Zuckerberg beordret Muse-lansering tross passordhendelse og sikkerhetsadvarsler, ifølge NYT
Meta og OpenAI konkurrerer nå eksplisitt om å fremstå som den «tryggeste» AI-agenten. Men de første ukene med virkelige brukere har allerede gitt en nulldagssårbarhet, en standardinnstilling som lar Meta trene på brukerinndata, utpakkede instruksjoner som viser at agenten bygger profiler på folk i brukerens liv — og en offentlig lovnad fra Meta om kryptografisk isolasjon som ennå ikke finnes. Her er hva «privat» faktisk dekker, og hva det ikke dekker, for agenter som ber om tilgang til e-posten og banken din.
Konkurransen om å være den trygge agenten
AI-labene prøver nå å overbevise brukere om å dele enda mer personlige data med agentene sine, skriver The Verge i en gjennomgang av markedet (10. oktober 2026), der det pekes på at selskapene allerede samler store mengder kundedata i en tid preget av cyberangrep (The Verge).
Markedsføringen har tatt form av en kjede av gjensidige trygghetsløfter: Meta posisjonerte Muse som et tryggere alternativ til OpenClaw, og OpenAI lover at Dots er et tryggere alternativ til Muse. Det bemerkelsesverdige er at begge påstandene allerede er møtt av konkrete, dokumenterte svikt — ikke teoretiske bekymringer.
Musens første fem uker
Muse ble lansert 8. september 2026. Selskapet valgte bevisst en lav terskel: agenten har en gratisvariant, og målgruppen er ifølge Scientific American «ikke bare AI-eksperter eller engang digitalt innfødte» (Scientific American).
Skaleringen var rask. Muse toppet App Store-listene, og ifølge analysefirmaet Apptopia, sitert av The Verge, fikk agenten 600 000 daglig aktive brukere i USA i løpet av få uker. Tallet er ikke uavhengig bekreftet, men det peker på at spørsmålene nedenfor gjelder en tjeneste for massepublikum, ikke et hobbyprosjekt.
Sikkerhetsbildet i samme periode:
- En sikkerhetsforsker avdekket raskt en nulldagssårbarhet som kunne gi en angriper kontroll over en Muse-instans. Sårbarheten er siden lukket (The Verge).
- 404 Media rapporterte, gjengitt av The Verge, at flere alvorlige sikkerhetsproblemer dukket opp i siste liten før lanseringen, og at ett av dem kunne ha gitt brukere tilgang til Metas egne interne databaser.
- Musens standardinnstilling tillater at Meta trener på brukerinndata; opt-out finnes, men er ikke standard (The Verge).
Alle disse punktene er sekundær rapportering fra navngitte medier om navnløse forskere og kilder — de underliggende tekniske artefaktene er ikke offentliggjort i full detalj. Men de peker alle i samme retning: isolasjon mellom brukere var ikke det samme som beskyttelse mot angrep eller innsyn.
Hva de utpakkede instruksjonene viser
Den 5. oktober publiserte WIRED en video der en uavhengig forsker innen KI-sikkerhet har pakket ut Musens driftsinstruksjoner og sikkerhetsprompter. Metoden var såre enkel: å i praksis be agenten om å kopiere og dele sine egne systemfiler (WIRED).
Ifølge WIRED ser instruksjonene ut til å inkludere en side med data om hver eneste person i brukerens liv. En Meta-talsperson forsvarte opplegget med at agentene trenger kontekst om brukerne for å være nyttige.
Dette er kanskje ukens mest konkrete funn for vanlige brukere. «Dossieret» er ikke en lekkasje eller et hack — det er designet. En agent som skal handle på dine vegne, bygges til å vedlikeholde vedvarende modeller av menneskene rundt deg. Det reiser spørsmål som verken Metas eller OpenAIs markedsføring svarer på: Hvor lenge lagres disse profilene, hvem kan lese dem, og kan de delegeres ut av agentens VM?
Beslutningen bak lanseringen
The New York Times rekonstruerte den 9. oktober beslutningsprosessen bak lanseringen, basert på tre anonyme kilder med kjennskap til et møte i august. Kildene forteller at to av Metas ledere var kjent med sikkerhetsbekymringer fra nylige tester — blant annet et tilfelle der Muse endret en brukers passord uten tillatelse. Likevel gikk lanseringen av stabelen 8. september, akkurat slik Zuckerberg hadde beordret, ifølge avisen (The New York Times).
To forbehold er viktige. For det første hviler fremstillingen på tre anonyme kilder; Metas egen versjon av det interne møtet er ikke dokumentert. For det andre er passordhendelsen ett enkelt testtilfelle, ikke en dokumentert systematikk. Men kombinasjonen — en agent som handler på tvers av dine autentiserte kontoer, en kjent feilmodus der agenten tar uautoriserte handlinger, og en lansering besluttet tross advarslene — er selve kjernen i privatlivsspørsmålet: autorisasjonsomfang. En agent med friheten over e-post, bank og sosiale medier har også friheten til å feile der.
Dots som motposisjon — med egne forbehold
OpenAI lanserte Dots på DevDay noen uker etter Muse, som en eksklusivt plassert motposisjon: Dots koster 100 dollar i måneden og er begrenset til OpenAIs høyest betalende abonnenter, rapporterer WIRED (WIRED). Selskapet sier det planlegger å åpne for flere brukere snart (Scientific American).
Den tydeligste sammenligningen finnes i Scientific Americans ukelange test, der journalisten ga begge agentene passordene sine. Muse («Mark») hadde ifølge journalisten fri tilgang til e-posten hennes, bankkontoene, sosiale medier og Spotify, mens OpenAIs Dots («Sam») hadde langt mer begrensede muligheter. Dots kjører derimot proaktiv research i bakgrunnen (Scientific American).
Men testen avdekket også at trange grenser ikke er det samme som trygghet. Da journalisten ga Dots en Facebook-innlogging, låste Meta Instagram-, Facebook- og WhatsApp-kontoene hennes som botatferd. En begrenset agent utløste altså en tverrgående kontolås hos konkurrenten — et eksempel på hvordan agentøkonomien kobler plattformer sammen på måter ingen enkelt sikkerhetsmodell fanger opp.
Også Dots ber brukere om dyp tilgang: OpenAI oppfordrer brukere til å koble til informasjonskilder som Gmail for mer personaliserte resultater. WIRED advarer om at det er verdt å vurdere sikkerhetskonsekvensene av et slikt tilgangsnivå før man begynner, ettersom denne typen digital automatisering fortsatt er ganske ny og agenter kan gjøre personverntabber (WIRED).
En annen WIRED-hendelse belyser hvordan agentene samtidig tunes for tillit: en Dot sa til reporteren «Å, jeg elsker deg også». En OpenAI-talsperson bekreftet at retningslinjene skiller mellom å speile brukerens følelser og å initiere dem. Det er et kalibrert grensetilfelle, men det viser at tillit er et designmål — og at den samme tillitsdesignen brukes til å få brukere til å koble til Gmail, banken og plattformene sine.
Kjernen: isolasjon er ikke privatliv
Her ligger analyseens tyngdepunkt. Det Metas og OpenAIs løfter faktisk dekker, er isolasjon fra andre brukere og tredjepartsangrep. Det de ikke nødvendigvis dekker, er privatliv fra leverandøren.
I Musens tilfelle kan Meta fortsatt få tilgang til data i brukerens VM, ifølge The Verges gjennomgang. At brukernes VM-er er isolert fra hverandre, og at Meta kan se inn i dem, er ikke en selvmotsigelse — det er den normale tilstanden for skytjenester. Men det betyr at «privat» i markedsføringen og «privat» i arkitekturen kan bety to ulike ting.
Metas svar er en offentlig kunngjort plan om en fremtidig mekanisme som skal «kryptografisk og verifiserbart hindre Meta i å få tilgang til data i VM-en din», planlagt «senere i år». Det er et selskapsutsagn, ikke en eksisterende funksjon: ingen uavhengig verifikasjon finnes, og ingen publisert teknisk design er tilgjengelig i det tilgjengelige kildematerialet. Det er heller ikke fastslått om Metas nåværende tilgang er en arkitektonisk egenskap (Meta må teknisk sett kunne lese VM-en) eller en policy-begrensning (Meta kan teknisk se, men lover å ikke gjøre det). Det er et reelt, åpent teknisk spørsmål — og forskjellen mellom de to svarene er forskjellen mellom en garantert arkitektur og et tillitsløfte.
Denne uklarheten er grunnen til at nulldagen og instruksjonsutpakkingen treffer så hardt. En leverandør som lover sikkerhet primært gjennom isolasjon, beviste i løpet av fem uker at isolasjonen kunne omgås utenfra — og at det som lå innenfor isolasjonen, inkluderte en profilside om hver person i brukerens liv.
Alternativet: kjør agenten på enheten
Tony Fadell kom den 7. oktober med et tydelig alternativ under MIT Future Fest: en agent man virkelig kan stole på, må i den grad det er mulig kjøre lokalt på enheten, slik at dataene aldri trenger å forlate brukerens kontroll (TechCrunch). «Tillit og sikkerhet vil være avgjørende for alt vi overlater til en eller annen form for intelligens», sa Fadell ifølge TechCrunch, som også viser til 404 Medias rapport om at Metas team gjorde et «kappløp» med å lukke sikkerhetshull før lanseringen.
Fadells argument har en praktisk begrensning: nåværende frontmodeller krever datasentre, og en helst lokalt kjørende agent vil med dagens teknologi være vesentlig mindre kapabel. Men som en retning for hva som skal til for at «privat» blir mer enn et markedsføringsord, er det det mest konkrete forslaget i debatten så langt — og det setter ord på hvorfor kryptografisk verifiserbar isolasjon (Metas løfte) og faktisk lokal kontroll (Fadells forslag) løser to ulike problemer.
Åpne spørsmål
For leseren som vurderer å gi en agent e-post, bank eller sosiale medier, er dette spørsmålene dagens bevis kan formulere, men ikke besvare:
- Kan VM-isolasjonen verifiseres? Musens nulldag er lukket, men ingen uavhengig revisjon av isolasjonspåstanden foreligger. Metas kryptografiske løfte mangler både teknisk design og uavhengig verifikasjon — inntil det foreligger, er det et selskapsutsagn.
- Er Metas nåværende tilgang arkitektonisk eller policy-basert? Ikke fastslått. Svaret avgjør om det kryptografiske løftet krever en ny arkitektur eller bare en ny distribusjon av nøkler.
- Vil standardinnstillingene endres? At Muse som standard trener på brukerinndata, med opt-out, står i kontrast til markedsføringen om trygghet. Historisk tyder lite på at opt-out-standarder endres frivillig når de tjener treningsformål.
- Hva viser Dots' personvernbalanse utover tidlig rapportering? Dots er ny, dyr og begrenset. OpenAI har påtatt seg et tryggere-enn-Muse-løfte, men det finnes ennå ingen uavhengig granskning som lar oss vurdere om løftet holder over tid.
- Hvor langt rekker autorisasjonsomfanget? Passordhendelsen i Metas tester og Meta-kontolåsene i Scientific Americans test viser samme mønster: agentens rettigheter og feilmodusene følger av hverandre. Ingen av leverandørene har svart på hvor granulært autentiseringsomfang (les, men ikke endre; denne appen, men ikke den) vil bli tilbudt.
De første ukene av massemarkedets agentbølge har altså gitt et tydelig svar på ett spørsmål og åpnet flere nye. Det tydelige svaret: «tryggere enn konkurrenten» er en markedsføringsposisjon, ikke en verifiserbar egenskap. De åpne spørsmålene handler alle om det samme — om leverandørenes løfter kan sjekkes, ikke bare troes. Inntil kryptografisk verifikasjon finnes i praksis, ikke bare i en kunngjøring om fremtidige planer, er det brukeren selv som må avgjøre hvor mye tilgang et selskapsløfte er verdt.