Meta Muse ist Metas neuer persönlicher KI-Agent, der Aufgaben tatsächlich für dich erledigt. Er kauft ein, bucht Reisen, füllt Formulare aus, sendet E-Mails und verhandelt in deinem Namen. Am 8. September 2026 wurde er in den USA auf iOS, Android, muse.ai und direkt in WhatsApp gestartet. Er läuft auf Metas Modell Muse Spark 1.3.
Interessant ist die Architektur, nicht die Besorgungen. Jeder Nutzer bekommt einen eigenen Cloud-Computer (die Muse Secure VM) mit eigenem Browser, und ein separater Agent namens Sentinel muss alles freigeben, was diese Maschine verlässt, vom Senden einer E-Mail bis zum Kauf. Muse sieht nie deine echten Passwörter oder Kartennummern und bezahlt mit virtuellen Einmalkarten. Meta untermauert den Sicherheitsanspruch mit einem Bug-Bounty-Programm, das bis zu 300.000 $ zahlt.
Das Preismodell ist Freemium mit kostenpflichtigen Stufen, aber Meta hat die genauen Zahlen noch nicht veröffentlicht. Die lauteste Reaktion im Netz dreht sich nicht darum, ob es funktioniert, sondern darum, ob Menschen ausgerechnet Meta ihre E-Mails, Zahlungen und Smart-Home-Schlüssel anvertrauen wollen.
Vorab eine Klarstellung, weil die Namensgebung verwirrend ist: Dieses Muse ist ein Konsumenten-Agent für deine persönliche To-do-Liste. Es ist etwas anderes als ein KI-Teammitglied für Unternehmen. Wenn du hier bist, weil du KI für eine Aufgabe wie den Kundensupport willst, ist das eine andere Produktform. Wo die Grenze verläuft, erkläre ich am Ende.
Was ist Meta Muse?
Ich baue beruflich KI-Agenten und lese einen solchen Launch daher mit einer Frage: Was darf der Agent tatsächlich tun, und was stoppt ihn, wenn er falsch liegt? Muse ist eine der ersten großen Konsumenten-Antworten auf diese Frage.
Meta beschreibt Muse als „einen persönlichen KI-Agenten“, der „nicht nur Fragen beantwortet, sondern die Arbeit tatsächlich erledigt“. Du sprichst mit ihm, wie du einem Freund schreiben würdest, in der Muse-App oder direkt in WhatsApp. Er plant eine Aufgabe, arbeitet in den Apps, die du verbindest, und führt sie zu Ende. Er arbeitet weiter, wenn du die App schließt, und meldet sich, wenn sich etwas ändert oder er deine Freigabe braucht. Außerdem merkt er sich Details, die du einmal erwähnt hast, und macht ungefragt Vorschläge.
Meta versteht das als ersten Schritt hin zur „persönlichen Superintelligenz“, ein großer Begriff für eine recht bodenständige Idee: ein Agent, der dir Routinearbeit abnimmt. Unter der Haube läuft Muse Spark 1.3, das laut Meta bisher leistungsfähigste Modell. Ein Tester auf Hacker News beschrieb das Gefühl des Modells in einfacheren Worten:
"Muse Spark 1.3... is somewhere between Sonnet and Flable (Opus tier in my experience) in intelligence, but is very fast at 200+ tok/s."
Hier ist das Produkt selbst auf Metas Seite, damit du siehst, wie es sich präsentiert.
Das ist eine andere Kategorie als ein KI-Assistent, der nur chattet, und ein Schritt über einen regelbasierten Chatbot hinaus. Wenn du die größere Landkarte sehen willst, welche Arten es unter dem Begriff gibt, hilft mein Leitfaden zu KI-Agenten. Der ganze Reiz liegt hier im Handeln, und deshalb sind die Schutzvorkehrungen so wichtig.
Was Muse tatsächlich kann
Die Beispiele, mit denen Meta wirbt, sind bewusst alltäglich, und das ist der Punkt. Muse richtet sich an „Milliarden von Menschen“ ohne Lernkurve, deshalb sind die Demos Haushaltsaufgaben statt Code.
| Aufgabe | Was Muse tut |
|---|---|
| Einkaufen | Recherchiert, legt in den Warenkorb und bezahlt mit einer virtuellen Karte, mit deiner Freigabe |
| Rezept zur Einkaufsliste | Verwandelt ein gespeichertes Instagram-Rezeptvideo in eine Einkaufsliste |
| Planung | Schlägt ein Menü für ein Dinner vor und merkt sich die Ernährungsvorgaben der Freunde, bevor er Einladungen verschickt |
| Reisen | Bucht Reisen komplett, indem er einen echten Browser steuert |
| Liest und sendet, wenn du es erlaubst, in deinem Namen | |
| Verwaltung | Füllt Formulare aus, verhandelt eine Rechnung oder verkauft ein Auto |
Der rote Faden: Muse handelt im offenen Web über einen echten Browser, so wie du es auch tun würdest. Das ist nützlich, und genau darauf kommen Skeptiker immer wieder zurück. Wie ein Kommentator anmerkte, scheitert die aktuelle Welle allgemeiner Assistenten ausgerechnet daran:
"Whenever I try to do something with ChatGPT or Gemini, it just refuses to do things citing limitations in its web browsing capabilities. An everyday LLM that can actually fill forms and do stuff for you on the Internet... is what normal people actually need."
Diese Lücke ist der Grund, warum Muse so stark auf den Browser setzt und weniger mit einem Chatfenster konkurriert als mit den agentischen Browsing-Projekten von Google und dem Vorstoß des ChatGPT-Agenten von OpenAI. Bei der Bezahlung geht Muse am weitesten: Er bezahlt mit Link von Stripe und ist laut Meta der erste KI-Agent, der vom Käuferschutz von Link abgedeckt wird. Es ist derselbe Agentic-Commerce-Wandel, der gerade verändert, wie E-Commerce-Marken über den Checkout denken, nur zielt er hier auf dein persönliches Portemonnaie statt auf den Checkout eines Onlineshops.
Wie Muse unter der Haube funktioniert
Hier lohnt es sich, langsamer zu werden, denn hier unterscheidet sich Muse wirklich von einem Chatbot mit angeflanschtem Browser.
Jeder Nutzer bekommt einen eigenen Computer in der Cloud, eine isolierte Linux-VM mit eigenem Browser, Speicher und Arbeitsspeicher. Meta nennt sie Muse Secure VM (interner Codename „Hatch“). Diese VM ist das führende System für alles, was du in Muse eingibst, und Daten verlassen sie nur für Modellinferenz und Telemetrie. Innen teilt Meta die Box in zwei getrennte Welten: den Teil, in dem du und der Agent arbeiten, und den Teil, den Meta zu deinem Schutz gebaut hat.
Der Agent, sein Arbeitsbereich und jedes Werkzeug, das er ausführt, leben in einer abgeschotteten Laufzeitzelle (ein systemd-nspawn-Container, in dem root innerhalb der Zelle auf einen unprivilegierten Host-Nutzer abgebildet wird, mit gefilterten Systemaufrufen und entzogenen Kernel-Berechtigungen). Die sicherheitskritischen Dienste liegen außerhalb dieser Zelle, sodass ein Angreifer, der den Agenten kompromittiert, sie nicht abschalten kann. Zugangsdaten für alles, was du verbindest, liegen in diesem getrennten Bereich, und der Agent bekommt nur Stellvertreter-Token zu sehen. Einfach gesagt: Muse kann deine Logins nutzen, ohne sie je zu sehen, auch Passwörter, die du selbst im Browser eintippst.
Selbsterklärte Meta-Skeptiker, die es tatsächlich aufgemacht haben, waren widerwillig beeindruckt davon, wie sichtbar das alles ist:
"I'm not a fan of Meta in any way, but... it's running in its own VM, and it's an impressively transparent system: you have access to its System Files right in the GUI... You can look at the AGENTS.md and other harness files it uses... It seems a lot more obvious to me how Muse works than say Claude or ChatGPT."
Das Sicherheitsmodell: Warum Muse in einem eigenen Computer läuft
Wenn du einem Agenten deine privaten Daten gibst, ihn auf das nicht vertrauenswürdige offene Web loslässt und ihm erlaubst, Dinge nach außen zu senden, hast du das zusammengebaut, was der Sicherheitsforscher Simon Willison die tödliche Trifecta nannte: genau die Kombination, die ein Prompt-Injection-Angriff braucht, um deine Daten zu stehlen. Muse hat alle drei von Haus aus, deshalb ist die gesamte Architektur darauf ausgelegt, das dritte Bein zu brechen.
Diese Aufgabe übernimmt Sentinel, ein separater Agent auf derselben Maschine, der auf Systemebene von Muse getrennt ist. Sentinel ist die alleinige Berechtigungsinstanz für zwei Dinge: Connector-Aktionen zu Drittdiensten und jede Netzwerkanfrage, die die VM verlassen will. Muse kann nur vorschlagen; Sentinel entscheidet: erlauben, ablehnen oder dich fragen. Er prüft jede Anfrage auf Netzwerk- und Anwendungsebene, blockiert Tricks mit Server-Side Request Forgery und nutzt Tainted-Egress-Tracking auf Kernel-Ebene (auf Basis von eBPF), sodass eine Anfrage, die deine privaten Daten berührt hat, jede automatische Erlaubnis verliert und stattdessen dich fragt.
Wenn Sentinel beschließt zu fragen, stoppt die Ausführung, und die Freigabeaufforderung erscheint in der App-Oberfläche, nicht im Chat mit Muse, und deine Antwort geht direkt zurück an Sentinel. Dieses Detail ist leise wichtig: Ein per Prompt Injection manipulierter Agent kann deine Zustimmung nicht fälschen, indem er sich durch das Gespräch redet. Metas CTO beschrieb den mehrschichtigen Ansatz direkt:
"One threat we're particularly focused on is prompt injection, and we handle it in layers. The model is trained to recognize and resist it. The harness marks anything coming from an untrusted source. Deterministic code checks the result. And an ensemble of classifiers runs where the agent can't reach them."
Käufe bekommen zusätzlich doppelte Absicherung: eine Einmal-Kartennummer, gebunden an diesen Händler, einen bestimmten Betrag und ein kurzes Gültigkeitsfenster, plus jedes Mal eine menschliche Freigabe. Selbst wenn ein Angreifer die Kartendaten per Injection stiehlt, wären sie nutzlos. Meta setzt Geld hinter diese Behauptung mit einem Bug Bounty von bis zu 300.000 $, darunter bis zu 130.000 $ für eine funktionierende Prompt Injection, die einen einzelnen Nutzer betrifft. Diese Zahl zeigt gut, wie schwer das Problem ist, und Meta tut nicht so, als sei es gelöst. Wie es ein langjähriger Praktiker formulierte, ist ein unbeaufsichtigter Agent im offenen Web ein raues Pflaster:
"This is the worst kind of hazmat for LLMs, in one of the most adversarially challenging roles (unattended personal agent). If you ask the agent to recommend a soda and buy it for you, and it goes to Reddit, it is going to be exposed to prompt hijacking attempts."
Was die Leute sagen
Das technische Design hat echten Respekt erhalten. Das Unternehmen dahinter nicht. Im Launch-Thread auf Hacker News (362 Punkte, 379 Kommentare) lautete die vorherrschende Reaktion in irgendeiner Form: „Ich will das, nur nicht von Meta.“
"I absolutely want a general purpose assistant. I absolutely don't trust Facebook with the necessary data."
"Meta in particular has a history of intentionally using customer data and behavior to the detriment of those customers... It's handing your drug dealer the keys to your house."
Meta hat das offensichtlich erwartet, weshalb die Datenschutzzusagen so konkret sind: Muse teilt deine Unterhaltungen oder VM-Daten nicht mit Metas Werbesystemen, du kannst dem Modelltraining widersprechen, und später im Jahr ist eine Muse Confidential VM geplant, die die gesamte Maschine mit einem Schlüssel verschlüsselt, den nur du besitzt. Ob das jemanden beruhigt, der Metas Bilanz beobachtet hat, ist die offene Frage, und mindestens ein Kommentator schaute schon aufs Kleingedruckte:
"How long until 'conversations are not shared with Meta's ad systems' quietly disappears from the site?"
Die andere Sorge war die Zuverlässigkeit, die schlichte Angst davor, unumkehrbare Aktionen einem Modell zu überlassen, das selbstsicher falsch liegen kann. Aber es war nicht nur Skepsis. Die Leute, die es tatsächlich genutzt haben, fanden Momente, in denen es lieferte:
"SAS messed up on one booking... I asked [Muse] to handle it for me. To my surprise, it dug through all of the SAS emails and actually found the emails confirming that the food fees were reimbursed... if not some tool like Muse, I wouldn't even find time to handle this."
Das ist für mich die ehrliche Einschätzung von Muse heute: ein leistungsfähiger Agent mit einem ernsthaften Sicherheitsdesign, gestartet von dem Unternehmen, dem viele seiner Zielnutzer am wenigsten vertrauen wollen.
Preise und Verfügbarkeit
Muse ist nur in den USA verfügbar, auf iOS, Android und muse.ai, mit KI-Brillen „demnächst“. Du kannst es auch direkt in WhatsApp nutzen. Meta sagt, es sei „kostenlos für das meiste, was Menschen brauchen, mit Abos für Menschen, die mehr tun wollen“, das Modell ist also Freemium mit kostenpflichtigen Stufen obendrauf.
Meta hat zum Start keine genauen Preise für die Stufen veröffentlicht. In der Berichterstattung kursieren konkrete Zahlen, aber ich würde sie nicht als Fakt wiederholen, bis sie auf Metas eigener Seite stehen, und die ausführliche Preisübersicht hebe ich mir für einen eigenen Beitrag auf, sobald die Zahlen bestätigt sind. Vorerst gilt als sichere Zusammenfassung: kostenlos zum Start, zahlen für mehr, nur USA.
Wo Muse passt und wo nicht
Muse ist ein Konsumentenprodukt. Es ist für die Besorgungen einer einzelnen Person gebaut und von Haus aus ein Generalist: heute einkaufen, morgen reisen, übermorgen ein Erlaubnisformular. Das ist die richtige Form für eine To-do-Liste. Für eine Geschäftsaufgabe ist es die falsche Form.
Das muss man deutlich sagen, denn das Wort „Agent“ steht inzwischen für zwei sehr verschiedene Produkte. Ein persönlicher Besorgungs-Läufer und ein Teammitglied für Unternehmen teilen einen Namen und sonst fast nichts.
Mein Team hat die Erfahrung auf die harte Tour gemacht, seit Jahren autonome Agenten auf Live-Support-Warteschlangen zu betreiben: Bei einer Geschäftsaufgabe ist das Modell selten der Engpass. In einem Test, in dem wir untersuchten, warum Mitarbeitende KI-Entwürfe von Antworten umschrieben, waren nur etwa 5 % der Änderungen darauf zurückzuführen, dass die KI sachlich falsch lag. Der Rest betraf Tonfall, Länge und Vertrauen. Genau diese Lehre steckt in Muses gesamter Architektur: Die richtige Aktion hängt weniger von roher Intelligenz ab als von Schutzvorkehrungen, Freigaben und der genauen Kenntnis dessen, was der Agent anfassen darf. Meta hat Sentinel für die Konsumentenversion dieses Problems gebaut. Für eine Support-Warteschlange sehen die entsprechenden Schutzvorkehrungen anders aus, und das ist ein Fall für einen dedizierten Kundenservice-Agenten, nicht für einen persönlichen Assistenten. Deshalb sehen auch die KI-Kundenservice-Unternehmen, die man ernst nehmen sollte, ganz anders aus als eine Konsumenten-App für Besorgungen.
Probiere eesel für die Aufgabe, für die Muse nicht gebaut wurde
Wenn du beim Vergleich von Agenten für dein Unternehmen hier gelandet bist, ist das die ehrliche Übergabe. Muse erledigt die Besorgungen einer einzelnen Person. eesel ist eine Plattform für KI-Teammitglieder, auf der du ein einsatzbereites Teammitglied für eine bestimmte Aufgabe einstellst. Aktuell gibt es ein KI-Helpdesk-Teammitglied und einen KI-Blogautor, jeweils mit den Fähigkeiten, Integrationen und dem Unternehmenskontext für seine Rolle.
Der Unterschied, der für ein Unternehmen zählt: Das KI-Helpdesk-Teammitglied fügt sich in das Helpdesk ein, das du bereits nutzt, statt dich zu zwingen, etwas neu aufzubauen, lernt aus deinen vergangenen Tickets und deinem Help Center und lässt sich, ganz entscheidend, an Tausenden deiner historischen Tickets simulieren, bevor es je einem echten Kunden antwortet. Das ist die Schutzvorkehrung, die ein Support-Team wirklich braucht, die geschäftliche Antwort auf dieselbe Frage, die Muse für Konsumenten angeht: Wie kann ich einem Agenten echte Aktionen anvertrauen? Wenn ein Coding-Agent oder deine eigenen Skripte es steuern sollen, gibt es außerdem eine öffentliche eesel-CLI und API, sodass dasselbe Teammitglied auch vom Terminal aus laufen kann, nicht nur über ein Dashboard. Du kannst kostenlos starten, ohne Kreditkarte, und es in wenigen Minuten mit deinen eigenen Daten erleben.
Häufig gestellte Fragen
Was ist Meta Muse?
Meta Muse ist ein persönlicher KI-Agent, der echte Aufgaben für dich erledigt, etwa einkaufen, Reisen buchen, Formulare ausfüllen und E-Mails senden. Er läuft auf Metas Modell Muse Spark in einem dedizierten Cloud-Computer, den Meta Secure VM nennt, und wurde am 8. September 2026 in den USA gestartet.
Ist Meta Muse kostenlos?
Meta sagt, Muse sei für das meiste, was Menschen brauchen, kostenlos, mit kostenpflichtigen Abos für intensivere Nutzung. Meta hat zum Start keine genauen Preise für die Stufen veröffentlicht. Behandle daher jede konkrete Dollarangabe als unbestätigt, bis sie auf Metas eigener Seite steht.
Was kann Meta Muse?
Muse kann einen Browser öffnen, Formulare ausfüllen, verhandeln und in deinem Namen bezahlen. Meta nennt als konkrete Beispiele, ein gespeichertes Instagram-Rezeptvideo in eine Einkaufsliste zu verwandeln, Reisen zu buchen, eine Rechnung zu senken und ein Auto zu verkaufen. Er verhält sich eher wie ein Agent statt wie ein Chatbot, weil er echte Aktionen ausführt, statt nur zu antworten.
Ist Meta Muse sicher?
Muse läuft in einer isolierten VM pro Nutzer, sieht nie deine echten Passwörter und leitet jede ausgehende Aktion über eine separate Sentinel-Schicht, die dich um Freigabe sensibler Schritte bittet. Außerdem bezahlt er mit virtuellen Einmalkarten. Das ist ein starkes Design, aber ein unbeaufsichtigter Agent im offenen Web birgt weiterhin das Risiko von Prompt Injection, weshalb die menschliche Freigabe wichtig ist.
Eignet sich Meta Muse für den Kundensupport oder den geschäftlichen Einsatz?
Nicht wirklich. Muse ist ein Konsumenten-Agent für persönliche Besorgungen, kein Teammitglied für Unternehmen. Wenn du KI für eine klar umrissene Geschäftsaufgabe wie den Support willst, fügt sich ein dedizierter KI-Agent für den Kundenservice wie eesel in dein bestehendes Helpdesk ein und lässt sich vor dem Livegang an vergangenen Tickets simulieren.