何が起きたか
MetaがパーソナルAIエージェント「Muse」を発表しました。iOSとAndroid向けの専用アプリ、およびMuse.aiで本日から提供が始まり、WhatsApp上でMuseに直接メッセージを送る形でも使えます。同社のAIグラスからの利用も近く可能になるとしています。無料で試せますが、多数のタスクを自動化したい場合はMetaのAIサブスクリプションプランが必要です。
自然言語で指示すると、エージェントが自律的にメールを送る、旅行を予約する、車の売却を手伝う、といった作業を進めます。Metaはブログで「学習コストがない（no learning curve）」設計だと説明しています。開発元はMark Zuckerberg氏が約1年前にOpenAI・Anthropicへのキャッチアップのために組成したMeta Superintelligence Labsで、破格の報酬で研究者を集めてきた組織です。WIREDは以前、社内でコードネーム「Hatch」としてテストされ、従業員がサードパーティアプリの自律操作やWeb閲覧に使っていたと報じています。
なぜ重要か
MuseはOpenClawやInstinctといった先行エージェントに対する後発です。Metaもそれを自覚しており、勝負どころを機能ではなくセキュリティとプライバシーの設計に置いています。
中核が全ユーザー向けの「Secure VM」です。ユーザーごとの活動を仮想マシンに隔離し、Web上やインテグレーション経由で入ってくる「信頼できないデータ」を、実際にアクションを起こせるエージェント本体から分離します。さらに「Sentinel」というコンポーネントがVMの外に出るものすべてを監視し、既存ポリシーに合致すれば通し、そうでなければ人間の承認ダイアログを出します。エンジニアリング担当VPのDavid Singleton氏は「大量の個人データにアクセスできる製品を作る以上、責任を持つことが本当に重要だと分かっている。だからこのシステムは非常に意図的に設計した」と述べています。
重要なのは、この承認プロンプトがモデルを経由せず直接ユーザーに届く点です。プロンプトインジェクション——Webページやメールに仕込まれた文字列でエージェントを乗っ取る攻撃——への対策として、承認経路を汚染される可能性のあるモデルの外に出す設計になっています。
「箱」の限界と、その先の設計
ただしSecure VMは完全な密室ではありません。MetaはポリシーによってユーザーのMuseデータへのアクセスを禁じられていますが、技術的には依然として可能です。学習利用はオプトアウトできます。
この構造的な弱点を埋めるのが、後日提供予定の「Confidential VM」です。各VMをTEE（Trusted Execution Environment、CPUレベルで隔離される実行領域）上で動かし、アクセス鍵はユーザーが自分の端末でローカル管理します。Meta自身を含め誰もそのVMにアクセスできない設計だとされ、WIREDは技術ホワイトペーパーの草稿を確認しています。この取り組みには、Signalの開発者でプライバシー特化AIプラットフォームConferを手がけたMoxie Marlinspike氏が関わっています。Metaは一部のセキュリティ企業にソースへのアクセスを与えて定期監査させ、バイナリとトランスペアレンシーログを公開して接続の正当性を検証可能にするとしています。
検証面では、Secure VMは人間とエージェントの両レッドチーム、プライベートなバグバウンティで審査済みで、今後は公開バグバウンティの対象にも加わります。脆弱性報告への支払いは最大30万ドル、単一ユーザーに影響するプロンプトインジェクション攻撃の成功に対しては最大13万ドルです。
決済という最難関
エージェントが最も事故を起こしやすいのが購買です。MuseはStripeが設計した専用の決済基盤を使い、チェックアウト時に「Link」が使い捨てのカード番号を発行します。エージェントがネット上の各所に本物のカード情報を入力しない構造です。MetaはMuseが、手数料なしの返品を保証するLinkのエージェント向け購入保護の適用第1号だとしています。
つまりMetaは「エージェントは間違える」ことを前提に、被害の上限を金額とスコープの両面で切っている——ここが、性能競争とは別の土俵です。
💼 事業会社視点：これは自社にどう効くか
日本企業の経営層がまず読み取るべきは、Metaがエージェント導入の障壁は精度ではなくガバナンスだと判断した点です。Secure VM／Sentinel／Stripe Linkの使い捨てカードは、いずれも「AIが間違えた時の損害を有限化する」設計であり、稟議・与信・決裁権限に厳しい日本企業の情シスや法務が求めてきた要件そのものです。社内でエージェント導入が止まっている企業は、精度検証ではなく「承認フローと支払い限度の設計」に議論を移すべきです。
ECにとっては警戒と好機が同時に来ます。Museがユーザー代理で購買する以上、比較検討の対象になるのは人間が見る商品ページではなく機械可読な商品データです。加えてLinkは手数料なし返品を保証しており、エージェント経由の注文は返品率と返品コストの前提が変わります。自社ECの構造化データ整備と、返品ポリシーの再計算は今期の検討課題です。
SaaSと受託開発は、逆側に立たされます。Museがサードパーティアプリを自律操作する世界では、UI操作が代替可能な機能は価値を失い、残るのはデータと権限管理です。SaaSベンダーはエージェント向けAPIと権限スコープの提供を、受託開発は「画面を作る」案件からエージェント権限設計・監査ログ実装への提案転換を急ぐべきです。最後にMetaへの信頼の問題があります。ポリシー上禁止でも技術的にはアクセス可能というSecure VMの但し書きは、機密性の高い業務では採用不可の理由になり得ます。日本企業は当面、TEEベースのConfidential VMが実際に提供され、外部監査が回り始めるまでは個人利用と限定業務にとどめるのが妥当です。