Vad användarna hittade
Personer bad Metas Muse-agent visa hela sitt filsystem, och den gjorde det — gigabyte av det. David Singleton, teknikchef vid Meta Superintelligence Labs, skrev på torsdagen att detta är meningen.
“Från i dag får varje Muse-användare en gratis dator i molnet”, skrev han. “Det är en riktig dator.” Körcellen som varje användare delar med sin agent har ett eget rotfilsystem med en komplett Ubuntu Linux-avbild, skilt från värdfilsystemet där det känsligare ligger.
Användarna kan installera programvara i den, skriva och kompilera kod och surfa från den. Meta har byggt in en filhanterare i gränssnittets biblioteksflik så att de kan titta runt, inklusive på de markdown-filer Muse skriver till sig själv medan den arbetar fram ett svar.
Varför öppenheten är säker, enligt Meta
Argumentet vilar på var gränsen går. Aktiviteten inne i körcellen är “obegränsad”, skrev Singleton, men känsliga åtgärder övervakas av en process som heter Sentinel och som körs utanför den, och inloggningsuppgifter som matas in i Muses säkra lagring hålls också utanför.
Metas säkerhetsblogg, publicerad den 8 september, beskriver mekaniken. Körcellen är en systemd-nspawn-container vars root mappas till en icke-privilegierad värdanvändare, med eget rotfilsystem, virtuellt nätverksgränssnitt, filtrerade systemanrop och nedskurna kärnrättigheter. Tjänsterna som betyder något — upptäckt av promptinjektion, hantering av inloggningsuppgifter och den Sentinel som godkänner kopplingarnas åtgärder och nätverkstrafik ut — ligger alla utanför.
Utformningen av inloggningsuppgifterna är den bärande delen: Meta uppger att agenten aldrig ser riktiga tokens, bara ersättare, och att de verkliga uppgifterna löses ut vid nätverksgränsen. Det är det som gör det försvarbart att låta en användare, eller en promptinjektion, vandra runt i filsystemet.
Vad det inte ger
“Att peta runt i den här datorn ger dig ingen privilegierad tillgång till Metas infrastruktur eller till andra människors data”, skrev Singleton. Filerna en användare kan läsa är Debians systemfiler och de binärer och datafiler som utgör de delar av Muse som körs inne i cellen — inte Metas sida av systemet.
Den som vill ha sitt eget material snarare än en rundtur i systemet kan exportera det under Inställningar, i datakontrollerna.
Varför det här är en hållning och inte bara en funktion
Alla agentleverantörer kör i dag kod någonstans för användarens räkning, och nästan alla behandlar den miljön som en implementationsdetalj. Meta gör tvärtom: publicerar containerns innehåll för personen som använder den och hävdar att öppenheten är överkomlig eftersom hemligheterna ligger någon annanstans.
Det är också en satsning som går att pröva. En arkitektur som beskrivs offentligt, på en maskin användaren kan inspektera, är en arkitektur forskare kan peta på — och Muse har redan haft en avslöjad brist den här månaden, när en forskare nådde den parkopplade iPhonen via en odokumenterad inställning i Mac-appen.
Det som är värt att följa är om gränsen håller under den granskningen, inte om filsystemet syns.
