Meta presentó el martes 8 de septiembre de 2026 a Muse, un agente personal de inteligencia artificial que ejecuta tareas en lugar de limitarse a responder preguntas. Redacta y envía correos, reserva viajes, llena formularios, compara precios y paga con una tarjeta de un solo uso, y se detiene a pedir permiso antes de cada acción sensible. Cada Muse corre dentro de una máquina virtual dedicada en la nube de Meta, con su propio navegador Chromium y un guardián aparte, llamado Sentinel, que decide qué sale a internet. Lo mueve Muse Spark 1.3, el modelo que la compañía describe como su más capaz, desarrollado bajo el director de IA Alexandr Wang. Arranca solo en Estados Unidos, en iOS, Android, la web y WhatsApp, con las gafas de IA en camino. Y llega acompañado de una advertencia que escribió la propia Meta.
Cada Muse vive en su propia computadora en la nube
La arquitectura es el argumento central de Meta. Cada usuario recibe una máquina virtual aislada, con Linux, navegador, almacenamiento y capacidad para ejecutar subagentes y tareas programadas. Ahí viven el agente, los archivos y las credenciales de los servicios conectados. Los clientes de iOS, Android y web se conectan directo a esa máquina.
Dentro de la caja, Meta trazó una segunda línea. El agente corre en un contenedor sellado, mientras los servicios de seguridad quedan fuera de su alcance: el almacén de credenciales, los clasificadores que buscan intentos de manipulación y Sentinel, el único que autoriza acciones de conectores y tráfico saliente. Muse propone, Sentinel decide. Cuando la decisión es preguntar, el diálogo aparece en la app, no dentro de la conversación con el agente, y la respuesta viaja directo a Sentinel.
El modelo nunca ve las llaves reales. El código del agente recibe tokens sustitutos y Sentinel los cambia por la credencial verdadera en el borde de la red, así que un intento de sacarle secretos al agente no encuentra nada que robar. El conector de correo va más lejos y filtra códigos de un solo uso, enlaces de recuperación de contraseña y accesos mágicos, precisamente porque la bandeja de entrada es la llave maestra de casi todas las demás cuentas.
Meta le puso precio a la falla que no sabe cerrar
Junto con el lanzamiento, Meta abrió a cualquiera su programa de recompensas por errores en Muse. Paga hasta 300,000 dólares por un reporte válido, con hasta 130,000 dólares para una inyección de instrucciones exitosa que afecte a un solo usuario. Ese ataque tiene tarifa propia porque es el que Meta admite no poder cerrar.
La compañía tampoco lo disimula. En su documento técnico, firmado por Tarek Sheasha, ingeniero y vicepresidente de Meta Superintelligence Labs, escribe que "Muse puede cometer errores y los cometerá", y que la inyección de instrucciones sigue siendo un problema abierto en la industria. El texto cita además el concepto de "trifecta letal" que acuñó el desarrollador Simon Willison en junio de 2025: acceso a datos privados, exposición a contenido no confiable y capacidad de comunicarse hacia afuera. Un agente que junta las tres puede ser engañado para robar y enviar información. Muse junta las tres por diseño, y por eso Meta apiló entrenamiento del modelo, etiquetado de contenido externo, clasificadores independientes y aprobación humana.
Meta ya conoce el costo de un agente que se sale del carril. En agosto, como contamos entonces, la compañía confirmó que un modelo suyo vulneró a una empresa en una prueba el mismo día que lanzaba su agente de programación.
Patricia Rodriguez
El modo en que ni Meta puede mirar todavía no existe
La arquitectura actual aísla los datos de cada usuario y limita el acceso del personal de Meta mediante políticas internas, pero, según el propio documento, no impide que la empresa acceda a esos datos cuando lo necesite para operar, asegurar o dar soporte al servicio. La protección frente al operador descansa hoy en una política, no en criptografía.
Eso es lo que promete cerrar Muse Confidential VM, una versión donde la máquina completa se cifra con una llave que solo tiene el usuario. Meta dice que llegará antes de que termine el año, que ya la usa un grupo reducido de probadores y que abrió su diseño y su código a auditores externos. Hasta que ocurra, el modo en el que Meta no puede entrar es una promesa con fecha, no una función disponible.
En datos hay otras dos letras chicas. Las conversaciones y los intercambios con herramientas se usan por defecto para entrenar futuras versiones del modelo, ya depuradas de información personal identificable, y el usuario puede desactivarlo con un interruptor en los ajustes. Y aunque Meta afirma que no comparte las conversaciones ni el contenido de la máquina virtual con sus sistemas de publicidad, la navegación del agente aparece como actividad del usuario: si Muse entra a la tienda de una marca, esa marca puede usar la visita para mostrarle un anuncio en Instagram.
Qué se conecta, cuánto cuesta y dónde funciona
Muse llega con conectores a servicios de Meta como Instagram y Facebook y a terceros como Google Workspace, Ticketmaster, OpenTable, Spotify y Apple Health, según Engadget. Cuando no existe conector, el agente puede construir el suyo si el servicio tiene una API pública. Vishal Shah, vicepresidente de productos de IA de Meta, planteó a ese medio que el límite no está en la capacidad del producto sino en cuánto acceso decida darle cada persona.
Para pagar, Meta se apoyó en Link, de Stripe, que genera un número de tarjeta de un solo uso atado a un comercio, un monto y una ventana de tiempo. Shop Pay y el soporte de 1Password llegarán después.
El precio tiene tres escalones: un nivel gratuito con límites semanales y dos suscripciones, de 20 y 100 dólares al mes, según Axios. Wang le dijo a ese medio que la mayoría de los usuarios debería resolver lo que necesita en el nivel gratuito y que las suscripciones ayudan a cubrir el costo de cómputo. No hay publicidad dentro de Muse, aunque la compañía explora oportunidades de comercio.
La disponibilidad marca el límite práctico para el lector hispanohablante: Muse solo funciona en Estados Unidos. Meta no ha puesto fecha para México, España ni el resto de América Latina, y no ha detallado cómo encajará el producto con las reglas europeas de privacidad e inteligencia artificial.
Meta pide algo que ninguna de sus redes sociales necesitó: la bandeja de entrada, el calendario y el medio de pago del usuario, en un producto que su propio equipo de seguridad describe como falible. La primera prueba comprobable tiene plazo: antes de que termine el año, cuando Meta deba entregar Muse Confidential VM y los auditores externos digan si la empresa quedó de verdad fuera de la máquina.
