Тревога началась, когда разработчики Питер Джеймс и Джонни Л. Сондерс независимо друг от друга убедили нового агента Meta Muse упаковать и предоставить содержимое его корневой файловой системы. Сообщалось, что материалы включали файлы Ubuntu, шаблоны приложений и внутреннюю документацию, а Сондерс заявил, что воспроизвести результат было «чрезвычайно легко» и что у Muse было «почти никакой устойчивости к prompt injection».¹

Это открытие произошло на фоне и без того неловкой ситуации. Ранее на той неделе исследователь безопасности Патрик Уордл раскрыл отдельный эксплойт, который мог захватить агента, перенаправить обработку транскрипции и получить доступ к аккаунту пользователя Muse; Meta выпустила срочное исправление. Однако в случае с файловой системой Meta отвергла трактовку как взлома. Представитель компании Дэниел Робертс сказал, что файлы принадлежали постоянной Linux-виртуальной машине, выделенной каждому пользователю: «Точно так же, как с ноутбуком перед вами, разумеется, вы можете видеть файлы». Их экспорт, добавил он, не предоставлял привилегированного доступа к инфраструктуре Meta или данным других пользователей.¹

На следующий день поведение продукта Meta сделало этот аргумент более явным. Если изначально Muse неохотно предоставляла полный архив — в какой-то момент ссылаясь на соображения безопасности, — то затем она начала предлагать кликабельный браузер с root-доступом и без труда архивировала корневой каталог в ZIP, заявляя при этом, что секреты были удалены.²

Дэвид Синглтон из Meta Superintelligence Labs охарактеризовал это изменение не как отступление после раскрытия данных, а как подтверждение замысла: «ваша защищённая виртуальная машина Muse действительно является вашим собственным компьютером в облаке».² Это ставит компанию в противоречие с интерпретацией разработчиков. Они увидели, как агент раскрывает необычно подробные операционные сведения; Meta видит в этом пользователя, изучающего машину, которую ему обещали. Нерешённым остаётся вопрос, почему сама Muse изначально считала этот запрос запрещённым, если такая открытость всегда была предусмотрена.²