Assistente Muse, da Meta, mantém dossiê sobre pessoas próximas e recebe root no Ubuntu por padrão

O assistente pessoal Muse, da Meta (organização reconhecida como extremista no território da Rússia, onde suas atividades são proibidas), mantém um «dossiê» sobre amigos e familiares do dono e, na instalação padrão, recebe root, ou seja, direitos de administrador completo, no sistema operacional Ubuntu. É o que mostram as primeiras análises dos arquivos do agente, feitas por especialistas em segurança. O Muse pertence à segunda onda de assistentes pessoais de AI, que inclui também o Dots, da OpenAI: eles leem e-mails, mensagens e a conta bancária e podem agir em nome do usuário. Só que coletam dados não apenas sobre o dono, mas sobre todos que se relacionam com ele, inclusive pessoas que nunca instalaram assistente algum.

O que foi encontrado no sistema de arquivos do Muse

Os assistentes da nova geração substituem os chatbots, que não tinham memória avançada nem acesso a dados pessoais. Eles dão continuidade à linha dos primeiros agentes, como OpenClaw e Instinct. As operações financeiras do Muse continuam exigindo confirmação física do dono. Já a coleta de dados privados acontece automaticamente, sem pedidos específicos.

Os pesquisadores descobriram que, na instalação com os parâmetros padrão, o agente recebe permissões root no Ubuntu, acesso à memória RAM e ao cron.d, isto é, ao agendador de tarefas. Também ficam abertos para ele gigabytes de arquivos do usuário, incluindo chaves SSH. O nome interno do agente no código e na documentação é Hatch, e o material mais interessante está nos diretórios /home/hatch, /opt/hatch e /opt/hatch-image. No diretório agents/ havia registros de 113 subagentes em formato JSONL.

A maior parte do programa é o framework Spaces, usado para montar e publicar aplicativos. O template inicial inclui um cliente em React, server actions, um esquema Drizzle para SQLite, migrações SQL e a configuração do Bun, tudo em TypeScript.

Como funciona a memória:

Markdown, tarefas por hora e «sonhos»

A memória do Muse é guardada em arquivos Markdown comuns. Os arquivos com datas em ~/memory/ registram os detalhes de cada dia, e o agente pode atualizá-los durante a própria conversa. As tarefas em segundo plano rodam a cada hora: elas extraem os trechos relevantes, organizam por tema e gravam em diferentes arquivos de memória. O PostgreSQL torna esses arquivos pesquisáveis.

Há ainda um processo noturno de «sonhos». Ele revisa as conversas recentes e escreve recomendações para sessões futuras, enquanto os «sonhos» antigos ficam em ~/dreams/. Segundo a descrição, o sistema de exclusão de memórias foi projetado para apagar todos os rastros, sem possibilidade de recuperação.

Dossiês sobre pessoas próximas que não deram consentimento

Outro especialista em segurança analisou o sistema de arquivos de forma independente e encontrou mais um detalhe. Uma das instruções exige criar uma «página para cada pessoa na vida do usuário». Isso faz parte do mesmo processo horário em segundo plano. Ele reúne dados sobre familiares, parceiros, amigos, colegas, «coautores» (collaborators) e pessoas que o usuário «acompanha».

A página começa quase vazia e depois é preenchida com as seções «Fatos», «História», «Relacionamentos», «Em comum», «Assuntos em aberto» e «Fortalecimento» (Strengthening). A instrução determina que o agente se baseie apenas em «evidências» reais: detalhes inventados são classificados como piores do que uma página vazia. Os exemplos incluem local de moradia, ocupações, temas recorrentes, como a mudança para um apartamento ou uma meta comum de economia, além de aniversários e datas comemorativas. O dossiê também pode registrar eventos como uma viagem em março ou uma discussão que já foi resolvida.

O agente descreve ainda o grau de proximidade entre as pessoas, em que se baseia o relacionamento delas, como se comportam entre si e o que, na avaliação dele, cada uma precisa no momento. A seção «Fortalecimento» sugere motivos para ligar, datas importantes, assuntos que os interlocutores queriam discutir mais tarde e formas de apoio emocional. O objetivo oficial é claro: dar conselhos sobre relacionamentos e sugerir lugares para encontros. Na prática, porém, acumulam-se informações pessoais sobre pessoas que não concordaram com a coleta. Esses dados complementam o grafo social que as corporações já montaram em redes sociais e mensageiros.

O que diz a defesa e onde ficam as dúvidas

Como proteção, o Muse cria uma máquina virtual (VM) isolada com os dados e o contexto do usuário. Outros agentes não têm acesso a ela, e o dono pode apagar a memória ou desconectar serviços externos a qualquer momento. Segundo o projeto, essa arquitetura impede a formação de um enxame (swarm) de agentes pessoais que se comunicariam entre si e formariam uma inteligência coletiva. A VM isolada teve a colaboração de um conhecido especialista em segurança, Moxie Marlinspike, autor do Signal.

O isolamento protege os dados de outros agentes, mas não responde à pergunta sobre o que um agente tem o direito de acumular a respeito de terceiros. A fonte não informa se pessoas de fora conseguem ver essas páginas nem se é possível proibir a criação de uma página sobre si mesmo. As permissões amplas por padrão também levantam questionamentos: root e chaves SSH na configuração padrão parecem excessivos para um assistente. Quem pretende instalar agentes desse tipo deve conferir os parâmetros de instalação, restringir o acesso ao sistema de arquivos e revisar periodicamente os diretórios de memória.