Themen › Folge 1

Meta Muse: Der KI-Agent für alle und seine Sicherheitslücke auf dem Mac

Stand: 27. September 2026 · Redaktion KI News Kompakt · zur Folge 1

Kurz gesagt: Meta Muse erledigt Aufgaben selbstständig und stürmte die App-Charts. Eine Lücke in der Mac-App zeigt, wie riskant weitreichende Agenten-Rechte sind.

Was passiert ist

Meta hat am 8. September 2026 den KI-Agenten Muse vorgestellt. Nach Metas eigener Ankündigung soll Muse Mails verschicken, Reisen buchen, Formulare ausfüllen und sogar verhandeln – und zwar auch dann weiter, wenn die App längst geschlossen ist. Damit geht Muse über einen klassischen Chatbot hinaus: Er beantwortet nicht nur Fragen, sondern führt Aufgaben selbst aus. Genau das macht einen KI-Agenten aus.

Zum Start lief Muse auf iPhone, Android und im Browser, vorerst nur in den USA. Mitte September folgte eine Mac-App, über die unter anderem TechCrunch berichtete. Auf dem Mac darf der Agent auf Dateien, Nachrichten, Kalender, Notizen und Mail zugreifen. Laut Meta räumt er etwa den Download-Ordner auf, findet verlorene Dateien und fasst Nachrichten zusammen.

Die Grundversion ist kostenlos und an ein wöchentliches Kontingent gebunden. Bezahlstufen kosten laut mehreren Berichten und Metas Hilfeseiten 20 oder 100 Dollar im Monat. Wie viele Aufgaben ein Kontingent umfasst, beziffert Meta nicht.

Der schnelle Start – und was die Zahlen hergeben

Die Marktforscher von Sensor Tower schätzten rund 730.000 Downloads in den USA in den ersten Tagen; Muse erreichte Platz 1 der kostenlosen iPhone-Apps, vor ChatGPT. Die Angaben sind allerdings mit Vorsicht zu lesen:

• Es handelt sich um Schätzungen externer Marktforscher, nicht um Zahlen von Meta.
• Beim Zeitraum widersprechen sich die Berichte: Mal ist von 5, mal von 10 Tagen die Rede, etwa bei Yahoo Tech.
• Downloads sind keine zahlenden Kunden. Appfigures schätzt gut 1 Million Downloads in 11 Tagen, aber nur etwa 27.000 Dollar Umsatz.

Appfigures wertet das sinngemäß als viel Neugier bei geringer Zahlungsbereitschaft – unterstützt von Metas Reichweite, mit der sich die eigene App sichtbar platzieren lässt. Trotzdem bleibt festzuhalten: Kein Agent zuvor ist so schnell auf so viele Smartphones gekommen.

Die Hintergründe: Türsteher in der Cloud

Technisch setzt Meta auf eine Trennung, die das Unternehmen in einem Forschungsbeitrag beschreibt. Der Agent läuft in der Cloud in einer abgeschotteten virtuellen Maschine, der „Muse Secure VM“, in der auch die Nutzerdaten liegen. Daneben arbeitet ein Programm namens Sentinel. Muse schlägt Aktionen nur vor; allein der Sentinel darf sie erlauben, ablehnen oder beim Nutzer nachfragen. Lesende Zugriffe laufen laut Meta automatisch durch, heikle Schritte wie Bezahlen oder Verschicken brauchen eine Zustimmung – ein Prinzip, das als Human in the Loop bekannt ist.

Die Schwachstelle lag an anderer Stelle. Der Sicherheitsforscher Patrick Wardle, Gründer von Objective-See, veröffentlichte am 21. September 2026 eine Lücke in der Mac-App samt Machbarkeitsnachweis auf GitHub und riet öffentlich davon ab, die App zu installieren. In der App steckte eine undokumentierte Einstellung, die festlegte, an welchen Server die Diktier-Aufnahmen gehen. Jedes andere Programm auf dem Rechner konnte sie ohne Administratorrechte und ohne Rückfrage ändern.

Die Folgen beschreibt Wardle so: Ein Angreifer könnte Sprachaufnahmen mitschneiden, dem Agenten eigene Befehle unterschieben und den Anmeldeschlüssel des Kontos stehlen. Sinngemäß heißt es im Repository, der Zugriff von Muse könne zum Zugriff des Angreifers werden. Laut Berichten über seine Vorführung ließ sich so sogar ein verknüpftes iPhone ansprechen. Das Einschleusen fremder Befehle ähnelt dem Muster der Prompt Injection.

Die Einordnung

Meta entfernte die Einstellung per Hotfix und betonte gegenüber The Register, es handle sich nicht um einen Angriff aus dem Internet: Schadsoftware müsse bereits auf dem Mac laufen, das praktische Risiko sei gering gewesen. Das ist korrekt, greift aber zu kurz. Auf dem Mac muss jede App für Mail, Mikrofon oder Kamera einzeln um Erlaubnis bitten. Muse hat diese Erlaubnisse bereits. Wer den Agenten kapert, erbt sie. Der Agent ist damit nicht das Einfallstor, wohl aber ein Generalschlüssel, der schon im Schloss steckt.

Hinzu kommt die Datenfrage. Laut Meta bleiben die Daten in der persönlichen virtuellen Maschine. Was Muse erledigt, kann jedoch – um persönliche Angaben bereinigt – ins Training künftiger Modelle einfließen; abschalten lässt sich das per Schalter. Weil es sich um ein Opt-out handelt, ist die Nutzung nach dieser Lesart standardmäßig aktiv. Geld verdienen will Meta laut TechCrunch auch über eine kleine Gebühr pro Transaktion; Shopify hat angekündigt, dass Muse in Shopify-Shops per Shop Pay bezahlen kann. Amazon hat Muse laut Berichten ausgesperrt – ein Thema für sich, das in die Debatte um Agentic Commerce gehört.

Was heißt das für dich

Muse ist offiziell nur in den USA verfügbar, doch vergleichbare Agenten werden folgen. Der Fall zeigt: Je mehr ein Agent darf, desto größer der Schaden, wenn ihn jemand anderes steuert. Malwarebytes rät deshalb, einem Agenten nie auf einen Schlag Mail, Chats, Kalender, Cloudspeicher und Zahlungsmittel zu öffnen.

• Rechte schrittweise vergeben und nur verbinden, was die Aufgabe wirklich braucht.
• Regelmäßig prüfen, welche Verbindungen noch aktiv sind.
• Vor dem ersten Start die Einstellungen zum Training suchen.
• Updates sofort installieren und keine Terminal-Befehle von Fremden übernehmen.

Alle Angaben geben den Stand vom 27. September 2026 wieder.

Häufige Fragen

Begriffe aus dem Artikel

Weitere Themen