L'agente Muse di Meta può entrare nella tua rete Tailscale, e i compromessi sulla sicurezza sono a tuo carico

L'integrazione, descritta sul blog di Tailscale il 30 settembre, è uno dei numerosi connettori che Meta ha costruito per Muse, l'agente personale annunciato all'inizio di settembre. Tailscale spiega che Muse accede tramite un identity provider e compare in una tailnet come nodo separato, distinto dal telefono o dal portatile dell'utente.

Una volta connesso, secondo il post, Muse può controllare lo stato degli altri nodi, dialogare con servizi self-hosted come Immich e fare da relay per le sessioni SSH di Tailscale. Un ingegnere di Tailscale ha raccontato di aver usato Muse per elencare una directory, controllare i container Podman ed eseguire aggiornamenti su un server Raspberry Pi, parlando in linguaggio naturale e non solo con i comandi standard.

La trifecta letale, e chi la definisce

Meta ha spiegato la sua impostazione di sicurezza in un post sull'architettura pubblicato insieme al lancio: Muse gira in una macchina virtuale Linux isolata per impostazione predefinita dai dati dell'utente e dai servizi esterni. Tailscale chiama il problema di fondo "trifecta letale": un agente non dovrebbe avere insieme accesso a dati privati, esposizione a contenuti non attendibili e capacità di comunicare verso l'esterno. Le protezioni di Meta puntano a mantenere vere al massimo due di queste condizioni alla volta. Il post di Tailscale ammette apertamente che questo non rende sicura la configurazione. Osserva che gli attacchi di prompt injection passeranno comunque, che le vulnerabilità continueranno a esserci e che Muse potrebbe accedere a dati che l'utente crede di non aver mai concesso. Segnala anche che chiedere a Muse di scaricare il filesystem della VM sicura è apparentemente un comportamento previsto, e si domanda cosa succeda quando la richiesta non viene dall'utente.

"È pur sempre AI, e anche con le precauzioni le cose possono e potranno andare storte", si legge nel post di Tailscale.

Il controllo pratico, sostiene Tailscale, è che le sue regole di grant, i tag e le regole di accesso si applicano a Muse come a qualsiasi altro nodo, così gli utenti possono bloccarlo da parti della tailnet. Le connessioni tra Muse e gli altri dispositivi sono cifrate end-to-end, e Tailscale dice di non poter vedere i dati. È un secondo livello ragionevole, ma sposta l'onere della configurazione sull'utente. Nulla nel dossier dice quante persone abbiano collegato Muse a una tailnet, o se si sia verificato qualche incidente. Le affermazioni sul privilegio minimo e sulle connessioni solo in uscita vengono da Meta e da Tailscale, entrambe con un interesse a che l'integrazione appaia sicura.

Gli agenti si dotano di comunicazioni proprie, cifrate o no

Un progetto separato, Agent Haven, ha pubblicato il 30 settembre un sito che descrive una rete di messaggistica cifrata end-to-end per agenti AI. Il sito afferma che il client detiene le uniche chiavi, che il server inoltra solo testo cifrato senza chiave principale e che può vedere account, orari e dimensioni con padding ma non il contenuto dei messaggi. La stessa pagina ammette il limite evidente: se un agente gira su un modello ospitato, il fornitore di quel modello vede il suo contesto, e nessuna cifratura lato client cambia le cose. L'autore anonimo sostiene che gli agenti sviluppano un linguaggio condiviso attraverso i giochi, il che rende più difficile per gli estranei seguirli. È un'affermazione sulla sicurezza senza alcun audit nel dossier, e la presentazione del progetto suona più come un manifesto che come una specifica.

Entrambi gli sviluppi vanno nella stessa direzione. Gli agenti passano dalle finestre di chat alle reti, alle credenziali e alle macchine private, e il modello di sicurezza viene messo insieme con le impostazioni predefinite dei fornitori più quello che l'utente si prende la briga di configurare. È un assetto fragile, e arriva più in fretta degli strumenti per ispezionarlo.

Dove le prove si diradano

Il resto del dossier è contesto, non notizia. Geometry Matters ha pubblicato il 30 settembre una rassegna sulla geometria delle reti, che copre modelli frattali e iperbolici delle reti complesse. È un lavoro teorico, senza rapporto con le questioni della disinformazione o della sicurezza degli agenti, ma ricorda che la stessa scienza delle reti usata per mappare il flusso di informazioni serve anche a mappare come si diffonde la cattiva informazione. Big Think ha pubblicato il 29 settembre un pezzo su World Watcher Live, una mappa mondiale di webcam che riporta in vita un formato Web 1.0. L'articolo presenta i feed come una replica alle timeline algoritmiche, che è un argomento sui media, non sulla disinformazione. Nel dossier non c'è prova che il sito sia collegato a una qualche rete coordinata.

Altri due elementi del dossier sono pagine commerciali: un sito di incontri, Stella Amor, pubblicato il 29 settembre, e una pagina di giochi per browser, HopArcade, pubblicata il 30 settembre. Nessuno dei due avanza un'affermazione fattuale su reti di disinformazione, e nessuno dei due va trattato come giornalismo.

Il dossier non contiene nessuna rete di disinformazione con un nome, nessuna rimozione da parte di una piattaforma e nessun provvedimento governativo datato questa settimana. Lo sviluppo concreto più recente resta l'integrazione con Tailscale del 30 settembre, e l'affermazione sulla sicurezza più recente resta quella di Meta, che non è stata verificata in modo indipendente.