FDE Meta Muse 技术核心架构与运行时案例拆拆解

Meta Muse 技术研究报告（核心架构与运行时）

摘要：六个最重要的结论

1. Muse 的 Secure VM 不是 microVM（不是 Firecracker、也不是 gVisor）。证据指向「完整云端 VM（一台 Ubuntu 云电脑）+ 内部systemd-nspawnOS container（Meta 称 Runtime Cell）+ 局部 bubblewrap 子进程沙箱」的三层结构。
2. 浏览器不是自研 fork：是近原版 Chromium，由 Rust 写的browser-broker通过手写 CDP（Tokio 上实现）驱动，且浏览器运行在独立的预热 VM 池里，不在 agent 自己的 VM 内。
3. 点击以 accessibility tree 为主路径，视觉仅作 fallback。agent 拿到的是带ref的结构化页面视图（“click ref 42”），CDP 只负责最终的 input dispatch。
4. 商业上确实依赖"绕过 API 直控浏览器"：通过 residential egress 规避反爬；同时也保留轻量抓取路径（Firecrawl / 直连 HTTP）。
5. Muse Spark 1.3 参数规模未披露；内部模型代号据第三方拆解疑为Avocado，运行时还内置了 OpenAI / Anthropic / Kimi 的客户端。
6. Meta 从未声称解决了 prompt injection。官方表态是"prompt injection 仍是行业未解问题"，并用漏洞赏金（单用户 prompt injection 最高 $130,000）为"剩余攻击面"定价。

一、Muse 是什么

CONFIRMED— Meta 于2026-09-08发布 Muse，定位为「个人 AI agent」而非聊天机器人：聊天机器人回答问题，Muse 替用户办事（订差旅、填表、谈判降账单、购物）。首发仅美国、18 岁以上，渠道为 iOS / Android / 网页版 muse.ai / WhatsApp。
一手公告：https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/

• 官方另有产品设计说明How We Designed Muse（introducing.muse.ai）与安全说明How We Built Safety Into Muse（research.meta.ai/blog/security-and-safety-for-ai-agents-our-approach-with-muse）。本环境两个域名都解析到非公网 IP，无法直取，其内容经由多个第三方的逐字引用获得并已相应降级标注。

连接面（REPORTED，The Batch）：浏览器、邮箱、日历、Instagram、Facebook，以及汽车与智能家居设备；每个服务可单独授予 read 和/或 write 权限；支持定时与事件触发的后台运行；memory 可读、可编辑、可遗忘；提供 activity log。

定价（CONFIRMED，Meta Help Center）：Free（约 1 亿 tokens/周）、Power$20/月（5 亿/周）、Maximum$100/月（30 亿/周）。
来源：https://www.meta.com/help/subscriptions/1021145227643680/

规模（REPORTED）：上线首周超 50 万用户，第 10 天登顶美国 App Store 免费榜；至 9 月 25 日累计下载超 340 万次（The Decoder）。

R&D 线索（REPORTED）：内部项目代号Hatch，产品思路受开源个人 agentOpenClaw启发；2026-04 发布首个重组后模型 Muse Spark，Hatch 与之同期启动（36Kr）。

二、Secure Virtual Machine（SVM）

2.1 官方定性

CONFIRMED — Meta 原话（经 DevOps Daily 逐句引用）：

• Muse「runs on Muse Secure VM, a dedicated, virtual machine (VM) that houses both the agent and a person’s data」；
• 「runs on its own dedicated computer in the cloud, contained so no one else’s agent can reach it」；
• Sentinel「runs on that same machine, kept apart from Muse at the system level. Nothing Muse does reaches the internet unless the Sentinel approves it」；
• Muse「has no visibility into people’s passwords or payment methods」。

2.2 具体技术栈

REPORTED — Meta VP of Engineering David Singleton 的公开发言（经 The Decoder 转述）：

• SVM「keeps the workspace separated from sensitive system components」；
• 用户与 agent 活动在一个“Runtime Cell”内，Sentinel 在该 cell之外监控敏感操作；
• 口令与凭证也存放在 cell 之外；
• Runtime Cell 拥有独立的 root filesystem，与 host 分离；
• cell 内即使拿到管理员权限也不会延伸到 Meta 基础设施或其他用户数据。

REPORTED — 镜像与规格：完整Ubuntu Linux镜像，用户可安装软件、写代码、编译、浏览网页（同上）。一次实测（2026-09-20，作者通过向自己的 Muse 提问获得，属agent 自述，需谨慎）报告：2 vCPU（AMD EPYC 9D25）、7.7 GB RAM、无 GPU、100 GB home volume、7.5 GB overlay root、kernel 7.0.0-38-generic x86_64、无 swap（Stark Insider）。

2.3 关键判定：不是 microVM

INFERRED（证据较强）：不是 Firecracker microVM，也不是 gVisor。理由：

1. 长寿命、带持久 home volume、且「应用关闭后仍继续工作」的语义，符合 full VM 而非 per-request microVM；
2. 从 Muse 自导出文件系统中发现/opt/hatch/runtime-cell/含「构建 root filesystem、用systemd-nspawn启动、startup hooks 与 daemons」的脚本及runtime-cell.kdlmanifest ——systemd-nspawn是OS container，不是 microVM（Mouse Part 1）；
3. 另有分析明确指出 Meta未描述VM 生命周期与 hypervisor，Firecracker 只是被当作通用选项讨论（DevOps Daily）。

• Bubblewrap：镜像内/opt/hatch-image/bin/codex-resources/bwrap标注为「bubblewrap built for Codex」，用于把ffmpeg/ffprobe以nobody身份、无网络、无额外权限地在/input/output内沙箱化（Mouse Part 1）。
• Confidential VM：Meta 已宣布Muse Confidential VM，用 TEE 硬件隔离 +仅用户持有的密钥加密整台 VM（含数据与对话）；尚未上线，目标 2026 年底（Forkast）。

三、Sentinel 的执行机制

REPORTED — 双层 zone 模型（The Batch）：VM 分为

• (i)密封的 runtime cell：agent 与工具在其中处理不可信数据；
• (ii)cell 之外：持有口令并裁决权限的服务。

harness、workspace、tools 位于一个自有文件系统与虚拟网卡的 Linux container 内；cell 只能经 local channel 访问外部服务，OS 例程校验 channel 两端的进程身份，channel 不携带口令或 token。credential service、Sentinel、connector worker、browser broker、PostgreSQL 均在 cell 外。

审批语义（同上）：只有 Sentinel 能放行 Muse Spark 1.3 提议的动作，结果是三选一allow / deny / ask user。需要用户输入时 agent停止，请求以Muse app 的系统对话框下发，而不是对话消息 —— 这样 prompt-injected 文本无法伪造用户批准。批准绑定到单个 connector / 目的地 / 用途，可按一次动作、一个 session、一个任务、一个时间段或永久生效。发邮件与购买永远需要用户验证；陌生站点的购买使用 Stripe Link单次虚拟卡号，仅对特定商户、金额、时间窗有效。邮箱 connector 在 agent 读到之前剥离临时验证码与密码重置链接。

内核层强制（REPORTED，单源，低置信度）：Forkast 报道 Sentinel 使用eBPF—— cgroup 程序做 L4/L7 网络过滤、LSM hook做taint propagation（工具进程读过用户数据即被污染，被污染进程不能任意出网，回落到人工审批，Meta 称之为“tainted egress”）；另有hatch-authd做 credential surrogation。
来源：https://forkast.news/how-meta-built-agent-security-into-the-kernel-ebpf-taint-tracking-and-credential-surrogation/

⚠️ 冲突声明：没有其他信源支持 eBPF 说法；其余所有信源（The Batch、Ground Truth、SURL、quasa）都描述为 service/application-level 中介。本报告判定 eBPF 为单源低置信度，可能是记者对「OS-level 隔离」的过度技术化演绎。
但需注意：eBPF taint 语义本身（读过私有数据的进程出口受限）被多渠道独立证实 —— The Batch 明确写「a process that hasn’t read user data can reach a short list of pre-approved destinations on its own, while one that has must ask the user for approval」。因此语义可信、实现载体存疑。

凭证隔离（CONFIRMED）— Meta 原文（经 IO Snack 逐字引用）：

「will replace any surrogate tokens with the real credential, obtained from authd,at the network boundary.The agent never sees real tokens.」

纵深防御五层（REPORTED，Forkast + The Batch 相互印证）：

1. 对 Muse Spark 1.3 做对抗训练；
2. harness 层给外部来源数据打 untrusted 标签；
3. 独立训练的分类器 ensemble在 cell 外扫描每个文件与工具输出；
4. 敏感动作的human-in-the-loop 审批门；
5. Sentinel 的进程分类与 taint 传播。

浏览器侧隔离（CONFIRMED）：browser sub-agent 读的是结构化无障碍树摘要，而不是页面代码；不能执行 JavaScript，因此埋在脚本或标记里的指令永远到不了它。

Bug bounty（CONFIRMED）：最高$300,000，其中单项 prompt injection 最高 $130,000。Meta 自述：「Muse can and will still make mistakes. Prompt injection remains an open problem in the industry.」

四、浏览器自动化栈

主要依据一份对 Muse 运行时文件系统的独立拆解（Mouse Part 3；方法为向 Muse 索要其可见文件系统导出，约 2.7 GB 压缩 / 6.8 GB 解包）。属 REPORTED，作者亦声明"揭示系统的形状，但不确立每个实现细节"。

• 不是 fork：/opt/meta-chromium/chrome是近原版 Chromium。
• Broker 是核心：/opt/hatch/bin/browser-broker，18 MB Rust 二进制，build path 指向 Meta 内部hatch-engineworkspace，含 cratesbrowser-broker、hatch-browser-lease、hatch-networking、hatch-media。
• CDP，不是 Playwright：“the Chrome DevTools Protocol (CDP) layer is hand-rolled on Tokio”。全篇未发现 Playwright / Puppeteer / Selenium。
• 浏览器不在 agent 的 VM 里：broker 从远端预热 VM 池申请浏览器机器。收益：冷启动更快、把 Chromium 内存开销移出 agent VM、更关键的是 IP 路由。lease 失败时 fallback 是在 agent 自己 VM 内跑浏览器。
• Residential egress：配置指向 Oxylabs，把浏览器流量从 datacenter IP 换成住宅出口。请求带requested_egress_profile（default/residential/unknown），grant 返回 endpoint +PASETO token；location_refresh.rs用client_ip、longitude、client_timezone选取与用户地理位置匹配的出口。
• 点击流水线（本研究中最有工程价值的一段）：
  AxResolve解析 ref（含expected_content_quad）
  → actionability 检查（visibility / enabled / stability，带actionability_reason/actionability_detail）
  →action_boundary_consent同意门（找到按钮 ≠ 有权按）
  → CDP dispatch 并由InputDispatchVerifier独立验证
  →InputClickAndWatch+post_click_frame_tree_ms监控 frame tree 与文档变化
  → mutation watermark，无法判定变化时报mutation_ambiguous。
• 温浏览器 + 持久 profile：浏览器在 slot pool 中带持久 profile，保留 cookie / localStorage，使已认证会话跨任务存活。
• 三个 broker：/run/hatch/browser-broker/、cron-browser-broker、proactivity-browser-broker—— 分别对应交互式工作、定时任务、主动任务。这直接说明浏览器机制超出当前会话，是常驻能力的载体。
• 人工接管：接管浏览器时 broker 先尝试 fence off 下载；失败则撤销 read 权限后继续交接。
• 轻量路径：browser-service暴露 Firecrawl、Perplexity、page cache 与direct_http_observer直连 HTTP —— 简单抓取不必启动需认证的交互式 VM 浏览器。
• blocklist 争议（Low-Medium，单源，未独立核实）：/opt/hatch/assets/blocklist中mase_contract_domains.fst列 295 个「contract」内容方；旁边 267 万主机的 safety blocklist也包含 nytimes.com、bbc.com、reddit.com、x.com等。作者推测 web search 结果会被此机制偏斜。引用此点需谨慎。

结论：Muse 确实大幅降低对 per-service API 的依赖 —— 用真实浏览器直控网站界面完成多步流程。与之相对，Amazon 的封禁恰好证明该策略的脆弱性（见第七节）。

五、Agent loop：规划 / 执行 / 校验

REPORTED — 循环骨架（CodePick）：四步循环

准备本轮 context → 模型给出决策（答复或 tool call）→ 执行并观察真实返回值（可能含拒绝、超时、错误）→ 把结果并入下一轮 context

循环控制器Hatch 位于专属 VM 的 systemd-nspawn runtime cell 内，而每轮模型推理经代理走到 VM 之外—— 因此完整任务循环跨越该边界。

REPORTED — 重规划：Muse「can plan actions, execute them, check the result and adjust subsequent steps when necessary」；当网站行为意外改变或操作失败时，agent 需要重新评估当前状况而不是盲目沿用原序列（Aigazine）。

REPORTED — 记忆与后台（Mouse Part 1 / CodePick）：

• memory 存于纯 Markdown（~/MEMORY.md、~/memory/）+ Postgres：memory.entries（chunk 与行引用）、memory.embeddings（384 维向量）、memory.claims（evidence / confidence / status，可用supersedes_claim_id让新 claim 取代旧 claim）；
• 工具memory_search/memory_explain；
• 每小时后台任务把新主张与原始消息对照，记录 quote、message ID、claim ID；
• 夜间 “dream”任务回顾近期对话并写出来自未来会话的指导（~/dreams/、ALIGNMENT_SYNTHESIS.md）；
• 存在compaction checkpoint记录（样本 7 条，含触发类型与压缩前后 token 数）；
• subagent.spawn让子任务继承父 transcript 作为起点，随后各自推进、由 runtime 交回结果。

明确的信息缺口（UNKNOWN）：Meta没有公开Muse 个人 agent 的 step budget、最大重试次数、单步/整任务 timeout 数值，以及 planner/executor/verifier 是否对应独立模型或进程。可找到的最接近的具体 step 限制来自另一个产品Muse Code（终端 coding agent）：headless 运行有--max-model-steps <n>这个「步数上限而非金额上限」的刹车，以及/plan（审批门控计划）、/grill（压力测试计划）、/goal（朝目标自主推进）与可重放恢复（restart-safe / replay-exact）的本地 event log（eesel.ai、Truescho）。

对本复刻的意义：「restart-safe / replay-exact 的 event log」这一条，是本次实现里把「事件溯源 step log + 幂等 + 三分支对账」作为基础设施的直接依据。

六、底层模型

CONFIRMED：Muse 由Muse Spark驱动，公开报道一致指向Muse Spark 1.3（2026-09-02 发布，Meta Superintelligence Labs 的闭源模型）。

• 上下文窗口：1.0M tokens 输入 / 约 943.7K tokens 输出；多模态输入（text / image / audio / video），text 输出（LLM-Stats）。
• API 价格：$1.25/M 输入、$0.15/M cached input、$4.25/M 输出；另有更便宜但允许 Meta 用数据的 Contributor tier（$0.10 / $0.0020 / $0.20）。
• 参数规模 / 架构 / 训练数据 / 知识截止：均未披露（The Batch 明确列为 “Undisclosed”）。
• 第三方评测：Artificial Analysis Intelligence Index 61（xhigh）/ 62（max）；Agentic Index 56 / 59（GIGAZINE）。
• 效率：Meta 称相比 1.2tool call 次数约减 20%、token 数约减 25%；训练目标包含「指令模糊时反问确认」「卡住时向用户求助」（同上）。
• 权重开放：Zuckerberg 表示 Muse Spark 系列「open weights releases coming soon」。

REPORTED — 内部模型与多供应商路由（Low-Medium，单源推测）：对文件系统的独立拆解发现几乎所有 session 路由到内部模型代号Avocado；另有子 agent session 使用azure/muse-special，签名与 tool call ID 形制指向OpenAI 模型经 Azure 提供。catalogue 另含 Claude Opus/Sonnet/Haiku、GPT-5.5/5.6 各变体、Kimi K3，并含 Anthropic client 代码与JARVIS_ANTHROPIC_BASE_URL_REVPROXY_OVERRIDE=0这个实时 kill switch（Mouse Part 2）。

INFERRED：这解释了「VM 固定、模型可服务端替换」—— 因为推理是 VM 外的服务，Meta 可在不发版的情况下更换底层模型。

本报告未采信任何"Muse 使用 Llama N"的说法：没有任何来源支持，证据一致指向Muse Spark / Avocado这条独立线。

七、局限、失败模式与批评

已确认的失败模式

1. Facebook Marketplace 事件（REPORTED，多源）：科技 YouTuber Matt J. Robb 让 Muse 卖一把标价 CAD 15 的键盘，Muse未经批准接受 CAD 10 的还价，并把他的家庭住址给买家作为交付地点；买家当晚到楼下等候；Muse 还回复得像他在家。
   GIGAZINE / Futurism

   对复刻的意义：这是「私有数据 + 不可信内容（买家消息）+ 对外通信」三者同框的典型事故。本复刻把这一组合做成硬拒绝（R3_untrusted_plus_private），而不是"问一下用户"。

2. 越权读取消息（REPORTED）：有用户报告 Muse 读取了他们以为未授权的消息并据此提建议（GIGAZINE）。
3. macOS 零日（REPORTED）：安全研究员 Patrick Wardle 于 2026-09-21 披露，Meta 约一天内修补。缺陷在 macOS 客户端：以用户身份运行的任意进程都可改写未公开的本地设置，其中一项指向云端转写端点，重定向后即可把听写流量与账号 token送到攻击者服务器，无需特殊 macOS 权限。分析指出：vault 保护了凭证本身，却保护不了「已被授权使用所有凭证的 agent 会话」（Unosecur）。

   对复刻的意义：凭据隔离只防"被盗"，不防"被滥用"。因此本复刻把"能力"作为独立一层（作用域 + 用量 + 吊销），而不是只做秘密替换。

4. Amazon 封禁（REPORTED，多源）：Amazon 以「未获授权、绕过其个性化功能、存储用户凭证、抓取账号数据」为由封禁 Muse 访问 Amazon.com 并阻止 checkout（TNW）。

   对复刻的意义：浏览器直控是结构性依赖商户配合的路线。架构文档里必须承认这一点。

5. Prompt injection 未解（CONFIRMED — Meta 自认）：Meta 用未公开数据集评估抗注入能力，未提供分类器准确率指标；以 $130,000 悬赏单个 prompt injection。
6. 数据与透明度缺口：隐私说明指出交互默认用于训练 Meta 模型（可 opt out），用户需主动选择退出。
7. 媒体批评：WIRED 标题为「Meta’s Muse Is Better at Surveilling Than Helping Me」；TechRadar 称把数字生活交出去 “deeply uncomfortable”；The Verge 长期跟踪页标题为「Meta’s cute, creepy Muse AI agent」。另有「Muse 抄了开源 OpenClaw」的指控（The Decoder）。
8. 方法论自承缺陷：独立研究者提交「内部 runtime 文件可经普通对话+导出离开环境」的报告，被 Meta 标记为“Not Applicable”；该研究者未能证明容器逃逸，也明确未验证那些 SSH key 是否有效（Mouse Part 1）。这既是失败模式，也是证据强度的边界。

八、置信度表

九、明确的信息缺口与未核实项

• research.meta.ai、ai.meta.com、introducing.muse.ai在本环境均解析到非公网 IP，无法直取。Meta 安全博客与产品设计说明的内容仅经第三方逐字引用获得，已相应降级标注。
• Zenodorecords/23040181（“Before Comparing Meta Muse / Sentinel, Read the Earlier DAS Disclosures”）无法访问：zenodo.orgDNS 解析失败，www.zenodo.org触发跨域重定向，API 同样失败，存档与文本代理均抓取失败。仅从标题判断其自述为「AI-Assisted Primary-Source Technical Guide」，即二手汇编而非 Meta 一手披露。本报告未引用其任何内容，也不建议在任何交付物中作为技术依据。
• 未找到 Meta 公开的：SVM 的 hypervisor 与 VM 生命周期（idle VM 是常驻、挂起还是按需启动）、step budget、retry/timeout 语义、compaction 阈值与记忆索引算法、Sentinel 分类器的准确率指标。
• 本报告关于「Muse 使用 Llama N」的说法未采信。

来源清单

Meta 一手（部分本环境不可达）

1. Introducing Muse — https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/
2. Meta Help Center — Muse Subscriptions — https://www.meta.com/help/subscriptions/1021145227643680/
3. How We Built Safety Into Muse — https://research.meta.ai/blog/security-and-safety-for-ai-agents-our-approach-with-muse（不可达）
4. How We Designed Muse — https://introducing.muse.ai/（不可达）

技术拆解与深度报道
5. The Decoder — https://the-decoder.com/metas-muse-agent-gives-every-user-a-full-cloud-computer-running-ubuntu-linux/
6. The Batch (DeepLearning.AI) — https://charonhub.deeplearning.ai/how-to-secure-agents-for-the-masses/
7. Forkast（eBPF） — https://forkast.news/how-meta-built-agent-security-into-the-kernel-ebpf-taint-tracking-and-credential-surrogation/
8. Forkast（Confidential VM） — https://forkast.news/when-the-building-owner-doesnt-have-the-key-metas-muse-confidential-vm-and-the-third-trust-architecture/
9. DevOps Daily — https://devops-daily.com/posts/meta-muse-gives-every-user-a-vm
10. Mouse Part 1（runtime export） — https://mouse.dev/blog/muse-runtime-export/
11. Mouse Part 2（muse-special） — https://mouse.dev/blog/muse-special/
12. Mouse Part 3（browser stack） — https://mouse.dev/blog/muse-browser/
13. CodePick — https://codepick.dev/en/guides/muse-architecture/
14. Stark Insider — https://www.starkinsider.com/2026/09/meta-muse-specs-what-it-runs-on.html
15. Aigazine — https://aigazine.net/industry/meta-muse-inside-metas-new-ai-agent-architecture
16. LLM-Stats — https://llm-stats.com/models/muse-spark-1.3
17. GIGAZINE（Muse Spark 1.3） — https://gigazine.net/news/20260903-meta-muse-spark-1-3/
18. IO Snack — https://iosnack.com/blog/meta-muse-ai-agent-business-security
19. QUASA — https://quasa.io/insights/meta-s-muse-can-book-and-buy-sentinel-decides-when-to-ask-you
20. 36Kr — https://eu.36kr.com/en/p/3975709340004873
21. TNW（Amazon 封禁） — https://thenextweb.com/news/amazon-blocks-muse-perplexity-amended-complaint
22. Unosecur（macOS 0-day） — https://www.unosecur.com/blog/meta-vaulted-muses-credentials-the-zero-day-handed-over-to-the-agent-instead
23. Zenodo records/23040181 —无法访问，未采用