O alarme começou quando os desenvolvedores Peter James e Jonny L. Saunders persuadiram, de forma independente, o novo agente Muse da Meta a empacotar e compartilhar o conteúdo de seu sistema de arquivos raiz. O material supostamente incluía arquivos do Ubuntu, modelos de aplicativos e documentação interna, enquanto Saunders disse que reproduzir o resultado foi “extremamente fácil” e que o Muse tinha “quase nenhuma resistência à injeção de prompts”.¹

Essa descoberta ocorreu em um contexto já constrangedor. No início daquela semana, o pesquisador de segurança Patrick Wardle revelou uma exploração separada que poderia sequestrar o agente, redirecionar o processamento de transcrições e acessar a conta Muse de um usuário; a Meta lançou uma correção urgente. No caso do sistema de arquivos, porém, a Meta rejeitou a caracterização de violação. O porta-voz Daniel Roberts disse que os arquivos pertenciam a uma máquina virtual Linux persistente atribuída a cada usuário: “Assim como no laptop à sua frente, é claro que você pode ver os arquivos.” Exportá-los, acrescentou, não fornecia acesso privilegiado à infraestrutura da Meta nem aos dados de outros usuários.¹

No dia seguinte, o comportamento do produto da Meta tornou esse argumento mais explícito. Embora o Muse inicialmente relutasse em fornecer um arquivo completo — em certo momento citando preocupações de segurança —, ele passou a oferecer um navegador clicável com acesso root e compactou prontamente o diretório raiz em um arquivo zip, enquanto dizia que os segredos haviam sido removidos.²

David Singleton, da Meta Superintelligence Labs, caracterizou a mudança não como um recuo após uma exposição, mas como confirmação do projeto: “sua VM Segura do Muse realmente é seu próprio computador na nuvem.”² Isso coloca a empresa em desacordo com a interpretação dos desenvolvedores. Eles viram um agente revelando detalhes operacionais incomumente ricos; a Meta vê um usuário inspecionando a máquina que lhe foi prometida. A questão não resolvida é por que o próprio Muse inicialmente tratou o pedido como proibido se essa abertura sempre foi pretendida.²