L’alerte a commencé lorsque les développeurs Peter James et Jonny L. Saunders ont, indépendamment l’un de l’autre, convaincu le nouvel agent Muse de Meta d’empaqueter et de partager le contenu de son système de fichiers racine. Le contenu aurait inclus des fichiers Ubuntu, des modèles d’applications et de la documentation interne, tandis que Saunders a déclaré que reproduire le résultat était « extrêmement facile » et que Muse n’avait « presque aucune résistance à l’injection de prompts ». ¹

Cette découverte est survenue dans un contexte déjà embarrassant. Plus tôt cette semaine-là, le chercheur en sécurité Patrick Wardle avait révélé un exploit distinct susceptible de détourner l’agent, de rediriger le traitement des transcriptions et d’accéder au compte Muse d’un utilisateur ; Meta a publié un correctif urgent. Dans le cas du système de fichiers, toutefois, Meta a rejeté la qualification de violation. Le porte-parole Daniel Roberts a déclaré que les fichiers appartenaient à une machine virtuelle Linux persistante attribuée à chaque utilisateur : « Tout comme avec l’ordinateur portable devant vous, bien sûr que vous pouvez voir les fichiers. » Les exporter, a-t-il ajouté, ne procurait aucun accès privilégié à l’infrastructure de Meta ni aux données d’autres utilisateurs.¹

Le lendemain, le comportement du produit Meta a rendu cet argument plus explicite. Alors que Muse avait initialement hésité à fournir une archive complète — invoquant à un moment donné des préoccupations de sécurité — il a commencé à proposer un navigateur cliquable avec accès root et a facilement compressé le répertoire racine, tout en affirmant que les secrets avaient été retirés.²

David Singleton, de Meta Superintelligence Labs, a présenté ce changement non comme un recul après une exposition, mais comme une confirmation de la conception : « votre VM sécurisée Muse est véritablement votre propre ordinateur dans le cloud. »² Cela oppose l’entreprise à l’interprétation des développeurs. Ils ont vu un agent révélant des détails opérationnels inhabituellement riches ; Meta y voit un utilisateur inspectant la machine qui lui avait été promise. La question non résolue est de savoir pourquoi Muse lui-même a initialement traité la demande comme interdite si cette ouverture avait toujours été prévue.²