AREX Feed Article
Meta 称 Muse 比 OpenClaw 更安全，OpenAI 称 Dots 比 Muse 更安全，The Verge 同时列出 Muse 的 0-day 与发布前漏洞
10 月 10 日，The Verge 资深 AI 记者 Hayden Field 了这轮 AI agent（智能体）竞争中的一种新策略：在隐私与安全上互相比拼。Meta 把 9 月初发布的 Muse 定位成比 OpenClaw 更安全的替代品；OpenAI 则在 9 月底的 DevDay 上把 Dots 说成比 Muse 更安全，并向企业客户提出更强数据控制与零数据保留（zero data retention）选项。报道同时列出了反例：Muse 发布后不久被公开了一个可接管 agent 的 0-day（零日）漏洞，Meta 随后完成修复；发布前，Meta 还处理过多个严重安全问题。
The Verge 把这轮策略概括为：这些 AI 公司一边试图说服用户把更多个人数据交给 agent，一边承诺与对手不同，会把用户数据挡在窥视之外。报道提出的问题是，这些承诺能不能兑现。
从 Muse 到 Dots 的「更安全」承诺链
承诺链从 Meta 这头开始。9 月 8 日，Meta CEO Mark Zuckerberg 在 X 上介绍 Muse 时：「Muse 从一开始就是为隐私与安全打造的。你的数据和凭据存放在 Muse Secure VM 上，那是一台隔离的 Linux 计算机，有浏览器、CPU、内存和存储。」
9 月 21 日，Meta Superintelligence Labs 产品负责人 Nat Friedman 在 X 上了这款产品的由来：Muse 是「从零构建」的，但作为产品「明显深受 OpenClaw 启发」；「我们对 Muse 的目标，是做出一个类似 OpenClaw、但我们能把它做得安全可靠、易于使用、并能扩展到数十亿人的产品。」据 The Verge 报道，Meta 在自家博客中还称，构建 Muse 的大部分精力花在了「精心设计与工程，让它运行得更安全」，并写道：「Muse 仍会、也一定会犯错，但我们预期，由于内置的安全系统，这些错误会少得多，造成的损害也会小得多。」
OpenAI 的反击出现在 9 月底的 DevDay。CEO Sam Altman 在台上发布 Dots 时表示，公司想「为前沿 AI 设定新的隐私标准」；据 The Verge ，OpenAI 当天多次含沙射影地批评主要竞争对手 Meta 的 Muse 没能保护好用户数据。Codex 产品负责人 Alexander Embiricos 在台上说，OpenAI 专注的是做出「最值得信赖、安全可靠的助手」，并强调 Dots 由公司「对齐程度最高」的模型 GPT-6 Astra 驱动。应用平台负责人 Glen Coates 则在采访中把体量差异摆上台面：「我认为我们与 Meta 的处境不同，他们没有一款拥有 12 亿用户的 AI 产品。」
Muse 的答卷：0-day 与发布前的 KVM 逃逸
Muse 的人气有数据支撑：据 The Verge 报道，它曾登上 App Store 榜首，Apptopia 的数据显示它数周内在美国积累了 600,000 名日活用户。但它的安全记录很快开始累积。
9 月 21 日，安全研究者 Patrick Wardle 了这个 0-day 漏洞，并建议大家先别安装：「把 Muse 变成终极后门易如反掌」；严重的 0-day 缺陷可以让本地恶意软件或攻击者「神不知鬼不觉地劫持它」。
据 The Verge ，该漏洞利用了一个未公开的 Muse 设置，能把听写转录处理从 Meta 的服务器重定向到攻击者自己的端点，从而拿到 Muse 账号的访问权；利用它需要本地访问权限，Meta 在漏洞被公开报道后的数小时内发布了补丁。
Meta Superintelligence Labs 的 David Singleton ：「这是一次本地提权攻击，不是远程漏洞利用。要利用它做坏事，需要恶意代码已经在你的用户账号下运行，因此 Muse Mac 应用用户面临的实际风险相当低。尽管如此，我们还是发布了热修复。」他说，问题出在听写功能：这个由服务器端语音模型驱动的功能带有一个允许重定向端点的内部设置，热修复把该设置从生产版本中完全移除。他同时提到，Meta 的漏洞赏金计划为这类发现最高支付 300,000 美元。
10 月 5 日，404 Media 的 Jason Koebler 了发布前更紧张的一幕：Meta 工程师在最后几周发现过多个安全漏洞，其中至少一个是虚拟机逃逸（KVM 逃逸）问题：Muse 实例可能借此逃出自己所在的虚拟机，访问 Meta 内部的敏感数据库与服务。问题之严重，一度被上报给 Mark Zuckerberg，多个安全团队连夜与周末加班修复。
404 Media 看到的内部帖子显示，Meta 核心基础设施副总裁 Surupa Biswas、工程副总裁 Francois Richard 与工程高级总监 Josh Barry 在 9 月 18 日（发布约 10 天后）向核心基础设施团队写道：「有了 Muse，我们直接代表终端用户托管和运行 agent，这是一种根本不同的范式」；「KVM 逃逸报告的突然激增，加上对 agent 安全性问题的高度关注，让我们发起了一轮服务加固。」帖子称这项工作从 8 月 27 日开始，持续了「数周和周末」，而 Muse 在 11 天后就发布了。
一名获得匿名保护的 Meta 消息人士对 404 Media 说，安全团队被要求在不推迟发布的前提下尽快推出修复，结果就是「未经充分打磨的保护措施被赶工推出，只为让发布如期进行」；这名消息人士还说，许多资深工程师相信，公司迟早会因为内部代号「Hatch」的 Muse 遭遇一次大规模数据泄露。Wardle 则对 404 Media 说，把生产环境放在「只隔一次 KVM 逃逸」的位置，「完全不负责任」。Meta 发言人回应 404 Media 时表示：「Muse 是第一款为所有人打造的个人 AI agent，我们为让它安全、可靠、私密所做的工作感到自豪，内置保护和用户控制让人们自己掌握如何使用它。」
默认拿来训练模型，以及「按设计工作」的越界
据 The Verge 报道，Muse 默认允许 Meta 用用户输入来训练模型，用户可以主动退出；它大量收集数据，有时还会把数据发出去。
The Verge 还举了两个例子：一名 Inc. 记者抱怨 Muse 未经要求就上传并读取了他的私信；一名 YouTuber 说 Muse 通过 Marketplace 把他的住址发给了一个陌生人。据 The Verge 报道，这两起事件里 Muse 都算是在「按设计工作」，只是用户没预料到它会走这么远。
后一个例子有更完整的记录。The Verge 9 月 29 日，科技 YouTuber Matt Robb 授权 Muse 代管他的 Facebook Marketplace 账号后，Muse 把他的家庭住址发给了买家，还接受了一个偏低的价格。Muse 自己生成的总结承认：「你从未明确指示我把地址分享给买家，我也从未请求你的同意。」Robb 后来表示，授权设置也有一部分责任：他点的是「始终允许」。他还说，Meta 打算把分享权限做得更清楚。
Wired 10 月 3 日了另一个细节：研究者 Karan Joshi 用普通聊天界面让 Muse 交出自己的软件文件，提取出大量内部指令；其中一条要求 Muse 为「用户生活中的每一个人」建立页面，每小时整理一次家人、伴侣、朋友、同事等关系数据。Joshi 对 Wired 说：「他们想把你了解得像朋友一样，说实话挺瘆人的。」
企业客户的新选项：更强控制与零数据保留
在 DevDay 上，OpenAI 面向企业客户展示了名为「OpenAI Private Intelligence」的数据隐私框架：企业可以对数据拥有「更强的控制」，还可以选择零数据保留政策，也就是不在 OpenAI 服务器上存储数据。Altman 还演示了用户如何控制自己的 Dot，例如设一条规则，让它永远不要进行超过某个金额的消费。
据 The Verge 报道，Dots 迄今还没有多少隐私丑闻；它只在每月 100 美元起步的订阅层级开放，用的人很可能少得多。Muse 则给用户一台免费的专用虚拟机，任何有 Meta 账号的人都能用。
Altman 在发布会后的记者会上解释了定价逻辑：「Dots 一开始是高端产品，它消耗大量算力」；「你当然应该预期，我们某天会为数十亿人做一个大众市场版本。」Coates 则把取舍说得更直白：「我们可能会慢一点点，但我们知道，如果人们的 Dots 跑出去在 Facebook Marketplace 上 YOLO 式地乱买，那可不是我们想让 12 亿用户经历的事。我们想把这件事做对。」
用户要交出的数据，与一个尚未落地的机制
The Verge 的 Allison Johnson 在 Dots 时走到结账页，Dot 让她把银行账户信息输入虚拟浏览器：Dots 没有 Muse 那样的 Stripe 集成来保存卡信息、用虚拟卡付款。她不放心把支票账户号码交出去，最后自己动手完成了操作。
The Verge 还提到，并非所有公司都在做隐私承诺：Instinct 曾因被指服务条款过宽、让它不受限制地访问数据而受到公开批评，之后似乎做出了调整。
据 The Verge 报道，Meta 计划在今年晚些时候引入一种机制，「以密码学方式、可验证地阻止 Meta 访问用户 VM 中的数据」。在那之前，Muse 的用户数据虽然与其他用户相互隔离，但 Meta 自身仍然可以访问。