610: Meta Muse czyta Twoje wiadomości – czy można mu ufać?

Tak jest. Dario Amodel i Skam Altman. Tematy proszę Państwa. Zaczynamy dzisiaj główny temat od Mety Muse i jest trochę za dymach z Metą. Meta Muse, Tomek zwrócił uwagę, ona jest tylko w Stanach ciągle jeszcze dostępna, w sensie dla nas nie jest dostępna. Pewnie przez to, że ja mam amerykański App Store to mógłbym ją sobie ściągnąć, ale nie zrobię tego i zaraz dowiemy się dlaczego. Biorąc pod uwagę szybkość rozwoju tych narzędzi, to zanim to dojdzie do Polski, to to już będzie zupełnie inne narzędzia, moim zdaniem. No, może tak być. Dobra, zacznijmy od tego, czym jest Muse. Ja tu przygotowałem sobie trochę notatek. Panowie, przerywajcie mi, kiedy uważacie za stosowne.

Ja postaram się tak w miarę krótko streścić temat dla słuchaczy i widzów, a przerywajcie mnie, jak chcecie coś skomentować i potem ewentualnie sobie na ten temat pogadamy. Muse to jest osobisty agent AI Meta, który nie tylko odpowiada na pytania, a samodzielnie działa, czyli korzysta z www, wykonuje wieloetapowe zadania, obsługuje e-mail, kalendarz, pliki, formularze, zakupy, rezerwacje, zwroty czy nawet Facebook Marketplace. Może działać po zamknięciu aplikacji, monitorować ceny i wydarzenia oraz tworzyć własne narzędzia, konektory i subagentów. Każdy użytkownik korzystający z Muse dostaje działającą w chmurze meta maszynę linuksową, to się nazywa Muse Secure Virtual Machine, z przeglądarką, pamięcią i dyskiem. To tam przechowywany jest stan agenta i część danych z podłączonych usług. Największe za to Muse jest niski próg wejścia, oferuje możliwości podobne do bardziej technicznych frameworków agentowych bez własnego serwera i skomplikowanej konfiguracji.

Więc tak, jeśli chodzi o zabezpieczenia... Moment, moment. To właśnie to jest główny selling point Muse. Czyli to jest główne jakby dlaczego ludziom się ten Muse podoba. To jest to, że nagle normalni w cudzysłowie ludzie mogą mieć własnego agenta AI bez tej całej konfiguracji, bez tego wszystkiego wiesz Hermesy, nie Hermesy, wiesz Open Claw, bez tych wszystkich technicznych rzeczy. Po prostu ściągają coś i nagle mają agenta AI. Jakby to jest tak główne. Słucham? No i za darmo te możliwości już takie dość zaawansowane ma bezpłatnie. Z zabezpieczenia. Meta zastosowała m.in. osobny virtual machine dla każdego użytkownika, Sentinel kontrolujący ruch sieciowy działania agenta, przechowywanie haseł i tokenów poza dostępem głównego modelu, ochronę przed prompt injection, filtrowanie kodów jednorazowych i linków resetujących hasła, jednorazowe dane kart płatniczych, audit trail, jednorazowe pozwolenia na sesję, zadanie czasowe lub permanentne,

I co tu jeszcze jest? I teraz tak, mamy oczywiście Meta Muse jako aplikację dostępną na Macu, która tym wszystkim steruje. I tutaj jest kilka istotnych kwestii. Macowa wersja Muse może korzystać nie tylko z usług internetowych, ale też z lokalnych danych. Meta reklamuje dostęp m.in. do messages, czyli wiadomości, kalendarza, notatek i plików. Zależnie od pozwoleń, aplikacja może również korzystać z kamery, mikrofonu, lokalizacji i zapisów pliku. Zapamiętajcie to, bo to teraz wrócimy do tego. Zależnie od pozwoleń. To jest bardzo istotne. I teraz tak. Jasne. Tutaj właśnie na stronie widzicie artykuł Jasona Atena z Inc. I on zauważył, że Muse proponuje działanie na podstawie jego prywatnych rozmów w Messages, mimo że według niego świadomie odmówił dostępu.

Zapytany o źródło informacji, Muse twierdził, że nie czyta historii messages, a jedynie tekst powiadomień macOS. I to było nieprawdziwe. Jason Athen odkrył, że Muse synchronizował lokalną bazę messages. Synchronizacja sięgała wiersza numer 187462. Meta później potwierdziła, że Muse nie czyta powiadomień, mimo że wcześniej było, że czyta. Przy aktywnym dostępie dane są zsynchronizowane bezpośrednio z messages, a wcześniejsza odpowiedź agenta była halucynacją. Najbardziej problematyczna pozostaje rozbieżność. Meta twierdzi, że dostęp do messages wymaga odpowiednich pozwoleń macOSa, w tym pełny dostęp do dysku, natomiast Jason twierdzi, że odmówił dostępu do messages,

Message było później aktywne w Muse. Baza wiadomości została zsynchronizowana. Full disk access, czyli pełny dostęp do dysku dla Muse był wyłączony. Jason jest dziennikarzem i na tym etapie, no ja nie znam Jasona. Ale znając Metę i to, co oni wyczyniają, to prędzej jemu wierzę niż Mecie, no niestety. Do 29 września, czyli już parę dni minęło od tej daty, Meta nie wyjaśniła publicznie, jak dokładnie do tego doszło. Natomiast to jest taki bardzo istotny sygnał alarmowy, pokazujący na tym,

Mimo, że są niby jakieś obostrzenia, to niekoniecznie taki Muse się ich trzyma. Pamiętajcie, że Muse pochodzi od tej samej renomowanej firmy, która stworzyła specjalnie aplikację do VPN-u i dawała ją studentom i tam ludziom, żeby po prostu śledzić wszystko co oni robią. Dzieciom dawała. Dokładnie, więc jak pamiętacie ja kiedyś opisywałem jak zabezpieczam moje okulary Rayban Meta do tego stopnia, że moja aplikacja Meta AI nie ma dostępu do internetu poza moim WiFi. Nie, czyli poza moim domem. W sensie przez telefon komórkowy ona się nie łączy w ogóle.

I ciągle mi działa dobrze. W sensie po prostu ja wyłączyłem Meta. Ja korzystam tylko z nagrywania. I o co chodzi? Firma Meta znana jest z tego, że oni Hakują wszystko, co mogą, więc jakby tutaj ja się wcale nie dziwię, że ten, że Muse omija wszystkie zabezpieczenia i że po prostu nie można zaufać tym zabezpieczeniom, które oni mówią, że tak, tutaj tylko dajemy dostęp i tak dalej. Znowu, to jest ta sama firma, która mówiła, że możesz w okularach ustawić zabezpieczenia odpowiednie i tak dalej, a potem okazało się, że panowie Kenijczycy przeglądali wszystko, co się dzieje na Twoich okularach, więc jakby... No, niestety. Tłumaczę jeszcze WiFi inaczej znane jako Wi-Fi albo ewentualnie Wi-Fi.

Przy okazji tylko jeszcze porzucę, że jak się używa Whatsappa to też polecam wyłączyć dostęp do zdjęć Whatsappowi i jeżeli chcesz wysłać zdjęcie Whatsappem to po prostu klikasz na zdjęcie i używasz Share Sheet, żeby wysłać przez Whatsappa, a nie dajesz dostępu Mecie przez Whatsappa do wszystkich Twoich zdjęć, bo wtedy wszystkie informacje, geolokalizacja, wszystko ląduje w Mecie. Tak. I teraz tak. Muse nie działa wyłącznie lokalnie. Jego podstawowym środowiskiem jest ten VM w chmurze Meta, więc lokalne dane udostępnione w Muse mogą zostać zsynchronizowane z tym środowiskiem. Dalej. Meta przyznaje, że z VM wysyłane jest ograniczona ilość danych potrzebnych do telemetrii, do inference. Jak jest inference po polsku? Inferencja?

Nie wygląda dobrze. A to jest mija faktu, że fenomen Muse, jakby to, że ludzie w tej chwili jest top up w App Store amerykańskim i tak dalej, no to zmotywowało innych do tworzenia podobnych. Jeszcze nie koniec, jeszcze nie koniec z Musem. Więc tak, z Marketplacem były jaja, bo to jest w ogóle takie ostrzeżenie w zasadzie dla wszystkich, którzy w tej chwili za jaja korzystają, jakie potencjalnie mogą być z tym wszystkim problemy. Mianowicie, Matt Robb używał Musa do sprzedaży klawiatury na Facebook Marketplace. Według jego relacji agent prowadził rozmowę za niego, zaakceptował ofertę kupującego, podał kupującemu jego prywatny adres i ustalił dzień i datę odbioru.

No to ja przede wszystkim zadzwonię do Michała i zapytam. Michał, jakiś gość ode mnie chce Twoje dane. Czy ja mam mu je podać, czy nie? Wiesz, tutaj takiej sytuacji nie ma miejsca. Także no, tyle. Więc tak. Patrick Wardle to jest znany researcher bezpieczeństwa. Odkrył w macOS-owej wersji Muse look'em pozwalającą lokalnemu procesowi lub komendzie terminala zmieniać adres serwera używanego do transkrypcji. Ponieważ dyktowanie było wysyłane do chmury, atakujący mógł ustawić własny czy podstawić własny serwer, przechwycić token używiecy rzetelniający i przejąć całe konto Muse. Najważniejsze jest to, że po przejęciu Muse atakujący mógł korzystać ze wszystkich pozwoleń nadanych temu agentowi. Wordloads stworzył proof of concept pozwalający między innymi zapisywać pliki, wykonywać działania z użyciem pozwoleń Muse, robić nawet zdjęcia kamerą Maca i to bez widocznych ostrzeżeń.

Ponoć jest jakiś hotfix już na to, że Meta to załatała, ale spodziewam się, że będzie więcej tego wszystkiego. Teraz tak, ostrzeżenie. Muse nie jest dostępny, znaczy w ogóle dla Was nie jest dostępne, ale załóżmy. Nie jest dostępny w Mac App Store. Jest już za to fejkowy Muse AI. Pojawiła się po prostu w App Store aplikacja w Mac App Store dla precyzji i to jest fejkowa aplikacja. Nie wiemy co robi złego, ale to nie jest aplikacja od mety. W zasadzie tyle. To jest słuchajcie. Meta od lat robiąc eksperymenty na Facebooku, na Instagramie i tak dalej i w sensie psychologiczne eksperymenty na swoich użytkownikach mnóstwo zła przez lata zrobiła i to jest obok groka i produktów pana Elonka to Meta jest ostatnią firmą, z którą cokolwiek chciałbym robić w takich względach i dawać im dostęp do czegokolwiek.

Takie ostrzeżenie na przyszłość. No także, także proszę Was spokojnie. Tak samo, wiesz, tak samo właśnie też mi się wydaje, tu jest problem psychologiczny w sensie takie zachłyśnięcie się. Ej, mam agenta, który coś za mnie zrobi, to ja mu na wszystko pozwolę i wtedy będę miał święty spokój i on wszystko za mnie ogarnie. No jakby w teorii brzmi to świetnie, w praktyce mogą być różne ciekawe konsekwencje tego pozwolenia takiemu agentowi na robienie wszystkiego w naszym imieniu. Więc tutaj czy to jest Muse czy to jest coś innego warto naprawdę bardzo pilnować tego co agenci robią za nas jeżeli już z nich korzystamy. Bo są też oczywiście plusy i ludzie chwalą się w internecie o Muse anulowało coś tam coś tam moją jakby ten dostęp jakby ten moją subskrypcję czegoś tam który nie mogłem anulować samemu.

I ona tam, jakby udało jej się do tego dojść i onulować i coś tam, coś tam. Więc no tak, mówię, są benefity tego, ale my jako ludzie niestety, przynajmniej takie jest moje doświadczenie życiowe, że jesteśmy generalnie leniwi. I więc jeżeli pozwolimy komuś na pełen ten, o i dobrze mu idzie, no to właśnie allow all. Robimy wszystko. No i w tym momencie mogą być niekonieczne konsekwencje, które byśmy chcieli i potem zwalanie winy na Muse też albo na kogokolwiek innego jest, jakie jest. No a ja szczególnie, jak już opowiadałem w tym podcaście, czytałem książkę Careless People, którą polecałem. To właśnie na temat pana Marka i jego firemki.

To jako alternatywa powstaje teraz kolej. I wszyscy stawiają na to, żeby ci agenci nie byli straszni. To są cute maskotki oczywiście. Oczywiście. Takie squishies. Moja córka dziesięcioletnia w tej chwili jest fanką squishies. Tych wszystkich takich maskotek, które się squish. Zgniata. Ugniata. Właśnie takich gniotków. Więc mi te wszystkie maskotki przypominają te gniotki. Dobra, OpenAI trochę chyba w odpowiedzi na Muse zapowiedziało DOTS, czyli kropki. I mamy, jak tutaj widzimy, dla osób, które oglądają, mamy jakieś śmieszne kremitki, jakieś inne zwierzaczki, które są słodziaki itd.