‏معماری امنیتی Muse، عامل شخصی متا

متا Muse رو معرفی کرد، یه عامل شخصی (personal agent) که تیم خودش از اوایل ۲۰۲۶ داشته ازش استفاده می‌کرده. تو این پست اومده که بیشترِ کار روی همین بخش امنیت رفته، چون اولین بارشون بود که ایمیل، تقویم و یه shell رو دست یه نرم‌افزار می‌دادن و می‌ذاشتن بدون نظارت کار کنه. فرض پایه‌ی طراحی اینه که عامل ممکنه همین حالا هم زیر حمله باشه، پس کار اصلی محدود کردن خرابیه، نه اعتماد به مدل.

هر کاربر یه ماشین مجازی لینوکسی مخصوص خودش داره که همه‌ی داده و کردنشیال‌هاش همون‌جا می‌مونه. هارنس عامل و فایل‌های کاربر داخل یه runtime cell با systemd-nspawn اجرا می‌شن، یعنی یه محفظه‌ی ایزوله که root داخلش root واقعی هاست نیست. سرویس‌های حساس بیرون این محفظه‌ان: hatch-safety برای کلاسیفایرها، privsep برای اجرای کد کانکتورها، hatch-authd برای نگه‌داری توکن‌ها و یه postgres جدا. یعنی عامل حتی اگه گول بخوره، نمی‌تونه محافظ‌ها رو خاموش کنه.

Sentinel یه عامل جداگانه‌ی سمت هاست و تنها مرجع اجازه‌ست: Muse فقط پیشنهاد می‌ده. هر درخواست شبکه رو هم تو لایه ۴ و هم لایه ۷ بررسی می‌کنه (هاست‌نیم، IP نهایی، پورت، متد و مسیر) و توکن واقعی رو فقط لحظه‌ی آخر سر مرز شبکه جای توکن جعلی می‌ذاره. پس تلاش برای اینکه با prompt injection عامل رو مجبور کنی سکرت لو بده بی‌فایده‌ست، چون عامل خود سکرت اصلی رو هیچ‌وقت ندیده.

برای اینکه کاربر زیر بار تأییدهای بی‌پایان نره، یه ردیابی جریان داده در سطح کرنل هست که خودشون بهش می‌گن tainted egress: هر پروسه تمیز شروع می‌شه و به‌محض خوندن داده‌ی کاربر «آلوده» علامت می‌خوره. درخواست‌های تمیزِ کم‌خطر خودکار اجازه می‌گیرن و آلوده‌ها می‌رن سراغ تأیید کاربر. اون تأیید هم مستقیم تو UI کلاینت نشون داده می‌شه، نه تو چت با Muse، و جوابش مستقیم برمی‌گرده به Sentinel.

مرورگر هم سفت‌کاری شده: ساب‌ایجنت مرورگر فقط درخت دسترسی‌پذیری صفحه رو می‌بینه نه DOM خام، نمی‌تونه جاوااسکریپت اجرا کنه و devtools خاموشه. موقع خرید، صفحه‌ی checkout تشخیص داده می‌شه و هر پرداخت تأیید دستی می‌خواد؛ با Stripe Link یه شماره کارت یک‌بارمصرف صادر می‌شه که به همون فروشنده و همون مبلغ قفله. متا می‌گه prompt injection همچنان مسئله‌ی حل‌نشده‌ی صنعته و باگ‌بانتی‌اش رو برای همه باز کرده.

نکات کلیدی:

• هارنس Muse داخل یه runtime cell با systemd-nspawn اجرا می‌شه؛ root داخلش root واقعی هاست نیست
• Sentinel تنها مرجع اجازه برای اکشن کانکتورها و همه‌ی ترافیک خروجیه
• مدل توکن واقعی نمی‌بینه؛ کردنشیال سر مرز شبکه جایگزین می‌شه
• کانکتور ایمیل، کدهای یک‌بارمصرف و لینک‌های ریست پسورد رو فیلتر می‌کنه
• باگ‌بانتی عمومی تا ۳۰۰ هزار دلار، تا ۱۳۰ هزار دلار برای یه prompt injection موفق
• «Muse Confidential VM» تا آخر امسال می‌آد تا دسترسی خود متا هم بسته بشه