Meta Muse 雲端電腦指南：AI 代理能操作哪些檔案與權限？

Meta Muse 新增每位使用者專屬的雲端電腦，讓 AI 代理能操作工作區檔案、安裝軟體並執行工具。評估這項能力，須分清代理的執行環境、可讀資料及對外行動權限。

一、Meta Muse 雲端電腦能操作哪些檔案與軟體？

Muse 可以在自己的雲端 Linux 執行環境中操作工作區檔案、安裝軟體並執行工具，讓任務不必只靠聊天介面或單次 API 呼叫完成。這些能力描述的是代理所在的使用者 VM，不代表它可任意操作 Meta 的實體主機或其他使用者的資料。

沒有持續執行環境的聊天介面，通常是在收到文字或附件後回傳回答；具備執行環境的代理則能在工作區中處理檔案、呼叫命令列工具，或準備任務所需軟體。使用者因此可以交辦多步驟工作，例如整理一批文件、產生程式碼後執行，或讓代理在背景繼續處理。代理能操作檔案系統，不代表它能看到裝置上的全部內容；可讀取範圍取決於哪些檔案已進入 Muse 的 VM 或工作區。

Meta 官方將 Muse 描述為運作於使用者專屬雲端電腦中的個人代理。The Verge 報導稱，使用者可在代理環境裡看到 Ubuntu 系統檔案，並操作或安裝軟體。報導所稱可見的 Ubuntu 系統檔案，不能據此判定 Meta VM 或執行容器的正式作業系統規格；Meta 安全架構文章所述的 Linux VM 與 Debian 執行容器，則是廠商公布的架構描述。實際作業系統、磁碟配置和套件可用性都可能隨產品更新而變動。

「專屬 VM」也需要拆成幾層理解。Meta 的說法是，每位使用者有自己的 VM，Muse 的工作區檔案與已連接服務的憑證存放於其中；代理實際執行命令與工具的部分則位於隔離的執行容器。Meta 說明，容器內的 root 權限會映射為主機上的非特權使用者，容器有獨立檔案系統，部分系統呼叫與核心能力也受到限制。換言之，能以管理者權限安裝或修改執行容器中的軟體，和取得底層主機的最高權限，是不同層次。

Meta 將使用者 VM 與代理執行容器描述為不同層次：前者提供專屬工作環境，後者隔離命令與工具的執行。Meta 表示容器內的 root 權限會映射為主機上的非特權使用者，並限制部分系統呼叫與核心能力。這是廠商公布的架構設計，仍應參照實際權限選項與檔案操作結果。

即使執行環境受到隔離，放進工作區的資料仍須由代理處理。「VM 專屬」說明執行環境如何分隔，不會自動說明每份資料如何使用或流向何處；這一點要與下文的資料路徑及產品政策分開檢視。

二、AI 代理權限管理：雲端檔案與外部帳號有何不同？

不能直接畫上等號。建立或修改 VM 內檔案屬於工作區操作；讀取郵件、雲端硬碟或送出網路請求，則會經過連接器或外部網路權限，適用不同的授權判斷。

可以把資料路徑分成三類：第一類是使用者放進工作區的檔案，代理依任務讀取或修改；第二類是外部服務資料，例如郵件、行事曆或社群帳號，代理是否看得到、能否寫入，要看該服務的連接器設定；第三類是對外網路行動，例如把資料送到外部網站、提交表單或購物。這三類操作的風險和核准方式並不相同。給了檔案系統操作能力，不等於每一個連接器都自動開啟；連上郵件，也不必然代表所有郵件功能都授權給代理。

Meta 表示，Muse 的 Sentinel 是連接器操作與網路對外傳輸的權限判斷者。代理提出動作後，Sentinel 依使用者設定、操作範圍和情境決定允許、拒絕或詢問使用者。Meta 也指出，低風險或已符合窄範圍自動允許條件的動作不一定逐次打斷使用者；因此不應把「有 Sentinel」簡化成「每次讀檔或上網都會先跳出核准視窗」。核准會依功能、連接器政策與行動類型而異。

憑證也與一般檔案不同。Meta 說明，連接服務的憑證存放在獨立服務，內建連接器以受限權限執行，主要代理不會直接看到真實密碼或權杖。使用者仍需確認授權範圍：像電子郵件服務若可分開設定讀取與寄送，就先判斷任務是否真的需要寄信；若只要整理行事曆，通常不必同時給其他無關功能。

把資料「存在雲端 VM」和「不會離開雲端 VM」也不是同一件事。推論、遙測或已核准的外部操作可能涉及資料傳輸，應查看產品當下的資料政策與設定。

操作類型	例子	主要判斷點
執行環境內操作	建立檔案、讀取工作區、安裝套件	交給代理的目錄、檔案敏感度與可復原性
連接器操作	搜尋郵件、讀取行事曆、寄送郵件	連接器授權是否分開控制讀取與寫入
外部網路行動	上傳文件、提交表單、瀏覽外部網站	Sentinel 政策、目的地、資料是否外傳及核准方式

「Muse 提出動作，但只有 Sentinel 能授予執行權限。」這是 Meta 對其核准架構的描述，顯示代理提出請求與系統允許請求之間設有獨立判斷層。— Meta AI Research，〈How We Built Safety Into Muse〉

三、檔案系統匯出報導揭露了什麼，又沒有證明什麼？

報導指出，開發者透過提示要求 Muse 打包並匯出其執行環境內的大量檔案，The Verge 也稱記者重現了部分結果；目前公開報導沒有證明其他使用者資料或 Meta 基礎設施遭到存取。這是值得檢視的產品行為，但不能擴大解讀成跨帳號外洩已經發生。

The Verge 報導引述開發者 Peter James 與 Jonny Saunders 的測試，稱 Muse 在收到要求後能打包自身環境檔案；記者表示自己另開工作階段後，也重現了部分檔案樹與安全副本的取得結果。報導提及的內容包括系統檔案、應用程式範本與代理內部文件。這些描述指向使用者所分配環境中的內容，並非已被證實的 Meta 伺服器主機檔案或其他人的 VM 資料。

Meta 對 The Verge 表示，這類匯出不代表使用者存取了 Meta 基礎設施或其他使用者資料。Meta 發言人另表示產品仍在更新，使用者看到的 VM 資訊可能改變；這項產品更新說明不代表 Meta 承認因本次匯出而調整檔案可見範圍。

這些說法呈現廠商對事件範圍與產品變動的說明，不能取代外部安全稽核。能從代理取得大量執行環境檔案，也讓人看見更多內部檔案、設定或工具資訊；即使屬於自己的 VM，仍可檢視產品是否需要如此廣的讀取和匯出能力。

這裡有三個不同問題，不宜混在一起：代理是否能讀取自己工作環境中的檔案；這些檔案是否包含不應提供給使用者的敏感內容；有沒有證據顯示資料跨越 VM 邊界。前兩項可由報導中的測試結果與檔案內容討論，第三項則需要獨立證據。公開資訊不足以支持「已發生跨使用者資料外洩」的結論，也不足以將廠商對隔離架構的說明當成外部驗證。

對使用者而言，較可操作的問題是：交辦工作時，代理會讀取哪些檔案；它能否把產物下載到本機或傳給外部服務；若工作區裡有密碼、客戶名單、未公開文件或公司內部程式，任務是否非得把它們交給代理處理。檔案匯出報導提醒的是資料暴露面需要被理解，不是要求讀者把每一種雲端代理操作都當成已證實的外洩事件。

「存取私人資料、接觸不可信內容、具備對外通訊能力」構成提示注入風險常被討論的三個條件。Meta 在安全架構文章中引用安全研究者 Simon Willison 的這項分析，提醒風險會隨能力組合而增加。— Simon Willison，經 Meta AI Research 引述

四、為什麼有隔離與核准，仍要限制交給代理的資料？

隔離和核准能限制部分路徑，但代理仍要讀取任務資料，也可能遇到網頁、文件中的不可信指令或發生誤操作。資料敏感度、連接器權限及對外傳輸能力同時存在時，縮小任務範圍能降低單一錯誤造成的影響。

提示注入是指外部內容把看似指令的文字放進文件、郵件或網頁，試圖改變代理接下來的行為。代理可能必須閱讀這些內容才能完成任務；當它同時能接觸私人資料，又能使用瀏覽器、連接器或網路把資訊送出去，錯誤判斷的後果就可能變大。這是風險鏈，不代表每一段內容都會成功操控代理，也不代表每次閱讀都會造成外洩。

Meta 描述的防護包含隔離執行容器、限制核心能力、將連接器執行與憑證分開、由 Sentinel 控制連接器及網路傳輸，並在特定情境要求使用者核准。這些機制分別處理不同問題：容器隔離限制執行環境可觸及的系統資源；憑證隔離減少代理直接取得秘密資訊的機會。

Sentinel 評估特定外部動作，核准流程讓使用者對部分敏感行動表態。風險仍可能來自模型判讀錯誤、政策設定失誤或尚未發現的漏洞，多層防護無法將它們全部排除。因此，把工作範圍與權限縮到任務所需的程度，能讓上述錯誤較難觸及無關資料，並限制可能造成的影響面。

還有一個實務上的根因：方便與權限往往綁在一起。要代理替人寄信、整理雲端資料或長時間處理工作，就得允許它讀取相應資料，有時也得允許它寫入或對外操作。若任務需求沒有先界定清楚，使用者容易把「讓它順利完成」理解成一次開啟許多連接器和廣泛讀寫權限。這會讓原本只是整理檔案的任務，也可能接觸不相關的郵件、私人資料或外部服務。

較穩妥的設計，是先定義輸入資料與預期輸出，再授予完成該任務所需的最低範圍。若只需摘要一份文件，就只提供該文件；若要讀信但不需要寄信，分開檢查讀寫權限；若任務不必連外，就避免開啟不相關的服務。這些做法不能保證不出錯，但可以讓錯誤或誤解只影響較小的範圍，也讓事後檢查更容易定位問題。

五、交付工作前，先檢查資料範圍與權限設定

先列出代理要讀取或修改的資料、需要使用的連接器，以及可能對外送出的內容，再逐項確認授權和核准方式。含敏感個人資料、公司機密或帳號憑證的使用者，應優先採用最小權限，並從低敏感、容易復原的任務開始。

交付工作前可依序檢視幾件事：工作區是否只包含任務需要的檔案；資料中有沒有不必要的個資、存取權杖或未公開內容；連接器能否把讀取和寫入分開；寄信、購買、提交表單或上傳檔案等動作會不會要求確認；檔案是否可由使用者檢視、下載或還原。

Meta 表示 Muse VM 會持續備份，且推論軌跡經去識別處理後可用於模型訓練，使用者可在 Muse 設定中退出。這項說明指的是推論軌跡，不宜概括成工作區檔案直接用於訓練。若帳戶提供相關設定，應確認資料是否用於模型訓練，並以帳戶介面顯示的選項和 Meta 最新政策為準。

若使用公司資料，還要確認組織是否允許把資料交給外部代理服務處理，以及管理者是否已規範可連接的服務。個人使用者則要留意郵件和雲端硬碟常含其他人的資料，授權後可見範圍可能超過當下任務所需。把一份資料交給代理之後，即使它只在專屬 VM 中處理，仍應依產品的推論、備份、遙測和外部動作說明判斷資料可能如何流動。

操作權限最好分階段增加。先用可公開或可刪除重做的檔案測試讀取與輸出，再評估是否需要連接個人帳號；先授予讀取，再視情況開放寫入；最後才考慮涉及付款、寄送或正式提交的動作。每次新增權限，都對應一個明確任務需求，並確認如何撤銷。若介面提供操作紀錄或待核准清單，應了解去哪裡檢視，避免只靠對話回憶代理做過哪些事。

1. 圈定工作資料：只提供任務需要的資料夾與文件，移除無關的機密、個資與憑證。
2. 拆開讀取和寫入：逐一檢查連接器能否分別限制搜尋、修改、寄送或刪除。
3. 辨識外部行動：標出可能上傳、寄出、購買或提交的內容，確認核准方式。
4. 確認資料管理方式：查看檔案檢視、下載、備份、還原及帳戶提供的模型訓練設定，了解如何撤銷連接。
5. 從低風險任務開始：先用可復原的工作觀察代理行為，再按需要擴大權限。

• 雲端電腦讓 Muse 能在專屬執行環境操作檔案與工具；這不等於取得 Meta 主機或其他使用者資料的權限。
• 執行環境內操作、外部服務連接器與網路傳輸是不同的權限路徑，需分別檢查。
• 檔案系統匯出報導呈現了代理讀取自身環境檔案的能力，現有報導沒有證明跨使用者資料或 Meta 基礎設施遭存取。
• 面對敏感個資、公司機密或帳號憑證，先縮小資料和授權範圍，再逐步增加任務能力。

常見問題

Q1: Muse 能看到使用者電腦裡的所有檔案嗎？

專屬雲端 VM 不等同使用者的本機電腦。Muse 可處理其 VM 與工作區中可讀取的檔案；是否能看見本機或其他服務的資料，須看資料是否被交付、同步或透過連接器授權。

Q2: Muse 匯出自身檔案系統，是否代表其他帳號也外洩？

目前公開的開發者測試與媒體重現描述的是代理所在環境的檔案。公開報導未證明跨使用者資料或 Meta 基礎設施遭到存取，因此不能把該事件直接定性為跨帳號外洩。

Q3: Sentinel 會替每一項操作都要求使用者核准嗎？

Meta 表示 Sentinel 負責判斷連接器操作和網路傳輸，依政策可能允許、拒絕或詢問使用者。低風險或符合自動允許條件的操作可能不逐次詢問，實際方式依產品政策和權限設定而定。

Q4: 連接郵件後，代理是否能寄信和讀取全部郵件？

資料可見範圍與可執行動作取決於連接器授權。若讀取和寫入能分別設定，應只開啟當前任務需要的能力，並確認寄送郵件等外部行動是否需核准。

任務敏感度不同，適合交給代理的資料範圍也不同。準備交辦前，先確認它必須讀取或修改哪些內容、會使用哪些外部服務，以及什麼資料可能離開工作環境；從低敏感、可復原的工作開始，再依觀察到的實際需求調整權限。