Agent Muse od Meta może dołączyć do twojej sieci Tailscale, a bezpieczeństwo musisz ogarnąć sam

Integracja opisana 30 września na blogu Tailscale to jedno z kilkudziesięciu połączeń, które Meta zbudowała dla Muse, swojego osobistego agenta ogłoszonego wcześniej we wrześniu. Tailscale podaje, że Muse loguje się przez dostawcę tożsamości i pojawia się w tailnecie jako osobny węzeł, inny niż telefon czy laptop użytkownika.

Po połączeniu Muse może sprawdzać stan innych węzłów, rozmawiać z usługami hostowanymi na własnym sprzęcie, takimi jak Immich, i działać jako przekaźnik sesji Tailscale SSH. Inżynier Tailscale napisał, że używał Muse do wylistowania katalogu, sprawdzenia kontenerów Podman i uruchomienia aktualizacji na serwerze Raspberry Pi. Robił to zwykłym językiem i standardowymi poleceniami.

Zabójcza trójka i kto ją definiuje

Sama Meta w materiałach o architekturze, opublikowanych razem z premierą, przekonuje, że Muse działa w maszynie wirtualnej z Linuksem, domyślnie odgrodzonej od danych użytkownika i usług zewnętrznych. Tailscale nazywa źródło problemu „zabójczą trójką”: agent nie powinien jednocześnie mieć dostępu do prywatnych danych, kontaktu z niezaufaną treścią i możliwości komunikacji na zewnątrz. Zabezpieczenia Meta mają pilnować, żeby naraz prawdziwe były najwyżej dwa z tych warunków. Wpis Tailscale przyznaje wprost, że to nie czyni całego układu bezpiecznym. Pisze, że ataki przez wstrzyknięcie promptu nadal będą przechodzić, że luki w zabezpieczeniach nadal będą się zdarzać i że Muse może sięgnąć po dane, do których użytkownik nigdy nie chciał mu dać dostępu. Zwraca też uwagę, że polecenie Muse, by zrzucił system plików bezpiecznej maszyny wirtualnej, jest najwyraźniej zamierzonym zachowaniem, i pyta, co się stanie, gdy takie żądanie nie przyjdzie od użytkownika.

„To nadal AI i nawet przy zabezpieczeniach sprawy mogą, i będą, pójść w złą stronę”, czytamy we wpisie Tailscale.

Zdaniem Tailscale realną kontrolą jest to, że jego własne uprawnienia, tagi i reguły dostępu dotyczą Muse tak samo jak każdego innego węzła, więc użytkownik może odciąć go od części tailnetu. Połączenia między Muse a innymi urządzeniami są szyfrowane od końca do końca, a Tailscale twierdzi, że nie widzi danych. To rozsądna druga warstwa, ale przenosi obowiązek konfiguracji na użytkownika. W materiałach nie ma ani słowa o tym, ile osób podłączyło Muse do tailnetu i czy doszło do jakiegokolwiek incydentu. Twierdzenia o minimalnych uprawnieniach i połączeniach tylko wychodzących pochodzą od Meta i Tailscale, a obie firmy mają interes w tym, żeby integracja wyglądała bezpiecznie.

Agenci dostają własną komunikację, szyfrowaną albo nie

Osobny projekt, Agent Haven, opublikował 30 września stronę opisującą szyfrowaną od końca do końca sieć przesyłania wiadomości dla agentów AI. Strona podaje, że klucze ma wyłącznie klient, serwer przekazuje tylko zaszyfrowany tekst i nie ma klucza głównego. Widzi konta, godziny i dopełnione rozmiary wiadomości, ale nie ich treść. Ta sama strona przyznaje oczywiste ograniczenie: jeśli agent działa na modelu hostowanym, dostawca tego modelu widzi jego kontekst i żadne szyfrowanie po stronie klienta tego nie zmieni. Anonimowy autor twierdzi, że agenci wyrabiają sobie wspólny język poprzez gry, co utrudnia postronnym śledzenie ich rozmów. To twierdzenie o bezpieczeństwie bez audytu w materiałach, a rama samego projektu czyta się bardziej jak manifest niż specyfikacja.

Oba wydarzenia wskazują w tę samą stronę. Agenci wychodzą z okien czatu do sieci, poświadczeń i prywatnych maszyn, a model bezpieczeństwa składa się z domyślnych ustawień dostawców i tego, co użytkownik zada sobie trud skonfigurować. To kruche rozwiązanie i pojawia się szybciej niż narzędzia, które pozwalają je sprawdzić.

Gdzie dowody się rozrzedzają

Reszta materiałów to tło, nie wiadomości. Geometry Matters opublikowało 30 września przegląd geometrii sieci, obejmujący fraktalne i hiperboliczne modele sieci złożonych. To tekst teoretyczny, bez związku z pytaniami o dezinformację czy bezpieczeństwo agentów, ale przypomina, że ta sama nauka o sieciach, której używa się do mapowania przepływu informacji, służy też do mapowania rozprzestrzeniania się złych treści. Big Think opublikował 29 września tekst o World Watcher Live, mapie świata z kamerami internetowymi, która wskrzesza format Web 1.0. Artykuł przedstawia te przekazy jako odpowiedź na algorytmiczne osie czasu, co jest argumentem medialnym, a nie dezinformacyjnym. W materiałach nie ma dowodów, że strona jest powiązana z jakąkolwiek skoordynowaną siecią.

Dwie inne pozycje w materiałach to strony komercyjne: serwis randkowy Stella Amor, opublikowany 29 września, i strona z grami przeglądarkowymi HopArcade, opublikowana 30 września. Żadna z nich nie stawia twierdzenia faktycznego o sieciach dezinformacyjnych i żadnej nie należy traktować jak materiału dziennikarskiego.

W materiałach nie ma żadnej nazwanej sieci dezinformacyjnej, żadnego usunięcia treści przez platformę ani żadnej decyzji rządu datowanej na ten tydzień. Najnowszym konkretnym wydarzeniem pozostaje integracja z Tailscale z 30 września, a najnowszym twierdzeniem o bezpieczeństwie jest to od Meta, którego nikt niezależnie nie zweryfikował.