Meta MuseDer erste Massen-Agent und sein Generalschlüssel

Die Folge zum Nachlesen

Transkript der gesendeten Folge in Lesefassung.

Paula: Stell dir eine App vor, die deine Mails, deinen Kalender und deine Nachrichten liest – und genau damit innerhalb von zehn Tagen zur beliebtesten kostenlosen iPhone-App in den USA wird.

Paul: Und dann schreibt einer der bekanntesten Mac-Sicherheitsforscher der Welt über genau diese App: „Bitte nicht installieren."

Paula: Ein ganz normaler Produktstart also.

Paul: KI News Kompakt – Folge eins. Ich bin Paul.

Paula: Und ich bin Paula. Das ist unsere allererste Folge – ab jetzt ordnen wir montags bis freitags ein, was in der KI-Welt passiert, und am Ende gibt es immer Kurzmeldungen. Heute: Meta Muse, der erste KI-Agent, den Hunderttausende auf einmal installiert haben.

Paul: Kurz zum Begriff: Ein Chatbot beantwortet Fragen, ein Agent erledigt Dinge. Er schreibt die Mail nicht nur, er schickt sie ab. Er sucht nicht nur den Flug, er bucht ihn.

Paula: Und Muse ist so ein Agent.

Paul: Genau. Meta hat Muse am 8. September vorgestellt. Laut Meta verschickt Muse Mails, bucht Reisen, füllt Formulare aus und kann sogar für dich verhandeln – auch dann, wenn du die App längst geschlossen hast.

Paula: Wo läuft das?

Paul: Auf dem iPhone, auf Android und im Browser – vorerst nur in den USA. Mitte September kam die Mac-App dazu. Und da wird es spannend.

Paula: Wieso?

Paul: Weil Muse auf dem Mac direkt an deine Sachen darf. Meta schreibt selbst: Dateien, Nachrichten, Kalender, Notizen, alles. Er räumt den Download-Ordner auf, findet verschollene Dateien, fasst Nachrichten zusammen.

Paula: Also ein Assistent mit Vollmacht.

Paul: Also — das ist ein bisschen wie eine — hm. Wie ein Praktikant, dem du deinen aufgeklappten Laptop hinstellst und sagst: Mach mal.

Paula: Ein Praktikant, der nie Feierabend macht.

Paul: Und nie nach dem Kaffee fragt.

Paula: Bevor wir zur Sicherheit kommen: Was kostet das?

Paul: Die Grundversion ist kostenlos, mit wöchentlichem Kontingent. Laut mehreren Berichten und Metas Hilfeseiten kosten die Bezahlstufen 20 oder 100 Dollar im Monat. Wie viele echte Aufgaben man dafür bekommt, sagt Meta nicht.

Paula: Und trotzdem ist die App durch die Decke gegangen. Wie stark?

Paul: Die Marktforscher von Sensor Tower haben geschätzt, wie oft Muse in den ersten Tagen in den USA geladen wurde. Ergebnis:

Paula: Ja?

Paul: 730.000.

Paula: 730.000. Platz eins bei den kostenlosen iPhone-Apps, vor ChatGPT. Aber was heißt diese Zahl wirklich?

Paul: Erstens: Das sind Schätzungen, keine Meta-Zahlen. Zweitens widersprechen sich die Berichte beim Zeitraum – mal 5 Tage, mal zehn.

Paula: Mhm.

Paul: Und drittens: Ein Download ist noch lange kein zahlender Kunde. Appfigures schätzt gut eine Million Downloads in elf Tagen – aber nur etwa 27.000 Dollar Umsatz.

Paula: Viel Neugier, wenig Zahlungsbereitschaft. Und Meta hat eine Werbemaschine mit Milliarden Nutzern, um die eigene App nach oben zu schieben.

Paul: Das schreibt Appfigures sinngemäß auch. Trotzdem hat es noch kein Agent so schnell auf so viele Handys geschafft. Und wie Muse gebaut ist, finde ich fast noch spannender.

Paula: Dann erklär mal. Läuft das auf meinem Handy?

Paul: Der Agent läuft in der Cloud, in einer abgeschotteten virtuellen Maschine – Meta nennt sie Muse Secure VM. Dort liegen auch deine Daten. Daneben sitzt ein Programm namens Sentinel. Muse schlägt Aktionen vor, aber nur der Sentinel darf sie freigeben, ablehnen oder dich fragen.

Paula: Nochmal auf Deutsch?

Paul: Der Agent hat die Ideen, der Türsteher hat den Schlüssel. Lesen geht laut Meta automatisch durch, Bezahlen oder Verschicken braucht dein Okay.

Paula: Klingt durchdacht. Warum dann „Bitte nicht installieren"?

Paul: Weil der Türsteher in der Cloud steht – die Mac-App aber auf deinem Rechner. Patrick Wardle, Gründer der Sicherheitsstiftung Objective-See und seit Jahren einer der bekanntesten Mac-Sicherheitsforscher, hat am 21. September eine Lücke veröffentlicht. In der App steckte eine versteckte Einstellung für die Diktierfunktion —

Paula: Also für alles, was ich Muse per Sprache sage.

Paul: Genau. Sie legt fest, an welchen Server deine Sprachaufnahmen gehen. Und jedes andere Programm auf dem Mac konnte sie ändern – ohne Administratorrechte, ohne Rückfrage.

Paula: Und dann?

Paul: Dann landet deine Stimme beim Angreifer. Laut Wardle kann der mitschneiden, Muse eigene Befehle unterschieben und den Anmeldeschlüssel stehlen – quasi den Hausschlüssel zu deinem Muse-Konto.

Paula: Und dieses Konto darf an Mail, Kalender und Nachrichten.

Paul: Genau das. Wardle schreibt sinngemäß: Der Zugriff von Muse kann zum Zugriff des Angreifers werden. Laut Berichten über seine Vorführung ließ sich so sogar ein verknüpftes iPhone ansprechen, etwa um den Standort abzufragen oder Kontakte und Termine zu lesen.

Paula: Fairerweise: Was sagt Meta?

Paul: Meta hat die Einstellung per Hotfix entfernt und betont: kein Angriff aus dem Internet. Dafür muss schon Schadsoftware auf deinem Mac laufen. Das praktische Risiko für Nutzer sei deshalb gering gewesen.

Paula: Sehe ich ehrlich gesagt ähnlich. Wenn schon Schadsoftware läuft, habe ich sowieso ein Problem.

Paul: Wardle hat dafür ein Bild: Nur weil ein schlechter Nachbar einzieht, hat er noch lange nicht die Schlüssel zu allen Wohnungen.

Paula: Und konkret?

Paul: Also — normale Schadsoftware kommt auf dem Mac an vieles, hm, gar nicht so leicht ran. Für Mail, Mikrofon oder Kamera muss jede App einzeln um Erlaubnis bitten. Muse hat diese Erlaubnisse schon. Wer Muse kapert, bekommt sie geschenkt.

Paula: Okay, dann nehme ich das „halb so wild" zurück. Der Agent ist nicht das Einfallstor – aber der Generalschlüssel, der schon im Schloss steckt.

Paul: Das Sicherheitsunternehmen Malwarebytes hat die Warnung aufgegriffen und rät, einem Agenten nie auf einen Schlag Mail, Chats, Kalender, Cloudspeicher und Zahlungsmittel zu öffnen.

Paula: Bleibt der Datenhunger. Meta lebt von Werbung – und dieser Firma soll ich meine Mails geben?

Paul: Laut Meta bleiben die Daten in deiner eigenen virtuellen Maschine, also in deinem persönlichen Bereich in der Cloud. Aber was Muse erledigt, kann ins Training künftiger Modelle fließen, vorher um persönliche Angaben bereinigt. Abschalten geht per Schalter in den Einstellungen.

Paula: Und wer den Schalter nicht kennt?

Paul: Der trainiert mit. So lese ich jedenfalls Metas Beschreibung.

Paula: Und wie verdient Meta Geld, wenn kaum jemand zahlt?

Paul: Unter anderem über Einkäufe – laut TechCrunch mit einer kleinen Gebühr pro Transaktion. Und Shopify hat angekündigt, dass Muse in Shopify-Shops per Shop Pay bezahlen kann —

Paula: Stopp, das ist ein eigenes Riesenthema.

Paul: Stimmt, dafür gibt es eine Sonderfolge. Nur so viel: Amazon hat Muse laut Berichten ausgesperrt. Auf Hacker News vermuten viele, es geht weniger um Sicherheit als darum, dass Agenten keine Werbeplätze anklicken.

Paula: Mhm.

Paul: Trotzdem ist das technisch — ja, doch — ein echter Schritt. Ein Agent, der auf einem normalen Rechner Programme bedient, Dateien sortiert und im Hintergrund weiterarbeitet, war lange eine Entwickler-Vorführung. Jetzt ist es eine App aus dem Store.

Paula: Und genau deshalb ist die Lücke so lehrreich: Je mehr ein Agent kann, desto größer der Schaden, wenn ihn jemand anderes steuert. Muse gibt es offiziell nur in den USA, aber solche Agenten kommen – von Meta und von anderen. Was heißt das für dich?

Paul: Rechte in Häppchen. Nur verbinden, was der Agent für die Aufgabe wirklich braucht, und regelmäßig prüfen, welche Verbindungen noch aktiv sind.

Paula: Und vor dem ersten Start die Einstellungen zum Training suchen. Updates sofort installieren – und nie Befehle ins Terminal kopieren, die einem jemand Fremdes schickt.

Kurzmeldungen

Paul: Und dann noch die Kurzmeldungen. Erstens: Washington und Peking wollen beim Thema KI künftig direkt miteinander reden.

Paula: Genau. Nach dem Treffen von Donald Trump und Xi Jinping hat das Weiße Haus am Freitag verkündet: Es soll einen eigenen Dialog der beiden Länder über Chancen und Risiken geben, erstes Treffen im November. Und dazu einen direkten Kommunikationskanal für KI-Zwischenfälle.

Paul: Also so eine Art rotes Telefon, nur für KI?

Paula: Der Vergleich liegt nahe. Was genau als Zwischenfall zählt und wer wen worüber informiert, steht allerdings noch nirgends. Kurios am Rande: Beide Seiten nennen KI in dem Papier jetzt „Superintelligenz“. Das ist Trumps Lieblingswort, kein neuer Stand der Technik.

Paul: Zweitens: ChatGPT kann jetzt per Sprache auch Mails, Termine und Slack.

Paula: Seit dem 23. September lässt sich der Sprachmodus von ChatGPT mit Gmail, Google Kalender und Slack verbinden. Man kann also sagen: „Such mir die dringenden Mails raus“ oder „Leg den Termin in die freie Lücke am Donnerstag“. Dazu kann man wählen, welches Modell im Hintergrund antwortet.

Paul: Klingt praktisch. Und riskant?

Paula: Beides. Für Firmenkunden gibt es Einstellungen, mit denen heikle Aktionen wie das Versenden einer Mail vorher bestätigt werden müssen. Genau diese Freigabe sollte man nutzen – ein falsch verstandener Satz, und die Mail ist raus.

Paul: Drittens: In Japan wehrt sich ein Synchronsprecher gegen seinen digitalen Doppelgänger.

Paula: Kenjiro Tsuda, bekannt aus der Anime-Serie „Jujutsu Kaisen“, klagt in Tokio gegen TikTok. Ein anonymer Account hat hunderte Videos mit einer KI-Stimme vertont, die laut Tsuda eindeutig seine ist. Er will, dass die Videos verschwinden, und beruft sich auf sein Persönlichkeitsrecht.

Paul: Und TikTok?

Paula: Sagt, das sei eine ganz gewöhnliche tiefe Männerstimme, und man stelle ja nur die Plattform bereit. Es gilt als erstes Verfahren in Japan, bei dem es um den Schutz einer Stimme geht. Ein Urteil wird noch diese Woche erwartet – und dürfte weit über Japan hinaus beachtet werden.

Paul: Das war KI News Kompakt. Neue Folgen gibt es montags bis freitags.

Paula: Bleibt neugierig – und bleibt kritisch.