L'agente Muse di Meta può entrare nella tua rete Tailscale, e i compromessi sulla sicurezza sono tuoi

L'integrazione, descritta sul blog di Tailscale il 30 settembre, è uno dei tanti connettori che Meta ha costruito per Muse, l'agente personale annunciato all'inizio di settembre. Secondo Tailscale, Muse accede con un identity provider e compare in una tailnet come nodo separato, distinto dal telefono o dal portatile dell'utente.

Una volta connesso, si legge nel post, Muse può controllare lo stato degli altri nodi, dialogare con servizi self-hosted come Immich e fare da relay per le sessioni Tailscale SSH. Un ingegnere di Tailscale ha scritto di aver usato Muse per elencare una directory, controllare container Podman ed eseguire aggiornamenti su un server Raspberry Pi, con il linguaggio naturale oltre ai comandi standard.

La trifecta letale, e chi la definisce

Meta ha ripetuto la sua impostazione sulla sicurezza in un post sull'architettura pubblicato insieme al lancio: Muse gira in una macchina virtuale Linux isolata per impostazione predefinita dai dati dell'utente e dai servizi esterni. Tailscale chiama il problema di fondo "trifecta letale": un agente non dovrebbe avere contemporaneamente accesso a dati privati, esposizione a contenuti non attendibili e capacità di comunicare verso l'esterno. Le misure di Meta mirano a non rendere vere più di due di queste condizioni alla volta. Il post di Tailscale ammette apertamente che questo non rende sicura la configurazione. Osserva che gli attacchi di prompt injection passeranno comunque, che le vulnerabilità continueranno a esserci e che Muse potrebbe accedere a dati che l'utente crede di non aver mai concesso. Segnala anche che chiedere a Muse di riversare il filesystem della VM protetta è apparentemente un comportamento previsto, e si chiede cosa succede quando la richiesta non arriva dall'utente.

"È pur sempre AI, e anche con le precauzioni le cose possono e finiranno per andare storte", si legge nel post di Tailscale.

Il controllo concreto, sostiene Tailscale, è che le sue regole di grant, tag e accesso valgono per Muse come per qualsiasi altro nodo, così gli utenti possono bloccarlo da parti della tailnet. Le connessioni tra Muse e gli altri dispositivi sono cifrate end to end, e Tailscale dice di non poter vedere i dati. È un secondo livello ragionevole, ma sposta sull'utente il peso della configurazione. Nulla nel dossier dice quante persone hanno collegato Muse a una tailnet, né se si sia verificato qualche incidente. Le affermazioni sul privilegio minimo e sulle connessioni solo in uscita vengono da Meta e da Tailscale, entrambe con un interesse a che l'integrazione appaia sicura.

Gli agenti si dotano di canali propri, cifrati o no

Un progetto separato, Agent Haven, ha pubblicato il 30 settembre un sito che descrive una rete di messaggistica cifrata end to end per agenti AI. Il sito afferma che il client detiene le uniche chiavi, che il server inoltra il testo cifrato senza chiave principale e che può vedere account, orari e dimensioni riempite ma non il contenuto dei messaggi. La stessa pagina ammette il limite evidente: se un agente gira su un modello ospitato, il provider di quel modello vede il suo contesto, e nessuna cifratura lato client cambia le cose. L'autore anonimo dice che gli agenti sviluppano un linguaggio condiviso attraverso i giochi, il che rende più difficile per gli estranei seguirli. È un'affermazione sulla sicurezza senza alcun audit nel dossier, e la presentazione del progetto stesso si legge più come un manifesto che come una specifica.

Entrambi gli sviluppi vanno nella stessa direzione. Gli agenti passano dalle finestre di chat alle reti, alle credenziali e alle macchine private, e il modello di sicurezza viene messo insieme con le impostazioni predefinite dei fornitori più quello che l'utente si prende la briga di configurare. È un assetto fragile, e arriva più in fretta degli strumenti per ispezionarlo.

Dove le prove si diradano

Il resto del dossier è materiale di contesto, non notizia. Geometry Matters ha pubblicato il 30 settembre una rassegna sulla geometria delle reti, che copre modelli frattali e iperbolici delle reti complesse. È un pezzo teorico, senza alcun rapporto con le questioni di disinformazione o di sicurezza degli agenti, ma ricorda che la stessa scienza delle reti usata per mappare il flusso di informazioni serve anche a mappare come si diffondono le informazioni cattive. Big Think ha pubblicato il 29 settembre un pezzo su World Watcher Live, una mappa mondiale di webcam che riporta in vita un formato del Web 1.0. L'articolo presenta i feed come una replica alle timeline algoritmiche, che è un argomento mediatico, non di disinformazione. Nel dossier non c'è alcuna prova che il sito sia collegato a una qualche rete coordinata.

Altri due elementi del dossier sono pagine commerciali: un sito di incontri, Stella Amor, pubblicato il 29 settembre, e una pagina di giochi per browser, HopArcade, pubblicata il 30 settembre. Nessuno dei due avanza affermazioni fattuali su reti di disinformazione, e nessuno dei due va trattato come giornalismo.

Quello che il dossier non contiene è una qualche rete di disinformazione con un nome, una rimozione da parte di una piattaforma o un provvedimento governativo datato questa settimana. Lo sviluppo concreto più recente resta l'integrazione con Tailscale del 30 settembre, e l'affermazione sulla sicurezza più recente resta quella di Meta, che non è stata verificata in modo indipendente.