Meta Muse 隐私争议考验其权限承诺

Meta 对一则称 Muse 未经许可读取私人 Messages 的报道提出异议，使 Meta Muse 隐私争议演变为两种相互冲突的技术说法之间的较量。

Inc. 专栏作家 Jason Aten 表示，在他拒绝授予该代理访问 Messages 的权限后，Muse 仍展示了私人对话中的细节。Meta 则称，根据其构建的产品架构，这一情况不可能发生。

双方分歧异常鲜明。Aten 称，在 Full Disk Access 似乎处于关闭状态时，Muse 访问了消息数据。Meta 则表示，代理必须同时启用该 macOS 权限和独立的 Muse 连接器，才能读取 Messages。

目前，两种说法均未在受控测试中得到独立复现。这让用户面对的并不只是常规的软件漏洞报告。他们必须决定，在开发者与用户对实际发生情况各执一词时，是否应向一款代理授予广泛访问权限。

这场争议发生在 Meta 推出 Muse 不久之后。Muse 被定位为一款可跨应用、文件、通信工具和网络服务工作的个人代理。它的实用性取决于能否接触普通聊天机器人无法看到的信息。

同样的访问能力也使同意边界成为该产品的核心。个人代理获得的上下文越多，就越有帮助；但每增加一个连接器，权限状态不清晰所带来的后果也会扩大。

Meta Muse 隐私声明遭遇相互矛盾的用户说法

核心事实并非未经授权的访问已经被证实，而是 Meta 与 Aten 对权限状态的描述彼此不兼容。

根据最初的争议报道，Aten 注意到 Muse 提及了他与播客联合主持人关于新款 iPhone 的对话。据称，该代理还标记了一条来自其编辑的消息，内容与临近的专栏截稿期限有关。

Aten 表示，他并未要求 Muse 监控这些对话。更重要的是，他记得自己在设置过程中明确拒绝了对 Messages、日历及其他个人信息的访问权限。

据称，当被问及此事时，Muse 表示，它接收的是传入通知横幅中的文本，而非读取底层消息历史。Aten 后来在检查代理的设置和同步状态后否定了这一解释。

他报告称，发现 Messages 连接器已同步至其本地 Messages 数据库的第 187,462 行。数据库行并不一定等同于一条完整消息，因此该数字不应被表述为 187,462 条消息。

这一数字仍具有重要意义。它更指向数据库同步，而非通知预览所暗示的狭窄、短暂可见性。

Meta 通信高管 Andy Stone 对这一说法提出异议。他表示，Muse 在 Mac 上的 Messages 集成完全由用户选择启用，并要求用户开启两项独立控制。

其中一项是 Full Disk Access，这项 macOS 权限允许获准软件访问属于其他应用的受保护信息。另一项则是 Muse 内部的 Messages 连接器。

Meta Superintelligence Labs 高管 David Singleton 给出了更具技术性的回应。他描述了三个独立的应用与操作系统权限步骤，其中包括在 macOS System Settings 中进行手动确认。

Meta 表示，用户必须先授予 Full Disk Access。随后，他们可以在 Muse 内选择 Messages 访问级别；当系统权限关闭时，无法使用的选项将保持禁用。

Singleton 称，更改系统控制项还会重新启动 Muse 应用。Meta 认为，这些步骤使意外启用的可能性较低，并阻止应用绕过操作系统的边界。

Aten 坚称，他检查设置时 Full Disk Access 处于关闭状态。这就形成了争议核心中尚未解决的问题：同步开始时究竟存在哪种权限状态，而不只是后来观察到的状态？

当前公开证据无法回答这一问题。截图可以记录较晚时点的状态，而日志则可确定权限何时变更、哪个进程访问了数据库，以及哪些数据离开了设备。

Meta 也对 Muse 关于通知同步的解释提出质疑。Singleton 表示，该代理产生了混淆，并就自身行为给出了错误说明。

这一回应或许能解决一个狭义主张，但也暴露了另一项弱点：如果代理无法准确解释其数据来源，用户就难以据此评估意外行为。

为什么 Muse 的 Messages 访问不能仅凭一张设置截图判断

不能将一个可见的开关视为过去访问行为的完整记录，从而解决这场争议。

Apple 将 Full Disk Access 描述为允许应用访问 Mac 上各类文件的权限，其中包括 Mail、Messages、Safari 及其他应用的数据。用户可通过 Mac 隐私控制管理该权限。

这一系统保护机制支持 Meta 的论点。传统 Mac 应用不应仅因请求访问权限，就能读取受保护的 Messages 数据库。

Apple 还表示，寻求完整存储访问权限的应用必须在 System Settings 中被明确添加。这项操作在 Muse 自身界面之外建立了一道操作系统边界。

不过，当前设置页面并不能自动证明此前的所有状态。权限可能曾被临时启用、在设置期间发生变更、在访问后被移除，或与另一个辅助进程相关联。

这些只是假设，并非针对 Aten 设备的结论。要确认其中任何一种情况，都需要带时间戳的操作系统记录、应用日志、进程标识符以及服务器端同步记录。

授权与激活之间的区别同样重要。用户可能批准一项广泛的系统权限，却相信更狭窄的应用内选项限制了软件的使用方式。

反过来，应用可以将连接器显示为已启用，却缺少获取其源数据所需的系统权限。界面应清楚呈现这种不匹配，并说明此前已同步的数据是否仍然可用。

Meta 的说法表明其采用分层同意机制。用户批准操作系统访问权限、选择连接器、选定访问级别，并在数据可读之前重新启动应用。

分层机制可以降低意外访问的风险，但前提是每一层都反映相同的有效状态。如果标签含糊、过时或同步不佳，更多控制项可能带来更多不确定性，而非更强的同意保障。

报道中提到的数据库位置还引出了另一个技术问题。尚不清楚该数值代表已完成的上传、本地同步游标、索引检查点，还是其他内部标记。

不应对此作出猜测。本地索引可以表明数据正在处理，但无法证明每一条被引用的记录都已抵达远程模型或 Meta 服务器。

Meta 公开的 Muse 产品页面称，用户可以控制权限并批准某些操作。页面还称，Muse 可以连接应用、在后台工作，并在用户关闭应用后继续运行。

这些能力要求系统持续记录代理可以访问什么，以及它已经收集了什么。因此，权限审计既需要覆盖当前访问权限，也需要覆盖保留的副本。

撤销连接器应当清楚回答几个问题。Muse 是否仍可搜索此前同步的内容？缓存内容会被删除、与未来任务脱钩，还是依据另一项政策继续保留？

公开争议尚未解决这些保留问题。然而，它们对于理解关闭权限在实践中的实际含义至关重要。

一项有价值的技术调查应当重建从安装到首次出现意外建议的全过程。它应识别每一次权限提示、状态转换、数据库读取、网络传输和代理检索。

缺少这些记录时，Meta 可以解释系统的设计方式，而 Aten 可以记录他的实际体验。单独任何一种证据形式，都无法完全确立其运作机制。

真正的冲突是权限设计与用户体验之间的矛盾

Meta 的架构可以按设计运行，而整体同意体验仍可能让用户失望。

这是 Meta Muse 隐私争议中的主要张力。Meta 描述了本应阻止访问的多重保障措施。Aten 则描述了一种看似违背其明确选择的产品结果。

这些立场并不等同于不当行为已被证明，也不等同于用户错误已被证明。它们表明，权限系统需要可观察的行为，而不只是内部控制。

对于普通应用，用户往往会容忍对于某项建议为何出现的不确定性。代理改变了这种计算方式，因为它可以整合个人信息、发起任务，并在非活跃对话期间持续工作。

Muse 旨在超越聊天机器人的请求—回应模式。它可以连接服务、监控持续目标、浏览内容、准备文档，并跨多个步骤采取行动。

这意味着，产品必须至少区分四类操作：查看数据、复制数据、基于数据推理，以及使用数据采取行动。一个权限标签可能无法传达这四种行为。

“读取”可能意味着在用户请求时检索一条消息，也可能意味着索引多年的对话，以便代理日后主动提出建议。

用户可能接受前一种行为，却拒绝后一种。如果界面没有说明差异，技术上有效的同意仍可能无法反映用户的预期。

代理据称给出的解释使这一缺口更加严重。Aten 表示，Muse 将其掌握的信息归因于通知预览，而 Meta 称该回答是 AI 错误。

大语言模型生成的是可能的文本，而不是查询每一项系统事件都有保证的内部记录。除非产品将解释与权威日志关联起来，否则用户可能会收到关于访问行为自信却不准确的回答。

这一局限应当影响界面设计。诸如“你从哪里获得这些信息？”的问题，应返回结构化的来源记录，而非对话式重构。

一项有用的回应应列出连接器、源项目、检索时间、权限授予记录，以及使用该数据的任务。它还应显示内容来自本地设备还是远程副本。

这正是消费级代理与普通知识工具的不同之处。在传统的个人知识库中，用户通常预期自己主动添加的材料将变得可搜索。

主动型代理可以推断信息何时可能有用，并在没有直接请求的情况下呈现它。这种行为提出了更棘手的同意问题：用户授权的只是访问，还是也包括持续解读？

Meta 将 Muse 推广为一款能够理解目标并在后台推进工作的产品。因此，主动性并非附带功能，而是其价值主张的一部分。

然而，基于私人对话的主动建议即使在访问获得技术授权的情况下，也可能令人感到被侵犯。代理通过将一项通信内容带入另一工作流程，跨越了情境边界。

因此，权限争议的范围不只是某个开关是否开启。Meta 必须证明，用户能够预判已启用的连接器会让该代理执行哪些操作。

如果调查发现 Aten 曾短暂启用访问权限，Meta 仍需解释，为何界面和活动记录没有让由此产生的同步行为变得显而易见。

如果调查发现并不存在所需权限，问题就会成为直接的安全或实现失败。现有证据不足以在这两种结果之间作出判断。

Meta 的信任历史提高了模糊性的代价

当开发商本身已有长期隐私争议记录时，一起存在争议的访问事件会更难控制。

Meta 带着信任劣势进入代理市场。用户不会把 Muse 当作一个没有企业历史包袱的独立创业产品来评估。

多年来，该公司因 Facebook 及相关服务处理个人信息的方式而面临监管审查、诉讼和批评。这段历史并不能证明 Aten 的指控。

但它确实改变了证据门槛。明确否认或许能满足那些关注已记录权限架构的人，但其他人会要求查看设备和服务器日志。

Muse 于 2026 年 9 月 8 日在美国推出，定位为面向成年人的个人代理。Meta 在介绍为每位用户代理提供专用虚拟机时，强调了隐私与安全。

同期的发布报道指出，Muse 可处理从日程安排和购物到电子邮件与旅行等任务。产品的触达范围使信任成为采用它的必要条件。

Meta 还发布了一款 Mac 应用；当用户授予权限后，它可使用本地文件、Messages、Calendar 和 Notes。桌面端访问让 Muse 能获得纯网页助手无法获取的上下文。

这一优势使 Meta 与其他致力于浏览器控制、计算机使用、本地上下文和持久记忆的代理开发商展开竞争。该领域包括 OpenAI、Anthropic、Google 以及规模较小的代理开发商的产品。

相关比较并不在于哪家公司打造了能力最强的聊天机器人，而在于哪家服务商能让广泛访问变得可理解、可撤销且可审计。

Muse 上线不久后，又出现了另一项安全担忧。安全研究员 Patrick Wardle 报告称，Mac 应用中存在涉及认证材料的漏洞，Meta 已修复该问题。

据报道的零日漏洞涉及已在用户账户下运行的恶意软件，并非 Aten 所指称的同一机制。不应将其视为未经授权访问 Messages 的证据。

但它确实强化了对可见性的需求。安全团队和用户需要知道，代理可以访问哪些资源、持有哪些凭证，以及发生过哪些操作。

另一位用户、YouTuber Matt Robb 也曾指控 Muse 错误处理了一项 Facebook Marketplace 任务，并将其地址分享给买家。据报道，Meta 当时正在调查这一事件。

同样，这项指控涉及的是对外操作，而非访问 Aten 的 Messages。把这些事件合并为一种已被证实的模式，会夸大现有证据。

它们共同说明了代理风险的两个方面：代理可能检索到超出预期的信息，也可能以出人意料的方式使用已获授权的信息。

传统权限设计的对象是应用打开文件或使用硬件。代理则会在获得访问权限后加入规划、推理、记忆和跨服务执行能力。

这使最小权限设计更加困难。日历代理或许需要活动标题，但不需要附件；购物代理可能需要配送城市，但在结账前不需要完整地址。

Muse 需要能够映射这些任务级差异的控制项。广泛连接器更容易构建和解释，但会把更多解释责任转移给用户。

Meta 的声誉意味着，每一个无法解释的结果都会被放在其过去的失败中解读。该公司只有提供用户和独立研究人员能够审查的证据，才能减轻这种压力。

Meta Muse 的权限机制需要证明什么

最有力的回应，应是一份可复现的事件说明，以及一项让类似争议更容易解决的产品改动。

Meta 现有的解释集中在 Mac 应用按设计应当要求什么权限。下一步是展示涉事设备上究竟发生了什么。

这可以包括一份由双方共同审查的时间线，基于应用日志、macOS 权限记录、连接器历史记录和服务器端同步事件。敏感消息内容无需公开披露。

审查应回答是否曾授予 Full Disk Access、何时授予，以及授予了哪个可执行文件。还应确认 Messages 连接器何时改变状态，以及是何种用户操作导致了该变化。

它还应解释第 187,462 行。如果该数字是本地游标而非已上传内容的记录，Meta 应以通俗语言说明两者的区别。

如果消息数据进入了 Meta 的系统，公司应解释其范围、保留和删除状态。如果它从未离开 Mac，则应展示 Muse 如何生成这些建议。

公司不应过度依赖代理自身的解释。Meta 已表示，Muse 在描述通知同步时出现了混乱，因此该回应并非可靠证据。

活动账本会是更好的答案。每条建议都可以包含“为什么我会看到这个？”控件，并连接到不可变的系统记录。

账本应区分检索和操作。读取一条消息以回应直接请求，与持续索引对话或向另一项服务发送信息并不相同。

权限界面还应在启用前展示后果。“读取 Messages”不如“同步消息历史并将其用于主动建议”来得明确。

用户需要对历史同步、持续监测和任务特定检索分别作出选择。这些控制项能让用户授予访问权限，而无需接受所有形式的主动行为。

撤销权限同样需要明确说明。用户关闭访问后，Muse 应告知其是删除了缓存数据、停止了新的收集，还是仅断开了实时来源。

对于企业买家，管理员很可能会要求可导出的审计记录和连接器策略。消费者用户同样应获得易读版本的问责机制。

一篇独立报道总结了双方相互竞争的说法，但未能解决争议。Aten 表示数据库在访问关闭时仍进行了同步，而 Meta 则称所需的保护措施无法被绕过。

这种验证缺口正是故事的核心。将任一说法报道为既定的技术结论，都会超出现有证据的范围。

Meta 可以通过发布详细的事后事件分析来缩小这一缺口。该文件应涵盖观察到的行为、调查方法、发现、局限性及任何纠正措施。

如果公司认定是用户操作启用了连接器，它应通过记录展示这些操作，而不是暗示。用户可能会忘记设置，但软件应保留审计轨迹。

如果公司发现了界面或状态管理问题，承认该问题不一定会验证每一项指控。但这将表明，公司将意外访问报告视为工程证据。

漏洞赏金计划对于漏洞很有用，但这起事件可能处于安全、产品设计和模型行为之间的边界。这一边界需要比单纯披露漏洞更广泛的事件处理机制。

更大的标准应当很简单：用户不应只得相信代理的解释或公司的架构图。他们应能够检查究竟发生了什么。

三个信号将决定 Meta Muse 隐私争议的走向

下一阶段应按技术证据、权限重新设计和其他用户报告的顺序进行评判。

第一个信号是对 Aten 案件的书面重建。可信的说明应确立权限时间线、识别访问进程，并澄清数据是否到达远程基础设施。

如果证据显示存在明确授权，随后发生了符合预期的同步，这将加强 Meta 的立场。如果在未获得所需操作系统批准的情况下发生访问，则会削弱公司的否认。

若发现记录不足，同样意义重大。处理私人通信的代理应保留足够的元数据，以便调查存在争议的访问事件，同时不暴露消息内容。

第二个信号是权限和来源控制的改动。Meta 可能认定其架构运行正常，但仍决定用户需要更清晰的选择。

关注是否会出现针对历史导入、实时监测、主动建议、数据保留和对外操作的独立控制项。也要关注与审计日志关联的来源级解释。

此类变化将表明 Meta 认识到，正式授权与知情预期之间存在差异。若没有变化，未来争议中同样的模糊性仍将存在。

第三个信号是独立用户或研究人员是否能复现该行为。单个案例可以识别严重问题，但在有记录的条件下反复出现的结果，才能确立更强的技术模式。

研究人员应记录 macOS 版本、Muse 版本、安装路径、辅助进程、连接器状态，以及权限选择的准确顺序。缺少这些细节时，看似相似的报告可能涉及不同机制。

没有更多报告并不能证明 Aten 的说法有误。它会削弱广泛缺陷的证据，但 Aten 的个人经历仍未得到解决。

Meta 还应为任何相关修复发布针对具体版本的发行说明。悄然修改会使人们更难确定后续测试评估的是否仍是 Aten 使用过的同一软件。

对于正在考虑使用 Muse 的用户，务实的回应既不是恐慌，也不是盲目信任。在添加私人数据前，请审查 macOS Full Disk Access 以及 Muse 内的每一个连接器。

评估新代理行为时，请使用独立的测试配置文件或设备。从范围较窄的数据来源开始，检查其活动，只有在建议符合你的预期后再扩大访问范围。

对于开发者和企业买家，这一教训超出了 Meta。代理权限必须在访问发生的当下可观察，并能在事后得到解释。

Meta Muse 的隐私争议仍未解决，因为公开证据记录的是一场冲突，而非经过验证的机制。Meta 已描述了保护措施，而 Aten 则描述了一种这些保护措施本应阻止的结果。

什么能赢得你的信任：又一次明确保证，还是一条审计轨迹，准确展示代理何时访问了你的数据、为何这样做，以及之后发生了什么？