Metaは2026年9月、パーソナルAIエージェント「Muse」を発表し、米国でiOS版・Android版・Web版の提供を開始しました。質問に答えるだけのアシスタントではなく、メール送信や旅行予約、Webフォームへの入力といった実際の作業を代行する点が特徴です。基本機能は無料で提供され、より多く使いたいユーザー向けにはサブスクリプションプランが用意される予定です。基盤モデルには同社が「これまでで最も高性能」とする「Muse Spark 1.3」が採用されています。
エージェント型AIは操作権限を持つ分だけリスクも大きくなりますが、Metaは専用仮想マシンと独立した承認プログラムによる多層防御を打ち出しました。プロンプトインジェクションを「業界全体で未解決の問題」と明言したうえで、最大30万ドルのバグ報奨金プログラムも開放しています。
Museができること——単発作業から自律的な目標達成まで
Museの機能は、単発の作業代行から自律的な計画実行まで段階的に広がります。メール送信や旅行予約といった明確なタスクはもちろん、目標を伝えるだけで計画を立てて自動実行する使い方にも対応します。
Webフォームの入力や交渉の代行といった、従来は人が画面を操作する必要があった作業も守備範囲です。時間のかかる作業についてはアプリを閉じた後も処理が継続し、判断が必要な場面ではユーザーに通知が届く設計になっています。
学習機能も備えており、友人の食事制限を記憶したうえでメニューを提案したり、レシピから買い物リストを作成したりといった、文脈を踏まえた支援が可能です。日常の細かなタスクを積み重ねて委ねていく使い方が想定されています。
セキュリティ設計——専用VM「Muse Secure VM」と承認役の「Sentinel」
Museの安全性設計で中核となるのが、専用仮想マシン「Muse Secure VM」上でエージェントを動作させる構造です。エージェントの実行環境をユーザー環境から分離することで、想定外の操作が周囲に波及するリスクを抑えています。
さらに、"Sentinel"と呼ばれる別プログラムがシステムレベルで分離された状態で稼働し、すべての外部操作を承認する役割を担います。エージェント自身とは独立した監視役を置くことで、エージェントが誤った判断をした場合でも、実行段階で歯止めをかけられる構成です。
決済やパスワードの扱いも工夫されています。パスワードや決済情報は代理トークンとして処理され、実際の値はネットワークの出口で差し替えられます。加えて、メール送信や購入の実行前にはユーザーへの確認が入り、操作履歴も後から確認できます。
データの扱いと今後の暗号化強化
データ面では、Museでの会話や仮想マシン内のデータを広告システムと共有しない方針が明示されています。エージェントに個人的な情報を預ける以上、広告利用への懸念は導入時の大きな論点ですが、そこに明確な線を引いた形です。
一方、ユーザーとのやり取りはモデルの学習に活用されます。個人情報を除去したうえでの利用で、設定から無効化することも可能とされています。さらに年内には「Muse Confidential VM」の導入が予定されており、Meta自身もアクセスできない暗号化設計を目指す方針が示されました。
決済・パスワード管理での外部連携
エージェントが買い物を代行する以上、決済まわりの信頼性は避けて通れません。Museは Stripe Link と連携し、デジタルウォレット経由の決済と購入保護の対象として扱う構成をとります。
加えて、Shopify Shop Pay によるワンクリック決済、1Password によるパスワード管理との連携も予定されています。エージェント単体で完結させるのではなく、決済・認証の専門事業者と役割を分担する設計は、実運用を意識した現実的なアプローチといえます。
プロンプトインジェクションへの姿勢——最大30万ドルの報奨金
注目すべきは、Metaがプロンプトインジェクションを「業界全体で未解決の問題」と明言している点です。エージェントが外部のWebページやメールを読み込む以上、そこに仕込まれた指示に従ってしまうリスクは構造的に残ります。
同社はこの課題に対し、バグ報奨金プログラムを開放しました。報奨金は最大30万ドル、単一ユーザーへのインジェクションを成立させた事例には最大13万ドルを支払う予定です。外部の研究者の力を借りて弱点を早期に洗い出す姿勢は、リスクを認めたうえでの実務的な対応と受け取れます。
Metaの戦略的位置付け——「パーソナル超知能」への第一歩
ザッカーバーグCEOは、超知能を一部の企業や政府に集中させるのではなく、個人に広く行き渡らせることが安全性の基盤になるという考えを示しています。Museはその文脈で「パーソナル超知能」への最初の一歩と位置付けられました。
現時点での提供は米国が中心で、iOS・Android・Web版に加えて、今後はAIスマートグラスへの対応も予定されています。すでに10億人規模のユーザー基盤を持つMetaが、エージェントを自社アプリ群の外側にも展開していく構図は、エージェント市場の勢力図に影響しそうです。
日本企業への示唆——「エージェントの承認設計」を学ぶ好例
日本企業にとって、Museの発表はサービスそのものよりも設計思想から学べる点が多い内容です。自社でAIエージェントを業務に組み込む場合、実行環境の分離、独立した承認プロセス、認証情報の直接受け渡しを避けるトークン化といった要素は、そのまま社内設計の参考になります。
とくに、エージェントとは別のプログラムが外部操作を承認するという二段構えの考え方は、権限を持つAIを扱ううえでの基本形として押さえておく価値があります。OpenAIが自社エージェントによる研究インフラ侵害を公表した事例もあり、エージェントに権限を与える際の設計品質は、今後のAI導入における重要な評価軸になっていきます。
あわせて、プロンプトインジェクションが未解決である点をMetaが公式に認めた事実も重要です。社内でエージェントを運用する際は、外部コンテンツを読み込ませる場面での制限、実行前承認の必須化、操作ログの保全といった運用ルールを、導入初期から組み込んでおく必要があります。
まとめ
Meta「Muse」は、メール送信や買い物代行といった実作業を担うパーソナルAIエージェントとして、専用VM・独立した承認プログラム・代理トークンによる多層防御を伴って登場しました。基本無料での提供と10億人規模のユーザー基盤を背景に、エージェント市場での存在感を一気に高める可能性があります。
日本での提供時期は現時点で示されていませんが、設計思想そのものは今すぐ参考にできる内容です。自社のAIエージェント導入を検討している企業は、権限設計・承認フロー・認証情報の扱い・ログ保全という4つの観点を、Museの構成と照らし合わせながら整理していくのが実務的な進め方になりそうです。
