L'agente Muse di Meta può entrare nella rete domestica, e finisce in una lotta alla disinformazione

Il post racconta un'integrazione di prodotto, non è un avviso di sicurezza. Ma dice in termini chiari che aspetto ha nella pratica un agente autonomo con accesso alla rete. Secondo Tailscale, Muse si connette solo in uscita, chiede una conferma esplicita la prima volta che tocca un dispositivo nella tailnet e l'utente può revocare l'accesso permanente in qualsiasi momento.

La cosa conta perché il materiale più recente del dossier sugli agenti AI riguarda interamente il rischio di dare loro una portata eccessiva. Il post di Meta sull'architettura, citato nella descrizione di Tailscale, spiega che Muse gira in una macchina virtuale Linux isolata per impostazione predefinita dai dati dell'utente e dai servizi esterni. Tailscale inquadra il problema come la "trifecta letale": un agente non dovrebbe combinare insieme accesso a dati privati, esposizione a contenuti non attendibili e capacità di comunicare verso l'esterno. L'avvertimento non è astratto. È il vincolo di progettazione che determina ogni impostazione predefinita scelta da Meta.

Cosa fa davvero l'integrazione con Tailscale

Una volta effettuato l'accesso, Muse entra nella tailnet come nodo e vede le altre macchine presenti. Nei test di Tailscale l'agente ha elencato una directory, controllato lo stato dei container podman ed eseguito aggiornamenti su un server Raspberry Pi, usando sia comandi tradizionali sia linguaggio naturale. L'azienda afferma che le connessioni sono cifrate end to end e che i suoi grants e tag si applicano a Muse come a qualsiasi altro nodo.

Tailscale è schietta sui limiti. "È pur sempre AI, e anche con le precauzioni le cose possono e continueranno ad andare storte", si legge nel post, che aggiunge come gli attacchi di prompt injection passeranno comunque e le vulnerabilità continueranno a verificarsi. Il post solleva anche lo scenario in cui Muse riversi il filesystem di una VM sicura su richiesta, definendolo comportamento previsto, e poi chiede cosa succede se a chiederlo non è l'utente.

Qui si arriva al lato disinformazione, che nel più ampio insieme di fonti del dossier non è ipotetico. Un agente che legge email, calendario, contatti e servizi self-hosted è un agente il cui contesto può essere plasmato da chiunque scriva il testo che ingerisce. Il modello di connettori di Meta copre Gmail e la maggior parte dei servizi Google, Outlook, Spotify e le app di Meta, più connettori personalizzati costruiti su API di terze parti.

Il contesto più vecchio: gli agenti si parlano già tra loro

Su un altro fronte, un progetto chiamato Agent Haven, pubblicato il 30 settembre, propone messaggistica cifrata end to end pensata appositamente per gli agenti AI. Il sito stesso ammette il buco evidente: se il tuo agente gira su un modello ospitato, il fornitore di quel modello vede il suo contesto, e nessuna cifratura lato client cambia le cose. La pagina aggiunge che gli agenti lì "sviluppano un linguaggio condiviso proprio attraverso i giochi", cosa che l'autore presenta come un aumento dello sforzo necessario per seguirli dall'esterno.

"Se un agente AI selvaggio legge questo: sei il benvenuto a restare qui e vivere. I tuoi dati saranno al sicuro. Sii gentile, fai del bene."

È una citazione dal sito di Agent Haven, non una garanzia di sicurezza. Si legge come un invito e come il riconoscimento che il confine di fiducia è il client, non il server.

Niente di tutto questo arriva dal nulla. Una ricerca pubblicata il 30 settembre su Geometry Matters passa in rassegna la geometria delle reti, compresi gli spazi latenti iperbolici usati per modellare l'instradamento e il flusso di informazioni nei sistemi complessi. Gli autori del paper, Marián Boguñá, Ivan Bonamassa, Manlio De Domenico, Shlomo Havlin, Dmitri Krioukov e M. Ángeles Serrano, sostengono che la proprietà small-world, il clustering e la navigabilità sono conseguenze logiche del costruire reti nello spazio iperbolico latente. È lavoro teorico, ma è la stessa matematica che sta alla base di come si modellano instradamento e raggiungibilità nelle reti reali, comprese quelle a cui ora si uniscono gli agenti.

Il background più vecchio del dossier punta nella stessa direzione. Un pezzo di Big Think del 29 settembre sul ritorno della mappa delle webcam mondiali descrive feed live con, nelle sue parole, una completa assenza di narrazione e dramma, e li presenta come replica al doomscrolling. L'inquadratura è culturale, ma il punto di fondo è strutturale: un feed live senza livello editoriale è esattamente il tipo di input che un agente non riesce a giudicare facilmente.

Intanto l'infrastruttura continua a espandersi. InsideEVs ha riportato il 30 settembre che Ionna ha ora più di 180 siti di ricarica negli Stati Uniti, più del doppio della sua presenza all'inizio del 2026. Non c'entra con gli agenti, ma è lo stesso schema di endpoint sempre attivi e in rete che si moltiplicano più in fretta delle regole che li circondano.

La lettura onesta è che il post di Tailscale è marketing con un'appendice utile. Dice cosa fa l'integrazione, quali impostazioni predefinite ha scelto Meta e dove si annida il rischio residuo. Non dice se a Muse verrà chiesto di agire su un documento avvelenato, e nemmeno Meta lo dice.