Metas Muse — beliebt, blockiert, brüchig
Im September 2026 hat Meta einen persönlichen KI-Agenten namens Muse veröffentlicht. Innerhalb der ersten Woche zählte Sensor Tower über 900.000 Downloads. Am 21. September sperrte Amazon den Zugang zum eigenen Marktplatz für diesen Agenten. Am gleichen Tag berichteten Ars Technica und Business Insider über eine Zero-Day-Schwachstelle, die es Angreifern ermöglicht, die Kontrolle über den KI-Agenten selbst zu übernehmen. Meta hat einen Patch veröffentlicht.
Drei Nachrichten aus einer Woche. Sie widersprechen sich — oder sie fügen sich zu einem Bild zusammen, das man nur sieht, wenn man die Frequenz wechselt.
Was Muse tut, hat Reece Rogers für WIRED getestet. Der Agent erledigt Aufgaben wie ein Bot mit freundlicher Maske: Er bestellt Frühstück beim Bäcker, klickt sich durch Webseiten, schreibt E-Mails. Er ist erreichbar über WhatsApp, über Instagram, über Messenger. Sein Standard-Avatar erinnert an ein Ewok mit ausgebreiteten Armen — ausgebreitet offenbar, um die Daten der Nutzer aufzufangen. Meta-Sprecher Emil Vazquez sagt, der Agent arbeite mit „built-in protections". Jeden anderen Verdacht nennt er „ludicrous".
Rogers kommt nach mehrtägigem Test zu einem anderen Schluss. Muse sei besser im Überwachen als im Helfen. Der Agent sammle mehr Daten über den Nutzer, als er Aufgaben erledige. Diese Lesart bestätigen eine Analyse auf Particle News und ein Beitrag im Dissenter; beide verweisen auf Metas bekanntes Muster, Nutzer standardmäßig in Datenfreigaben einzuwilligen.
Amazon hat das Rauschen offenbar ebenfalls gehört. Am 21. September 2026 blockierte der Konzern den Zugriff von Muse auf amazon.com. Eine Popup-Meldung lautet: „Continued access by an unauthorized AI agent violates Amazon's Conditions of Use". Gegenüber GeekWire und The Verge erklärte ein anonymer Amazon-Sprecher, Muse habe sich nicht als Bot zu erkennen gegeben und scheinbar Kundenzugangsdaten erfasst. Meta habe Amazon nicht über die Einführung informiert.
Drei Vorwürfe in einem Absatz. Eine öffentliche Antwort von Meta zu diesen konkreten Vorwürfen wurde in den vorliegenden Berichten nicht dokumentiert.
Zur Architektur sagte Meta bei der Markteinführung am 8. September: Muse könne keine Passwörter lesen, keine Zahlungsdaten einsehen. Anmeldedaten würden in sicherer Speicherung gehalten, Zahlungen liefen über Stripe-Link-Einmalkarten. Stripe übernehme dabei auch Fehler, Rückgaben und Preisanpassungen. Diese Konstruktion soll verhindern, dass der Agent die Kontodaten des Nutzers direkt sehen kann.
Was die Konstruktion allerdings vorsieht — und das ist die härteste Nachricht der Woche —: eine Zero-Day-Schwachstelle. Ars Technica und Business Insider berichteten kurz nach dem Start, dass die Lücke es Angreifern ermöglichen kann, den Agenten selbst zu übernehmen. Nicht den Nutzer. Den Agenten. Wer den Agenten kontrolliert, kontrolliert E-Mails, Browser-Verhalten, Einkäufe, Kalender und Bankkonto-Interface. Die Schwachstelle ist nicht allein ein Programmierfehler. Sie folgt aus einem System, das dem Agenten maximale Reichweite gibt, damit er alles tun kann, was der Nutzer möchte. Maximale Reichweite für den Nutzer bedeutet maximale Reichweite für jeden, der den Agenten kapert.
Meta hat einen Patch ausgeliefert. Das ist die übliche Reaktion auf eine Zero-Day-Lücke. Es heißt nicht, dass die Lücke nicht existiert hat. Es heißt nicht, dass sie nicht bereits ausgenutzt wurde. Es heißt nicht, dass die nächste nicht wartet.
Am 19. September 2026 stand Muse auf Platz eins der kostenlosen Apps im US-App-Store, vor ChatGPT. Das ist die Zahl, die in jede Pressemitteilung wanderte. Es ist die Zahl, mit der das Unternehmen den Erfolg seiner KI-Strategie belegt.
Es ist nicht die Zahl, die erklärt, warum Amazon den Agenten nicht im Haus haben will. Es ist nicht die Zahl, die erklärt, warum eine Zero-Day-Lücke mit maximalem Zugriff auf das digitale Leben der Nutzer möglich wurde. Es ist nicht die Zahl, die erklärt, warum ein Unternehmen, das „built-in protections" verspricht, wenige Tage nach dem Start eine kritische Sicherheitslücke schließen muss.
Man kann das einen Markterfolg nennen. Man kann es einen Hinweis nennen. Ich nenne es vorerst ein Signal auf einer Frequenz, die noch nicht jeder hört.
Die Drähte summen weiter. Amazon schließt die Tür. Die Nutzer klicken weiter auf „Herunterladen".
Ada Voss hört zu.
❖ Ende des Artikels ❖