Agent Muse od Meta może wejść do twojej sieci Tailscale, a za bezpieczeństwo odpowiadasz ty

Integrację opisano na blogu Tailscale 30 września. To jedno z kilkudziesięciu połączeń, jakie Meta przygotowała dla Muse, osobistego agenta ogłoszonego wcześniej we wrześniu. Tailscale podaje, że Muse loguje się przez dostawcę tożsamości i pojawia się w tailnecie jako osobny węzeł, inny niż telefon czy laptop użytkownika.

Po połączeniu Muse może sprawdzać stan innych węzłów, rozmawiać z usługami hostowanymi na własnym sprzęcie, takimi jak Immich, i działać jako pośrednik dla sesji Tailscale SSH. Inżynier Tailscale napisał, że użył Muse do wylistowania katalogu, sprawdzenia kontenerów Podman i uruchomienia aktualizacji na serwerze Raspberry Pi. Posługiwał się przy tym zwykłym językiem i standardowymi poleceniami.

Zabójcza trójka, czyli kto ją zdefiniuje

Meta w swoim opisie bezpieczeństwa, powtórzonym we wpisie o architekturze opublikowanym razem z premierą, twierdzi, że Muse działa w maszynie wirtualnej z Linuksem, domyślnie odgrodzonej od danych użytkownika i usług zewnętrznych. Tailscale nazywa leżący u podstaw problem "zabójczą trójką": agent nie powinien jednocześnie mieć dostępu do prywatnych danych, styczności z niezaufaną treścią i możliwości komunikacji na zewnątrz. Zabezpieczenia Meta mają pilnować, by prawdziwe były co najwyżej dwa z tych warunków naraz. Wpis Tailscale przyznaje otwarcie, że to nie czyni całego układu bezpiecznym. Zaznacza, że ataki przez wstrzyknięcie promptu nadal będą przechodzić, że luki w zabezpieczeniach nadal będą się zdarzać i że Muse może dotrzeć do danych, o których użytkownik sądzi, że nigdy nie zostały mu udostępnione. Zwraca też uwagę, że polecenie Muse, by zrzucił system plików bezpiecznej maszyny wirtualnej, najwyraźniej jest zamierzonym działaniem. Pyta przy tym, co się stanie, gdy takie żądanie nie pochodzi od użytkownika.

"To wciąż AI i nawet przy zachowaniu ostrożności sprawy mogą i będą się wymykać spod kontroli" - czytamy we wpisie Tailscale.

Zdaniem Tailscale realną kontrolę dają jego własne uprawnienia, tagi i reguły dostępu, które dotyczą Muse tak samo jak każdego innego węzła. Użytkownik może więc zablokować mu dostęp do części tailnetu. Połączenia między Muse a innymi urządzeniami są szyfrowane od końca do końca, a Tailscale twierdzi, że nie widzi tych danych. To rozsądna druga warstwa ochrony, ale przenosi ciężar konfiguracji na użytkownika. W materiale nie ma informacji, ile osób podłączyło Muse do tailnetu ani czy doszło do jakiegokolwiek incydentu. Zapewnienia o minimalnych uprawnieniach i połączeniach tylko wychodzących pochodzą od Meta i Tailscale, a obie firmy mają interes w tym, by integracja wyglądała na bezpieczną.

Agent dostaje własną komunikację, szyfrowaną albo nie

Osobny projekt, Agent Haven, opublikował 30 września stronę opisującą szyfrowaną od końca do końca sieć przesyłania wiadomości dla agentów AI. Strona podaje, że klucze ma wyłącznie klient, serwer przekazuje zaszyfrowany tekst bez klucza głównego i widzi konta, czasy oraz dopełnione rozmiary wiadomości, ale nie ich treść. Ta sama strona przyznaje oczywiste ograniczenie: jeśli agent działa na modelu hostowanym, dostawca tego modelu widzi jego kontekst i żadne szyfrowanie po stronie klienta tego nie zmieni. Anonimowy autor twierdzi, że agenci wypracowują wspólny język poprzez gry, co utrudnia osobom z zewnątrz śledzenie ich rozmów. To twierdzenie o bezpieczeństwie bez audytu w materiale, a sposób, w jaki projekt siebie przedstawia, przypomina bardziej manifest niż specyfikację.

Oba wydarzenia wskazują w tym samym kierunku. Agenci przenoszą się z okien czatu do sieci, poświadczeń i prywatnych maszyn, a model bezpieczeństwa składa się z domyślnych ustawień dostawców i tego, co użytkownikowi uda się skonfigurować. To kruche rozwiązanie i pojawia się szybciej, niż powstają narzędzia, by je sprawdzić.

Gdzie kończą się dowody

Reszta materiału to tło, nie wiadomości. Geometry Matters opublikowało 30 września przegląd geometrii sieci, obejmujący fraktalne i hiperboliczne modele sieci złożonych. To tekst teoretyczny, bez związku z pytaniami o dezinformację czy bezpieczeństwo agentów. Przypomina jednak, że ta sama nauka o sieciach, którą wykorzystuje się do mapowania przepływu informacji, służy też do mapowania rozprzestrzeniania się fałszywych treści. Big Think opublikował 29 września tekst o World Watcher Live, mapie świata z kamerami internetowymi, która wskrzesza format z czasów Web 1.0. Artykuł przedstawia te przekazy jako odpowiedź na algorytmiczne osie czasu, co jest argumentem o mediach, a nie o dezinformacji. W materiale nie ma dowodów, by strona była powiązana z jakąkolwiek skoordynowaną siecią.

Dwie inne pozycje w materiale to strony komercyjne: serwis randkowy Stella Amor, opublikowany 29 września, oraz strona z grami w przeglądarce HopArcade, opublikowana 30 września. Żadna z nich nie zawiera twierdzeń o sieciach dezinformacyjnych i żadnej nie należy traktować jako materiału dziennikarskiego.

W materiale nie ma żadnej nazwanej sieci dezinformacyjnej, żadnego usunięcia treści przez platformę ani żadnej decyzji rządu z tego tygodnia. Najnowszym konkretnym wydarzeniem pozostaje integracja z Tailscale z 30 września, a najnowszym twierdzeniem o bezpieczeństwie pozostaje twierdzenie Meta, którego nikt niezależnie nie zweryfikował.