Meta a lancé Muse le 8 septembre. Selon les propres mots de Meta, il « peut ouvrir un navigateur, remplir des formulaires et négocier en son nom », et quand vient le temps de payer, il « peut payer avec le lien créé par Stripe ». Il fonctionne sur Muse Secure VM, « une machine virtuelle (VM) dédiée qui héberge à la fois l’agent et les données d’une personne ». États-Unis uniquement, dans WhatsApp ou l’application Muse, et prochainement sur les lunettes AI.
C’est la nouvelle. Ce n’est pas non plus la raison pour laquelle j’écris ceci.
Chaque entreprise d’IA propose désormais une version de ce modèle, et je ne pense pas que quiconque ait clairement expliqué pourquoi.
Alors, j’ai lu ce que Meta a réellement publié. Il existe deux documents, tous deux datés du 8 septembre : une annonce destinée aux consommateurs et un message d’ingénierie. Entre les mots risque, attaque, attaquant, erreur, non fiable et injection rapide, l’annonce ne les utilise aucune fois, et la publication d’ingénierie les utilise 39 fois. Seule la publication d’ingénierie mentionne que Muse apparaîtra comme votre activité sur chaque site Web qu’il visite.
Personne que je connais n’en a fait sa principale façon de travailler
J’ai essayé ces produits et beaucoup d’autres personnes l’ont fait. Je ne connais personne qui en ait fait la méthode dominante pour faire avancer les choses.
Je ne sais pas exactement ce que c’est. Je suppose qu’ils veulent montrer à leur IA qu’elle fait quelque chose qui semble pouvoir vous faire gagner du temps. Plus performatif qu’autre chose.
Il y a une raison structurelle à cela, et ce n’est pas que les modèles soient mauvais. Le Web UX est conçu pour les yeux humains, et non pour la lisibilité et l’interactivité des machines. Chacun de ces produits prend en charge un navigateur et le pilote, c’est pourquoi j’ai soutenu que les navigateurs IA étaient arriérés. Il s’agit de la version la plus difficile du travail disponible : lire une interface conçue pour une personne, la deviner et cliquer.
La réponse de l’industrie est que le Web construit pour les yeux est un problème temporaire qu’ils vont résoudre. C’est un vœu pieux, n’est-ce pas ? Voyons les faire d’abord.
La forme continue de changer tandis que la hauteur reste la même
La navigation agentique a pris trois formes de produits distinctes en moins de deux ans.
Un navigateur que vous installez et vers lequel vous basculez. L’Atlas d’OpenAI a été lancé en octobre 2025, n’a jamais quitté macOS et a cessé de fonctionner le 9 août 2026. OpenAI n’a pas abandonné l’idée ; ça l’a déplacé. L’article d’aide couvrant l’arrêt est intitulé « Evolution d’Atlas vers ChatGPT pour le travail agentique basé sur un navigateur ».
Une IA intégrée au navigateur que vous utilisez déjà. Gémeaux en Chrome, Claude en Chrome.
Et maintenant un navigateur qui vit sur leur machine, avec qui vous parlez. C’est Muse, et je pense que c’est la meilleure des trois formes. Vous ne devriez pas avoir besoin de regarder une IA fonctionner dans un navigateur. Rester là pendant qu’une machine clique sur une caisse sur votre écran n’est pas une automatisation, c’est une supervision avec des étapes supplémentaires. Le mettre quelque part dans une machine virtuelle est le bon instinct.
Mais un navigateur sur le matériel Meta, connecté à vos comptes, soulève de vraies questions sur l’authentification et l’identité.
Meta a publié 2 documents le même jour
L’une est l’annonce sur la salle de rédaction de Meta, écrite pour les personnes susceptibles d’utiliser Muse. L’autre est un article d’ingénierie, How We Built Safety Into Muse, de Meta Superintelligence Labs. L’annonce y renvoie, donc rien de tout cela n’est caché.
Ce n’est pas la même histoire. J’ai sorti le texte des deux et j’ai compté.
L’annonce indique que Meta « a construit Muse à partir de zéro pour être un agent d’IA personnel sûr, sécurisé, privé et largement disponible », avec « des protections de confidentialité, de sûreté et de sécurité uniques en son genre qu’aucun autre agent ne fournit ». Rien n’atteint Internet « à moins que Sentinel ne l’approuve ». Muse « n’a aucune visibilité sur les mots de passe ou les méthodes de paiement des gens ». Il « vérifie auprès de la personne avant toute action sensible ».
Chacun de ces éléments est vrai, et le poste d’ingénierie soutient chacun d’eux avec un véritable mécanisme.
Voici ce que l’annonce ne dit jamais. Pas une seule fois, en environ six mille caractères.
Risque. Attaque. Attaquant. Erreur. Non fiable. Injection rapide.
Le poste d’ingénieur utilise ces trente-neuf fois à eux deux. Il s’ouvre en disant « tout agent comme celui-ci fera toujours des erreurs, et il sera parfois attaqué via les données qu’il lit », et que Meta « a conçu le système pour supposer que l’agent peut être attaqué et limiter les dommages potentiels ». Il dit clairement : « Muse peut faire et fera toujours des erreurs. » Il offre jusqu’à 300 000 $ pour les rapports de sécurité, « y compris jusqu’à 130 000 $ pour les tentatives d’injection rapide réussies qui affectent un utilisateur ».
C’est une entreprise inhabituellement honnête avec les ingénieurs. Supposons qu’il soit compromis, limitez les dégâts, voici de l’argent si vous parvenez à le casser.
Mais les deux décrivent le même produit comme deux choses différentes. L’une est une histoire de capacités où la sécurité est une propriété finie. L’autre est une histoire de confinement où l’agent est supposé être attaqué. Si vous ne lisiez que celui écrit pour vous, vous ne sauriez pas que le second existe sous cette forme.
Seul le poste d’ingénierie indique que Muse apparaîtra comme votre activité
Une phrase décide de ce que voit chaque site Web visité par Muse, et elle est absente de l’annonce.
« Lorsque Muse navigue sur Internet, cela apparaîtra comme votre activité. Ainsi, si vous demandez à Muse d’acheter une chemise sur le site Web d’un créateur de vêtements, ce créateur pourra profiter de votre visite pour vous montrer une publicité sur Instagram. »
Meta décrit la conception, sans admettre de défaut. Muse pilote « un véritable navigateur basé sur Chromium à jour ». Le designer voit donc une personne. Leurs analyses enregistrent une visite. Leurs tirs de reciblage. Et la publicité poursuit un humain qui faisait autre chose pendant qu’une machine virtuelle effectuait la navigation.
Cette phrase se trouve dans le message écrit pour les ingénieurs. Il est absent de celui écrit pour les personnes auxquelles il arrive.
Il existe 2 niveaux et la plupart des sites Web se trouvent dans le second
Le poste d’ingénierie de Meta utilise le mot connecteur onze fois, et l’annonce ne l’utilise jamais une seule fois.
Pour les services avec lesquels Meta a une relation, il n’y a pas de navigateur du tout. « Pour chaque connecteur, nous avons travaillé en étroite collaboration avec le fournisseur de services pour intégrer son API. Une interface négociée, des informations d’identification limitées, une liste d’autorisation par travailleur et un service qui sait exactement à quoi il s’adresse.
Pour tous les autres, Muse ouvre Chromium et se comporte comme vous.
La question qu’un propriétaire de site Web devrait se poser n’est donc pas de savoir si des agents viennent. C’est à quel niveau ils se trouvent. Si vous êtes assez grand pour que Meta puisse créer un connecteur, vous obtenez une interface et une conversation. Si ce n’est pas le cas, vous obtenez une machine portant le visage de votre visiteur.
Vos règles de bot, votre Paywall et vos analyses vérifient tous la même chose
Les règles des robots nomment les robots d’exploration. Un paywall pour les machines vérifie le nom sur une ligne de la requête. Analytics compte une visite comme humaine lorsqu’un navigateur exécute JavaScript. Tout cela se fait sur une machine qui s’identifie, ou sur une machine qui ne ressemble pas à un navigateur.
Muse ne fait ni l’un ni l’autre, et Meta l’a écrit. Muse fait quelque chose que vous avez demandé, avec vos informations d’identification, avec une approbation que vous avez donnée, et Meta a divulgué le comportement dans un document que tout le monde peut lire.
L’alternative est construite par la même industrie, en parallèle
Il existe désormais tout un ensemble de protocoles agents dans lesquels la machine communique avec le site Web comme une machine. MCP et son frère WebMCP côté navigateur permettent à un site Web de transmettre à un agent un ensemble d’outils nommés au lieu de lui faire deviner des boutons. UCP et AP2 le font pour le commerce, donc un paiement est un appel avec des termes plutôt qu’un formulaire rempli par quelque chose imitant les doigts. A2A le fait entre agents. Il existe un groupe de travail de l’IETF sur Web Bot Auth, l’élément qui permettrait à un agent de prouver de quel agent il s’agit. Cette division, entre les agents qui peuvent prouver qui ils sont et les agents qui ne peuvent que faire des choses, est la ligne de fracture le long de laquelle se forme l’ensemble du réseau agent.
Aucun de ceux-ci n’exige que quiconque fasse semblant. La meilleure façon d’y parvenir est peut-être d’utiliser ces protocoles, et de ne pas laisser l’IA prétendre qu’elle est humaine lorsqu’elle navigue.
C’est la fourchette. Un chemin a une machine pilotant une interface humaine tandis que personne à la réception n’est informé. L’autre a des machines et des sites Web qui communiquent volontairement entre eux. À l’heure actuelle, l’argent et les événements de lancement sont consacrés au premier, et le second concerne l’ingénierie proprement dite.
Je ne vais pas vous dire de faire quoi que ce soit aujourd’hui, car il n’y a encore rien d’utile à faire. Mais surveillez-le de très près, et il y a trois choses spécifiques à surveiller.
Que l’un de ces agents porte une identité qu’un site Web peut vérifier, c’est ce que le travail d’authentification des robots Web de l’IETF leur donnerait. Si la liste des connecteurs s’allonge, car il s’agit de la liste des sites Web qui disposent d’une interface au lieu d’un navigateur. Et si le prochain d’entre eux sera lancé avec un ou deux documents.
Plus de ressources :
Cet article a été initialement publié sur No Hacks.
