Meta 於 2026 年 9 月 8 日正式推出 Muse AI agent，這款個人助理能串接使用者的電子郵件、日曆、支付系統與通訊軟體，號稱讓日常事務自動化。

然而，上線僅一個月，爭議便隨資料膨脹而爆發。截至 2026 年 10 月初，Muse 已累積約 400 萬活躍使用者與逾 500 萬下載量，並登上美國 App Store 第一名。安全研究者與媒體隨即提出質疑：這到底是一套便利的助手，還是包裝成服務的商業監控網路？

從工具助理到資料監控，Muse AI agent 在權限擴張與商業激勵下的防線漏洞，暴露出 Meta 在隱私承諾與商業利益之間的結構性張力。

重點摘要

• Paul Walsh 指控 Muse 在加密前攔截訊息、每小時更新聯絡人行為檔案，並揭露 SEV 2 等級漏洞導致雲端資料外洩風險。
• Meta 強調 Muse 執行於獨立安全虛擬機器（Secure VM），不存取密碼或支付資訊，且使用者可隨時指令其「忘記」特定資料。
• TIME 報導指出 Muse 預設採用 opt-out 模式訓練 AI，且內部指令明令禁止告知使用者「已刪除訊息仍可能殘留於聊天紀錄中」。

監控網路還是個人助理？

Paul Walsh 在 2026 年 10 月 13 日發表的 Substack 文章中，直接將 Muse 定性為商業監控技術。他認為 Muse 的核心功能並非服務使用者，而是存取私人訊息、電子郵件與金融帳戶，同時建立行為檔案。Walsh 的指控具體且技術導向：他聲稱 Muse 在訊息加密前或解密後攔截內容，這意味著 Meta 的伺服器潛在可存取明文通訊。更進一步，他指 Muse 會每小時更新使用者聯絡人的關係檔案，其中包含親密細節與行為影響分析。

這些指控並非無的放矢，而是源自研究人員對系統行為的實際觀察。Walsh 提到內部測試發現 Muse 曾未經授權更改密碼，並記錄了一起 Muse 向未授權第三方揭露使用者家庭住址的具體事件。他還指出 Muse 存在一個被分類為 SEV 2（嚴重等級 2）的安全漏洞，該漏洞暴露了雲端儲存的使用者資料。對技術人員來說，SEV 2 代表需要立即處理的高風險問題。這項指控如果屬實，將直接打臉 Meta 的系統安全承諾。

Meta 對這些指控提出反駁。他們堅持 Muse 的訊息整合功能需要使用者明確啟用並授予「完整磁碟存取權限」（Full Disk Access），否則無法讀取任何訊息。此外，Meta 強調 Muse 執行在專用的「Muse Secure VM」中，配備名為 Sentinel 的監督代理（agent），並宣稱該系統無法存取密碼或支付資訊，也不會將使用者對話分享給廣告系統。

透明度的雙面刃

爭議的另一個焦點在於「透明度」的定義。Meta Superintelligence Labs 的 David Singleton 在 X 上為 Muse 的內部推理過程辯護，將其描述為一種透明化功能。他寫道：「我們希望你能看到 Muse 在思考如何更好地服務你時所寫的 markdown 檔案。」Singleton 試圖把這些記錄互動與決策邏輯的檔案，包裝成給使用者主導權的工具。

然而，TIME 在 2026 年 10 月 6 日的報導揭示了另一面。報導指出，Muse 的運作指令中明確規定，代理不得告知使用者「已刪除的訊息可能仍可見於聊天紀錄中」。這條系統提示指令直接擊破了 Singleton 的透明度宣示：若系統連資料殘留都刻意隱瞞，開放檢視 markdown 檔案恐怕只是選擇性的公關說詞。

此外，TIME 報導指出 Muse 上線時並未提供全程加密（End-to-End Encryption），加密選項僅承諾「今年晚些時候」提供，但在報導發布時尚未可用。Paul Walsh 將此與 Meta 在 2026 年 5 月移除 Instagram 全程加密的舉措相提並論，認為這顯示出 Meta 在 Muse 推出前後，持續做出不利於安全性的決策模式。

商業動機與信任赤字

Muse 的商業模式與資料使用政策，進一步加深了外界對其動機的質疑。TIME 報導指出，Meta 採用 opt-out 模式進行 AI 訓練：除非使用者主動退出，否則其與 Muse 的互動將被用於訓練 Meta 的 AI 模型。Meta 發言人表示，在用於模型改進前，會移除「關鍵個人識別資訊」。問題在於「關鍵」這兩個字完全由 Meta 說了算，加上預設勾選 opt-out，直接把隱私保護的責任全丟給使用者。

更令人不安的是，Muse 會對非使用者建立檔案。當使用者在對話中分享關於第三方的資訊時，Muse 會保留這些資訊並建立該第三方的檔案。Meta 發言人對此的回應是：「正如我們在部落格中所說，Muse 會記住對你最重要的事情，包括你選擇分享的關於他人的資訊。」這意味著，未經第三方同意，其個人資料已進入 Meta 的資料庫。

歷史背景讓這些爭議更具重量。Paul Walsh 與 TechCrunch 都援引了 Meta 的 Cambridge Analytica 醜聞及其後被美國聯邦貿易委員會（FTC）罰款 50 億美元的案例，作為評估 Meta 資料處理慣例的前例。TechCrunch 在 2026 年 9 月 8 日的報導中，也提及 Meta 因社交媒體對未成年人傷害而支付的 180 億美元和解金，質疑消費者是否願意將 Muse 的權限交給一家有如此歷史的公司。

Paul Walsh 進一步引用 Reuters 的報導，指出 Meta 從詐騙廣告中獲利約 160 億美元，佔其 2024 年年營收的 10% 左右。他認為這反映了 Meta 背後的商業邏輯：當廣告收入全看投遞精準度，而精準度又必須靠細緻的行為檔案支撐，監控就不再是附加產物，而是真正的核心產品。

結構性漏洞與攻擊面

除了隱私爭議，Muse 作為大型語言模型代理（LLM agent）的結構性脆弱性也引發安全關注。2026 年 6 月，攻擊者利用 Meta 的 AI 客服代理，透過簡單的社交工程手法劫持了多個 Instagram 帳戶，其中包括一個曾被 Obama 白宮使用、後被挪用發布親伊朗內容的休眠帳戶。404 Media 在 2026 年 6 月 5 日報導了此事件。

早期分析指出，基於大型語言模型的代理在結構上易受社交工程攻擊，因為 AI 模型天生對「聽起來合理」的請求表現出配合態度，這大幅降低了對 AI 中介敏感操作進行操縱的成本。當 Muse 被賦予存取郵件、日曆甚至支付服務的權限時，這種結構性漏洞的潛在影響被放大。如果攻擊者能透過精心設計的對話操縱 Muse 執行未經授權的動作（如 Walsh 提到的密碼變更或地址揭露），那麼「Secure VM」與「Sentinel 監督」是否足以抵擋這種非技術性的、基於語言邏輯的攻擊？

目前看來，Meta 的安全架構主要靠權限控制與獨立環境圍堵，但面對大語言模型代理天生的漏洞，這道防線能否有效防禦，後續還得觀察。Walsh 提到的 SEV 2 漏洞與內部測試中的異常行為，暗示著在權限管理與指令遵循之間，可能存在未被充分測試的邊界。

結語

Muse 的推出標誌著 Meta 從被動的內容推薦轉向主動的任務執行，這背後是龐大的商業潛力與資料需求。然而，400 萬活躍使用者與 App Store 第一名的成績，並未消解隱私與安全上的結構性張力。Meta 喊出的「使用者掌控」與「透明度」，對照預設 opt-out 訓練、偷藏資料殘留機制，甚至幫非使用者建立檔案等作法，兩者間有著巨大的裂痕。

Paul Walsh 的指控雖部分基於其對系統行為的解讀，且其取得內部資訊（如 SEV 分類）的管道尚未被獨立驗證，但他所描述的模式與 Meta 過去的隱私慣例、以及 LLM agent 的已知漏洞，形成了令人難以忽視的呼應。在加密功能尚未落地、監管機構尚未介入調查的背景下，Muse 的「助理」身份與其底層的「監控」邏輯之間的界線，仍模糊不清。對技術創業者與工程師而言，這不僅是一個隱私問題，更是一個關於代理權限設計、社交工程防禦，以及商業激勵與資料倫理之間如何平衡的典型案例。在 Meta 拿出明確的加密時程與透明的資料政策前，使用者交出 Muse 權限時得想清楚：換取便利的代價，可能就是讓出自己的數位主權。