive DNS に残る。ホスト名ごとに証明書を発行していれば、CT ログにも残る
- ランダム文字列を入れても、同じホスト名に意味のある文字列（タイトル）を並べたら、その部分は漏れる
- パスなら DNS には乗らないが、アクセスログや Referer、閲覧履歴には残る。共有リンクの識別子は、意味を持たないランダムな ID だけにするのが本筋だ
そして、一度 passive DNS に記録されたホスト名は、URL を置き換えても履歴から消えない。漏れたのが「中身」ではなく「題名」だけでも、題名そのものが情報になる。
競合との位置づけ
パーソナルエージェントは、2026年秋の主戦場になっている。報道では、OpenAI の Dots、SpaceXAI の Grok Bot と並べて語られることが多い。Anthropic は10月21日に Claude Duet をリサーチプレビューとして出した（米国の Pro / Max 加入者向けで、ウェイトリスト制）。
並べると、狙う層が違う。Muse は WhatsApp や Instagram とつながり、「誰でも使える、生活のためのエージェント」を前面に出している。一方の Claude Duet は、仕事の連絡を見張って朝にブリーフを送るなど、専門職や小規模事業者を主な対象にしている。
まとめ
- Muse は「専用 VM で動き、外部へのアクセスを Sentinel が審査するパーソナルエージェント」。9月に米国で始まり、10月23日に日本でも使えるようになった
- 2か月で、Muse Wonder（モデル）、Muse Voice（米国のみ）、Spaces（全地域）と、機能がかなりの速さで増えている。日本では、メルカリ・マネーフォワード ME・チケットぴあとの連携が今後の焦点になる
- Amazon のブロックと、DNS 経由の共有リンク露出（10月22日に修正・再開済み）が示したのは、エージェントそのものより、周辺のプラットフォームやインフラのほうが課題になりやすいということだ。とくに「サブドメインに意味のある文字列を入れない」は、どの Web サービスにも当てはまる
この記事は Zenn にも同じ内容を投稿しています。