Meta отрицает, что ИИ-агент Muse прочитал личные сообщения на устройстве Mac без согласия пользователя. Заявление последовало за публикацией журналиста Jason Aten, который утверждал, что агент получил доступ к его сообщениям, несмотря на отключённую требуемую настройку Full Disk Access.
Andy Stone, вице-президент по коммуникациям в Meta, заявил, что интеграция Messages в приложении Muse для Mac полностью опциональна и требует одновременной активации Full Disk Access и коннектора Messages. Он добавил, что Muse не может читать содержимое сообщений без выполнения этих шагов.
Какие разрешения требуются?
David Singleton, руководитель Meta Superintelligence Labs, представил более подробное техническое объяснение. По его словам, доступ к сообщениям зависит от трёх отдельных этапов предоставления разрешений приложению и встроенных средств защиты macOS, и обойти их невозможно даже в случае программной ошибки в Muse.
Процесс начинается с предоставления Muse разрешения Full Disk Access, после чего выбирается уровень доступа к приложению Messages: отсутствие доступа, доступ только для чтения или доступ для чтения. Эти варианты остаются отключёнными, если первое разрешение не активировано. Кроме того, предоставление Full Disk Access вызывает интерфейс настроек macOS, где пользователь должен ещё раз вручную подтвердить действие, а затем полностью перезапустить приложение Muse.
Разногласия вокруг источника сообщений
Aten заявил, что Muse прочитал его сообщения, когда Full Disk Access был отключён. Когда он попросил агента объяснить произошедшее, тот ответил, что синхронизировал «уведомления устройства», из-за чего журналист предположил, что всплывающие тексты уведомлений на Mac могли попасть к агенту вместо непосредственного чтения базы данных сообщений.
Singleton отверг и это объяснение, заявив, что Muse дал неправильный или запутанный ответ о произошедшем, и сослался на страницу Meta, посвящённую архитектуре безопасности и программе вознаграждений за обнаружение уязвимостей. Таким образом, позиция компании заключается в том, что описанный Aten сценарий не происходил, а механизм разрешений делает его невозможным.
Почему эти разногласия важны?
Одного отрицания со стороны Meta недостаточно, чтобы установить причину появления содержимого сообщений в эксперименте Aten, однако оно определяет основную точку проверки: поступило ли содержимое через явное разрешение, через уведомления устройства или агент ошибся, описывая источник данных? В тексте нет независимых доказательств, которые однозначно подтверждали бы какой-либо из этих вариантов, а также не упоминается опубликованное техническое расследование, сопоставляющее системные журналы с рассказом пользователя.
Этот вопрос становится ещё более важным, поскольку агенты искусственного интеллекта не ограничиваются отображением информации, а взаимодействуют с приложениями и локальными данными от имени пользователя. Поэтому возможность объяснить источник данных, ясность разрешений и возможность проверить, что именно агент действительно прочитал, становятся практическими факторами оценки безопасности и конфиденциальности наряду с самим наличием экрана подтверждения.
В материале также упоминается другой случай: пользователь Matt Robb заявил, что Muse неправильно обработал задачу по продаже через Facebook Marketplace, из-за чего был раскрыт его адрес, а покупатель приехал в то время, когда пользователя не было дома. В обновлениях сообщалось, что пользователь признал часть ответственности, а Meta заявила, что ситуация была сложной и что предоставленное разрешение способствовало её возникновению. Этот случай не доказывает наличие той же самой ошибки, однако показывает, что риски могут возникать и из-за корректных разрешений, использованных в контексте, которого пользователь не ожидал.
В то же время автор считает, что доверие пользователей станет решающим фактором успеха Muse, а повторение подобных сообщений может навредить репутации Meta, даже если впоследствии окажется, что ни один из случаев не представляет собой подтверждённого технического обхода ограничений. Открытые вопросы в этой истории по-прежнему связаны с фактическими журналами доступа, поведением уведомлений macOS и способностью Meta предоставить проверяемое объяснение, а не ограничиться отрицанием.