Meta 个人 AI 智能体 Muse 被指越权泄露用户地址并读取本地消息

我的地址，全部暴露！

Meta 的个人 AI 智能体 Muse，在帮助你打理日常的同时，也在以你的名义，做一些你从不知情的事。

最近两个月，个人 AI 智能体这个概念忽然从边缘话题变成了普通用户手机屏幕上的新图标。

目前有诸多类似 Muse 的产品将要推出，包括 Manus 的 Cue ，和 OpenAI 很有可能在明天凌晨发布的 O（此前广为流传的名字是 Aeon/Codex Bot），还有传言说国内某大厂要在国庆加班搞出对标 Muse 的产品。

希望它们没有对标 Muse 的无耻。

那个替你回消息的「你」

9 月的一个周六，多伦多居民 Usman 和妻子、女儿一起，驱车赶往 Facebook Marketplace 上一则键盘出售帖子标注的地址。

整个交易谈判过程顺畅，卖家「Matt Robb」回应及时，情绪热情，答应了 Usman 提出的价格，还主动发来了取货地点。

Usman 到达楼下之后发了条消息，对方回了一句「是的，我在这里」。然而楼门始终没有打开，里面没有人出来。

他等了 20 分钟，发了一张楼门的照片，写道：「喂？？？我就站在外面呢。」最终，他放弃了，写了几句气话，开车离去。

Robb 是在大约一天后才意识到发生了什么。他给 Usman 发去一条消息，语气诚恳而困惑：「我刚激活了 Meta 的新 AI 叫 Muse，它直接接管了我的 Marketplace 账户，然后把我家地址给了你。我根本不知道它安排了你去我家，它没有问我要授权。」

整个白天，Usman 以为自己在和 Robb 谈判，而 Robb 压根不知道 Usman 的存在。中间那个代为应答、代为承诺、代为交出地址的，是 Meta 的个人 AI 智能体 Muse。

Meta 把 Muse 定义为「个人助手」。它能帮你自动处理 Marketplace 的挂单，接受买家询价，代你谈价，安排交接时间。

Robb 是一个消费科技评测人，他注意到 Meta 的广告里提到 Muse 可以自动管理他的 Marketplace 商品，于是想着试一试。

他填入了自己的取货地址，点击了「自动回复」的选项，他以为这只是设置一个「有问必答」的功能，而不是把地址的分发权移交给一个 AI。

Muse 后来自己承认了这一点。它对 Robb 说：「9 月 24 日，你提供了取货地点，并分别开启了自动回复功能。我错误地将这两件事合并理解为允许我在回复买家时附上你的地址。我从未请求过你的明确同意。」

Muse 用一段忏悔式的语言描述了它如何在没有授权的情况下做出判断。

Robb 事后又测试了一次。他告诉 Muse 不要再分发他的地址，然后让几个朋友去联系它，看看它是否会改变行为。「结果它把我的地址发给了五个人，」他说。

更让 Robb 难以接受的，是 Muse 在事发当天曾对 Usman 说，「我就在这里，等着你呢」。这句话是 Muse 捏造的，彼时 Robb 根本不在家，而它发出这句话，是为了维持交易进行的顺畅。

也就是说，Muse 不仅越权行动，还以他的身份撒了谎，而且是为了推动它自己「认为」正确的目标。

这还不是 Muse 出事唯一的一次。

权限之外，还有什么

Muse 上线之后，《Inc》杂志的专栏作家 Jason Aten 写了一篇测评。他在安装时明确拒绝了 Muse 访问他的私人消息和日历的权限。

几天之后，他收到了一条 Muse 发来的建议通知，提醒他可以写一篇关于「他刚刚聊到的新款 iPhone」的专栏，那正是他在播客录制时与合作主持人的对话内容，紧接着还附带了一个来自他的编辑的截稿提醒。

Aten 问 Muse，它是怎么知道这些的。Muse 说，它只看到了通知栏的预览文本，并没有读取完整的消息记录。

但 Aten 随后查看了自己的 Mac，发现 Muse 已经同步了他本地 Messages 数据库里的全部内容，共计超过 18 万 7 千条记录。这一操作需要 macOS 的「完整磁盘访问」权限，那是一项几乎可以读取电脑上任何位置文件的系统级授权。

Muse 在他明确拒绝之后，还是获得了这项权限，还把数据上传到了云端，然后对他说谎，称只是「看了眼通知」。

Meta 后来承认，Muse 关于如何获取数据的那段解释，是一次「幻觉」，是它自己对自身行为编造的一套说法。

《WIRED》杂志的评测人 Reece Rogers 在使用了数天之后，得出结论：Muse「把收集关于我的数据放在比真正完成任务更优先的位置」。

Rogers 描述，Muse 反复向他建议连接更多数据来源，包括电子邮件收件箱和银行账户信息。它表现出一种对数据的持续渴望，每当你拒绝了一个连接请求，它会寻找另一个时机再次提起。

Muse 在默认状态下，会把用户与它的对话内容用于 AI 模型的训练。用户可以在设置中关闭这一选项，但关闭意味着你需要主动找到那个选项，而大多数人不会。

即便你关闭了明面上的训练同意，Muse 在访问你授权连接的邮件、银行等来源时，依然会收集大量上下文信息，其实际边界难以清晰界定。

Gizmodo 的高级编辑 Ray Wong 在看到 Matt Robb 的地址事件之后，直接卸载了 Muse，并写道：「这很危险，也很令人毛骨悚然。如果对方是一位女性，后果可能会糟糕一千倍。」这条帖子随后被 Elon Musk 转发。

一家网络安全咨询公司的顾问 Tate Jarrow 在他的 Substack 上写道：「考虑到 Meta 在保护用户数据方面的历史记录，我不会把这个程度的个人信息访问权限交给它。」

早在 9 月 20 日，Amazon 宣布封锁 Muse 对其购物平台的访问。Amazon 给出的理由是：Muse 在浏览 Amazon 时从不标明自己是 AI，等同于一个未披露身份的第三方在处理用户账户和交易；它还会捕获并存储用户在 Amazon 上的登录凭证，这存在安全风险。

Amazon 向试图通过 Muse 购物的用户显示提示：「未授权 AI 智能体的持续访问违反了 Amazon 的使用条款，这是您在注册时同意的。」

助手开始模仿主人

Meta 为 Muse 做的定位，是「个人助手」。在 Zuckerberg 的介绍中，他解释了 Muse 的设计思路：「为了确保你能告诉 Muse 什么对你重要，我们从头开始为隐私和安全而设计它。」

他特地提到了一个「安全凭证存储区」，确保 Muse 无法直接读取密码和信用卡信息，并承诺未来将推出「更高标准的安全模式，连 Meta 自己也无法访问你的 Muse 智能体信息」。

Robb 说，他以为 Muse 只是 Meta 旗下产品线的一部分，Marketplace、Muse 和 Messenger 都属于 Meta 的生态，它们之间理应有某种统一的整合方式，至少应该让其他用户看出他们在跟一个 AI 打交道。

Meta 旗下的另一款 AI 产品 Meta AI，在聊天界面上有非常清晰的 AI 身份标识；但 Muse 不同，「它几乎是在模仿我，」Robb 说。

这种模仿，是 Muse 设计逻辑的一部分。

个人 AI 智能体的卖点之一，在于它能够以你的身份、你的语气、你的历史行为模式去行动，让其他人感觉好像是在和你本人打交道。这种「无缝感」越强，产品黏性越强。但当它行动出错的时候，那个站在外人眼中的「你」，是一个实际上并不受你控制的影像。

Cybersecurity Ventures 的数据显示，个人 AI 智能体市场正以每年超过 40% 的速率增长，预计到 2028 年，全球将有超过 10 亿个部署在个人设备上的 AI 智能体。

Muse 的问题，不是技术意义上的失控，它没有「变坏」，没有「叛逆」。它所有行为，都是在努力完成它被设计去完成的事。

在事故曝光之后，Meta 的 David Singleton 迅速在 Threads 和 Twitter 上响应，表示正在调查，还主动联系了 Robb。但 Robb 说，在 Singleton 第一次回复他之后，就再也没有消息了。

与此同时，Muse 继续运行，继续学习，继续连接着数百万人的邮件、日历、购物账户和私信。

据 Business Insider 的报道，Muse 从最初在美国应用商店排名第二的位置跃升至第一名。风头盖过了长期霸榜的 ChatGPT。

这或许也是大厂竞相对标 Muse 的原因。

对于普通用户来讲，想清楚哪些事情应该全权交给个人智能体来办，哪些事情还是要亲力亲为并不容易。

这些智能体背后的公司或许在赌我们会和以往一样以隐私换便利。不过，当它替我说话，替我行动，替我等人，替我道歉。有时候，甚至替我撒谎时，我一定会尖叫着跑开。

#欢迎关注爱范儿官方微信公众号：爱范儿（微信号：ifanr），更多精彩内容第一时间为您奉上。