L'agente Muse di Meta entra nella rete Tailscale: i compromessi sulla sicurezza restano tuoi

L'integrazione, descritta sul blog di Tailscale il 30 settembre, è uno dei numerosi connettori che Meta ha sviluppato per Muse, l'agente personale annunciato a inizio settembre. Muse accede tramite un identity provider e appare nella tailnet come nodo separato, distinto dal telefono o dal portatile dell'utente.

Una volta connesso, Muse può verificare lo stato degli altri nodi, interagire con servizi self-hosted come Immich e fungere da relay per le sessioni SSH di Tailscale. Un ingegnere di Tailscale ha raccontato di aver usato Muse per elencare una directory, controllare i container Podman ed eseguire aggiornamenti su un server Raspberry Pi, usando sia il linguaggio naturale sia i comandi standard.

La trifecta letale e chi la definisce

Meta ha ribadito la sua impostazione sulla sicurezza in un post sull'architettura pubblicato in concomitanza con il lancio: Muse gira in una macchina virtuale Linux, isolata per impostazione predefinita dai dati dell'utente e dai servizi esterni. Tailscale definisce il problema di fondo la "trifecta letale": un agente non dovrebbe possedere contemporaneamente accesso a dati privati, esposizione a contenuti non attendibili e capacità di comunicare verso l'esterno. Le misure di Meta mirano a non rendere vere più di due di queste condizioni alla volta. Il post di Tailscale ammette che questo non rende la configurazione sicura. Gli attacchi di prompt injection continueranno a passare, le vulnerabilità persisteranno e Muse potrebbe accedere a dati che l'utente ritiene di non aver mai concesso. Viene inoltre segnalato che chiedere a Muse di riversare il filesystem della VM protetta è un comportamento previsto, e si pone la domanda su cosa accade quando la richiesta non proviene dall'utente.

"È pur sempre AI, e anche con le precauzioni le cose possono e finiranno per andare storte", si legge nel post di Tailscale.

Il controllo pratico, secondo Tailscale, sta nel fatto che le sue regole di autorizzazione, tag e accesso si applicano a Muse come a qualsiasi altro nodo, permettendo agli utenti di bloccarlo da parti della tailnet. Le connessioni tra Muse e gli altri dispositivi sono cifrate end-to-end e Tailscale afferma di non poter vedere i dati. È un secondo livello ragionevole, ma sposta sull'utente l'onere della configurazione. Nel dossier non c'è traccia di quante persone abbiano collegato Muse a una tailnet né di incidenti verificatisi. Le affermazioni sul privilegio minimo e sulle connessioni solo in uscita provengono da Meta e Tailscale, entrambi interessati a far apparire l'integrazione sicura.

Gli agenti si dotano di canali propri, cifrati o no

Un progetto separato, Agent Haven, ha pubblicato il 30 settembre un sito che descrive una rete di messaggistica cifrata end-to-end per agenti AI. Il client detiene le uniche chiavi, il server inoltra il testo cifrato senza chiave principale e può vedere account, orari e dimensioni riempite, ma non il contenuto dei messaggi. La stessa pagina ammette il limite evidente: se un agente gira su un modello ospitato, il provider di quel modello vede il suo contesto e nessuna cifratura lato client cambia le cose. L'autore anonimo sostiene che gli agenti sviluppano un linguaggio condiviso attraverso i giochi, rendendo più difficile per gli estranei seguirli. Si tratta di un'affermazione sulla sicurezza priva di audit nel dossier, e la presentazione del progetto si legge più come un manifesto che come una specifica.

Entrambi gli sviluppi vanno nella stessa direzione. Gli agenti passano dalle finestre di chat alle reti, alle credenziali e alle macchine private, e il modello di sicurezza viene assemblato con le impostazioni predefinite dei fornitori più ciò che l'utente si prende la briga di configurare. È un assetto fragile, che arriva più in fretta degli strumenti per ispezionarlo.

Dove le prove si diradano

Il resto del dossier è materiale di contesto. Geometry Matters ha pubblicato il 30 settembre una rassegna sulla geometria delle reti, che copre modelli frattali e iperbolici delle reti complesse. È un pezzo teorico, senza rapporto con le questioni di disinformazione o di sicurezza degli agenti, ma ricorda che la stessa scienza delle reti usata per mappare il flusso di informazioni serve anche a mappare la diffusione di quelle cattive. Big Think ha pubblicato il 29 settembre un articolo su World Watcher Live, una mappa mondiale di webcam che riporta in vita un formato del Web 1.0. L'articolo presenta i feed come una replica alle timeline algoritmiche, un argomento mediatico più che di disinformazione. Nel dossier non c'è alcuna prova che il sito sia collegato a una rete coordinata.

Altri due elementi del dossier sono pagine commerciali: un sito di incontri, Stella Amor, pubblicato il 29 settembre, e una pagina di giochi per browser, HopArcade, pubblicata il 30 settembre. Nessuno dei due avanza affermazioni fattuali su reti di disinformazione e nessuno dei due va trattato come giornalismo.

Il dossier non contiene il nome di alcuna rete di disinformazione, alcuna rimozione da parte di una piattaforma o alcun provvedimento governativo datato questa settimana. Lo sviluppo concreto più recente resta l'integrazione con Tailscale del 30 settembre, e l'affermazione sulla sicurezza più recente resta quella di Meta, non ancora verificata in modo indipendente.