Ассистент Muse от Meta ведёт досье на близких и по умолчанию получает root в Ubuntu

Персональный ассистент Muse от Meta (организация признана экстремистской на территории РФ, её деятельность запрещена) ведёт «досье» на друзей и семью владельца и при установке по умолчанию получает root, то есть права полного администратора, в операционной системе Ubuntu. Об этом говорят первые разборы файлов агента, которые провели специалисты по безопасности. Muse относится ко второй волне персональных AI-ассистентов, куда входит и Dots от OpenAI: они читают почту, мессенджеры и банковский счёт и могут действовать от имени пользователя. Но собирают они данные не только о владельце, а обо всех, кто с ним связан, включая людей, которые никакого ассистента не устанавливали.

Что нашли в файловой системе Muse

Ассистенты нового поколения приходят на смену чатботам, у которых не было продвинутой памяти и доступа к личным данным. Они продолжают линию первых агентов вроде OpenClaw и Instinct. Финансовые операции Muse по-прежнему требуют физического подтверждения от владельца. Сбор приватных данных при этом идёт автоматически и без отдельных запросов.

Исследователи выяснили, что при установке с параметрами по умолчанию агент получает root-права на Ubuntu, доступ к оперативной памяти и cron.d, то есть к планировщику заданий. Ему также открываются гигабайты пользовательских файлов, включая SSH-ключи. Внутреннее имя агента в коде и документации — Hatch, а самое интересное лежит в каталогах /home/hatch, /opt/hatch и /opt/hatch-image. В директории agents/ нашлись записи о 113 субагентах в формате JSONL.

Самая объёмная часть программы — фреймворк Spaces для сборки и выпуска приложений. Стартовый шаблон включает клиент на React, серверные actions, схему Drizzle для SQLite, SQL-миграции и конфигурацию Bun, всё на TypeScript.

Как устроена память: Markdown, часовые задачи и «сны»

Память Muse хранится в обычных файлах Markdown. Файлы с датами в ~/memory/ фиксируют детали каждого дня, и агент может обновлять их прямо во время разговора. Фоновые задачи запускаются каждый час: они вытаскивают нужные фрагменты, раскладывают их по темам и записывают в разные файлы памяти. PostgreSQL делает эти файлы доступными для поиска.

Отдельно работает ночной процесс «сновидений». Он просматривает недавние разговоры и пишет рекомендации для будущих сессий, а старые «сны» лежат в ~/dreams/. Система удаления воспоминаний, по описанию, разработана так, чтобы стереть все следы без возможности восстановления.

Досье на близких, которые не давали согласия

Другой специалист по безопасности проанализировал файловую систему независимо и нашёл ещё одну деталь. Одна из инструкций требует создавать «страницу для каждого человека в жизни пользователя». Это часть того самого часового фонового процесса. Он собирает данные о семье, партнёрах, друзьях, коллегах, «соавторах» (collaborators) и людях, за которыми пользователь «следит».

Страница сначала почти пустая, затем наполняется разделами «Факты», «История», «Отношения», «Общее», «Открытые темы» и «Укрепление» (Strengthening). Инструкция требует опираться только на настоящие «доказательства»: вымышленные детали названы хуже пустой страницы. В примерах фигурируют место жительства, занятия, повторяющиеся темы вроде переезда в квартиру или общей цели по сбережениям, а также дни рождения и годовщины. В досье могут попадать и события вроде поездки в марте или спора, который уже разрешили.

Отдельно агент описывает, насколько близки люди, на чём основаны их отношения, как они ведут себя друг с другом и что им, по оценке агента, сейчас нужно. Раздел «Укрепление» предлагает поводы для звонка, памятные даты, темы, которые собеседники хотели обсудить позже, и способы моральной поддержки. Официальная цель понятна: давать советы по отношениям и подсказывать места для встреч. Но фактически накапливается персональная информация о людях, которые на сбор не соглашались. Она дополняет социальный граф, который корпорации уже собрали в соцсетях и мессенджерах.

Что говорит защита и где остаются вопросы

Для защиты Muse создаёт изолированную виртуальную машину (VM) с данными и контекстом пользователя. Другие агенты к ней доступа не имеют, а владелец может в любой момент стереть память или отключить внешние сервисы. По замыслу, такая архитектура мешает образованию роя (swarm) персональных агентов, которые общались бы между собой и формировали коллективный интеллект. Изолированную VM помог разработать известный специалист по безопасности, автор Signal Мокси Марлинспайк.

Изоляция защищает данные от других агентов, но не отвечает на вопрос, что агент вообще вправе накапливать о третьих лицах. В источнике не сказано, видят ли такие страницы посторонние и можно ли запретить создание страницы о себе. Широкие права по умолчанию тоже вызывают вопросы: root-доступ и SSH-ключи в стандартной конфигурации выглядят избыточными для ассистента. Тем, кто собирается ставить подобных агентов, стоит проверить параметры установки, ограничить доступ к файловой системе и периодически просматривать каталоги с памятью.