Muse und Sentinel: Sind Freigabe, Ersatz-Tokens und Bounty prüfbar?

Muse darf Ihr Postfach und Ihre Zahlung nur anfassen, wenn Sentinel die konkrete Anfrage freigibt. Parallel hat Meta ein öffentliches Bounty geöffnet, mit Obergrenzen statt mit einem Blankoscheck. Ob Freigabe, Ersatz-Token und dieses Bounty für Sie prüfbar sind, entscheidet kein Satz in der Ankündigung.

300.000 US-Dollar. So hoch setzt Meta die Obergrenze im öffentlichen Bounty zu Muse. Sentinel ist die Instanz, die eine Handlung freigeben darf. Muse darf beantragen. Genehmigen darf es sich nicht selbst. Darunter nennt derselbe Text bis zu 130.000 US-Dollar für einen erfolgreichen Prompt-Injection-Versuch, der eine einzelne Person trifft. Das ist viel Geld. Es ist keine Auszahlung. Und es ist keine Erlaubnis für Ihr Postfach.

Muse ist am 8. September 2026 als persönlicher Agent gestartet, zunächst in den USA, auf iOS, Android und unter muse.ai. Für die meisten Nutzungen ist der Zugang kostenlos, Abos gelten für mehr. Sie schreiben in der Muse-App oder in WhatsApp, so wie Sie einer anderen Person schreiben würden. Der Agent soll nicht nur antworten. Er soll arbeiten: Mail, Kalender, Formulare, Einkäufe, Ziele, die länger dauern als ein Chat. Für Lesende hierzulande ist das vorerst eine Ankündigung. Einen Termin für andere Länder nennen diese beiden Texte nicht.

Stellen Sie sich den Dienstagmorgen vor. Muse soll eine Rechnung aus dem Postfach holen und einen Termin verschieben. Im Chat klingt das harmlos, fast erledigt, im Ton einer hilfreichen Kollegin. Dann erscheint ein Fenster, das nicht zu diesem Gespräch gehört. Darin steht kein „Vertraue mir“, sondern eine konkrete Handlung, ein Ziel, ein Zweck. Sie tippen Ja oder Nein. Die Unterhaltung läuft weiter, als wäre in ihr nichts entschieden worden. Fehlt dieses Fenster, und die Mail geht trotzdem raus, ist die Ankündigung an dieser Stelle für Sie schon widerlegt. Ohne Labor. An Ihrem eigenen Konto.

Was Sie dabei zuerst merken, ist selten die Architektur. Es ist der Moment, in dem etwas Ihr Postfach verlassen oder Geld bewegen will. Wer sagt dann Ja? In der Darstellung von Meta beantragt Muse. Sentinel vergibt. Muse kann Sentinel nicht überstimmen. Der Dialog soll nicht im Chat stehen, sondern in der Oberfläche des Clients. Die Antwort geht zurück an Sentinel, nicht an das Gespräch, das Sie gerade führen.

Ich finde diese Reihenfolge wichtiger als jedes Modell-Versprechen. Ein Agent, der die Bitte formuliert und die Erlaubnis gleich selbst erteilt, ist kein beaufsichtigter Agent. Er ist ein Gespräch mit Sonderrechten. Sentinel soll genau diese Schleife unterbrechen. Ob das in Ihrem Konto so läuft, sehen Sie an dem, was außerhalb des Chats passiert: ein eigener Dialog, eine gebundene Freigabe, ein Token, das der Agent nicht zu Gesicht bekommt.

Der Status dieser Aussagen ist eng. Beide Texte vom 8. September sind eine Produkt- und Forschungsankündigung. Tarek Sheasha, Software Engineer und VP der Meta Superintelligence Labs, beschreibt das Sicherheitsmodell im Forschungsblog. Das Newsroom fasst denselben Start für ein breiteres Publikum. Keiner der beiden Texte ist eine Zertifizierung. Keine Aufsicht hat zugestimmt. Wer „freigegeben“ liest und eine Behörde meint, liest etwas hinein, das dort nicht steht.

Die beiden Texte tragen auch nicht dieselben Sätze. Die Zahlen zum Bounty, die Ersatz-Tokens und der Aufbau von Sentinel stehen im Forschungsblog. Die Formulierung, Muse sei der erste Agent mit bestimmten Kaufschutzregeln von Link, steht im Newsroom. Wer nur eine der beiden Seiten liest, prüft ein anderes Produkt, als Meta an diesem Tag beschrieben hat. Wir bei digital-magazin.de lesen solche Ankündigungen deshalb gegen die Prüffrage, nicht gegen den Superlativ.

Ein Grant, der nur in der Pressemitteilung existiert, ist kein Grant. Drei Fragen sollten stehen, bevor der nächste Zugriff auf Mail oder Zahlung erfolgt. Wer protokolliert die Entscheidungen von Sentinel? Bleiben echte Tokens außerhalb der Laufzeitumgebung? Zahlt das Bounty für Wirkung bei einer Person, oder für Folien?

Die Abo-Staffel ändert an dieser Lesart nichts, was die Texte hergeben. Kostenlos für das meiste, bezahlt für mehr: so beschreibt das Newsroom den Zugang. Sentinel wird dort nicht als bezahlte Sonderstufe verkauft. Wenn Ihnen im Vertrieb jemand etwas anderes sagt, ist das eine neue Behauptung. Sie steht nicht in diesen beiden Veröffentlichungen.

Meta schreibt außerdem, intern sei Muse seit Anfang 2026 im eigenen Gebrauch, gehärtet über dieses Dogfooding, über agentisches Red Teaming und über ein privates Bounty, bevor das Programm öffentlich wurde. Das ist Vorgeschichte auf hoher Flughöhe. Es ist keine Liste gefundener Fälle, und ich erfinde keine. Der Forschungsblog beschreibt den Stand zum Start und kündigt an, das System werde sich mit der Bedrohungslage ändern. Ein Snapshot ist kein eingefrorener Standard.

Was Sie zuerst sehen: Postfach, Zahlung, das Ja

Der Chat ist die Bühne. Die Freigabe ist die Tür. Beides soll nicht dasselbe Fenster sein, und genau das werden Sie als Erstes prüfen können, lange bevor irgendwer ein Protokoll exportiert. Muse spricht wie eine Person, in der App oder in WhatsApp. Dieser Ton ist bequem. Er ist auch der Grund, warum die Trennung zählt. In einem Gespräch, das sich wie eine Kollegin anfühlt, sagt man schneller Ja. Der Dialog außerhalb dieses Tons ist Reibung mit Absicht.

Beim Postfach merken Sie die Trennung an zwei Stellen, nicht an einer. Die eine ist der Anschluss selbst: Sie wählen, welche Dienste Muse verbinden darf, und Sie sollen später wieder trennen können. Die andere ist die einzelne Handlung, etwa das Senden einer Mail. Meta beschreibt, dass Lesen und Schreiben getrennt werden, wo der Dienst feinere Schalter hergibt, als die groben OAuth-Bereiche es tun. Das Newsroom nennt das Beispiel in einfacher Sprache: Beim Postfach entscheiden Sie, ob Muse liest oder auch in Ihrem Namen sendet.

Der Forschungsblog wird an einem Gmail-Beispiel konkret, und dieses Beispiel sollten Einkauf und IT ernst nehmen, ohne es für eine universelle Regel zu halten. Wer auf der Seite von Google den Lesezugriff für Gmail erteilt, bekommt oft mehr mit, als die Bezeichnung verspricht, etwa den Zugriff auf Einstellungen. Meta behauptet, Muse könne solche mitgelieferten Stücke wieder abziehen und feinere Grenzen am Anschluss, am Prozess, am Zugang und an der einzelnen Anfrage setzen. Das ist eine Herstellerbehauptung über die eigene Schicht. Sie ersetzt nicht den Blick auf den Zustimmungsbildschirm, den Sie tatsächlich sehen.

Bei der Zahlung ist die sichtbare Schwelle härter formuliert als bei der Mail. Erkennt der Browser eine Bezahlseite auf einer Website, bei der Zahlungsdaten schon hinterlegt sind, soll jedes Mal ein Dialog mit den genauen Kaufdaten kommen. Für Seiten, auf denen Sie noch nicht gekauft haben, beschreibt Meta eine Geldbörse. Zum Start ist der Partner Stripe Link. Shop Pay soll folgen. Bei Link wird eine einmalige Kartennummer ausgegeben, gebunden an diesen Händler, diesen Betrag und eine begrenzte Gültigkeit. Auch dafür soll jedes Mal eine Freigabe im Dialog stehen. Ihre gewöhnliche Karte soll die Händlerseite nicht sehen.

Das Newsroom ergänzt einen Schutz, den der Forschungsblog so nicht auflistet: Muse sei der erste KI-Agent, der unter die Kaufschutzregeln von Link falle. Genannt werden Abdeckung für beschädigte oder verlorene Ware, Preissenkungen, Rückgaben ohne Gebühr und eine Rückgabegarantie bei berechtigten Käufen. Das ist eine Behauptung von Meta über ein Produkt von Stripe, keine Prüfung durch uns und kein Ersatz für den Dialog davor. Ein Schutz nach dem Kauf beantwortet nicht, ob der Dialog vor dem Kauf den Händler und den Betrag gezeigt hat.

Meta begründet die einmalige Karte damit, dass sie selbst bei einem Abfluss wenig nützlich wäre, weil Händler, Betrag und Zeit fensterfest gebunden sind. Auch das ist eine Begründung des Herstellers, kein Befund aus Ihrem Konto. Was Sie prüfen können, ist schmaler und brauchbarer: Zeigt der Dialog vor jedem Kauf Händler, Betrag und Gegenstand? Fehlt eine dieser Zeilen, ist die Ankündigung an der Stelle, die Sie gerade anfassen, dünner als der Blog.

Kurz zur Einordnung, damit niemand den Schutz mit einer Garantie verwechselt. Meta sagt im Forschungsblog ausdrücklich, Muse sei nicht immun, Prompt Injection bleibe ein offenes Problem der Branche, und Muse werde Fehler machen. Die Kaufregeln von Link ändern diesen Satz nicht. Sie sind eine Absicherung für berechtigte Fälle nach einem Kauf, den Sie bestätigt haben sollen. Sie sind nicht die Aussage, der Agent könne nichts Falsches bestellen.

Was heißt das für Sie, noch bevor die Architektur kommt? Drei sichtbare Tests, keiner davon ein Labor. Erstens: Liegt das Ja außerhalb des Chats? Zweitens: Können Sie Lesen und Senden getrennt lassen, und bleibt das Senden aus, solange Sie es nicht erteilen? Drittens: Kommt vor Geld jedes Mal ein Dialog mit den konkreten Daten, nicht eine pauschale Vollmacht vom Vortag? Wenn diese drei Punkte in der Oberfläche, die Sie in der Hand haben, nicht auftauchen, hilft der schönste Blog nicht.

Sentinel entscheidet. Muse beantragt nur.

Sentinel ist nach dem Forschungsblog ein eigener Agent auf der Maschine, getrennt von Muse auf Systemebene. Es ist die alleinige Instanz für zwei Klassen von Vorgängen: Handlungen über Anschlüsse an fremde Dienste, und jeden ausgehenden Netzwerkverkehr. Muse schlägt vor. Nur Sentinel darf erlauben. Das Newsroom sagt denselben Kern in kürzer: Nichts, was Muse tut, erreicht das Internet, solange Sentinel nicht zustimmt, und Sentinel fragt die Person, wenn es nötig ist.

Das Gehäuse, in dem das liegen soll, heißt im Newsroom Muse Secure VM: eine eigene virtuelle Maschine pro Person, mit Browser, in der Agent und Daten wohnen. Mehr ist dieses Gehäuse in diesem Text nicht. Die Geschichte, die sich prüfen lässt, ist nicht der Name der Kiste. Es ist, wer darin Ja sagt, wo die echten Zugangsdaten liegen, und ob das Bounty Wirkung bezahlt.

Wenn Muse über einen Anschluss handeln will, wird das Werkzeug in der Laufzeitumgebung angestoßen und legt Sentinel einen Antrag vor. Meta beschreibt, was in diesem Antrag steht: welcher Anschluss, welche Methode, welche Klasse von Handlung, welcher Umfang, welcher Kontext zu dem, was Sie verlangt haben. Daraus soll Sentinel einen Zweck formen, den Sie sehen können. Dann prüft Sentinel die Richtlinie, die Sie gesetzt haben, und entscheidet: erlauben, ablehnen, oder fragen.

Jeder konkrete Netzwerkwunsch soll an derselben Tür vorbei, bevor er das Haus verlässt. Ersatz-Tokens, dazu gleich mehr, werden erst nach dieser Erlaubnis gegen das echte Zugangsdatum getauscht, an der Grenze, nicht im Gespräch mit dem Modell. Der Agent soll die echten Tokens nie sehen. Das schreibt Meta als Eigenschaft des Entwurfs. Es ist keine Messung, die eine dritte Stelle in diesen beiden Texten veröffentlicht hat.

Wichtig, weil es sonst untergeht: Sentinel soll nicht bei jedem Atemzug fragen. Bereits erlaubte oder erkennbar risikoarme Lesevorgänge können ohne Unterbrechung weiterlaufen. Meta sagt, die Reibung solle dort sitzen, wo Zustimmung zählt, und der Alltag solle fließen. Diese Balance wolle man mit echter Nutzung nachjustieren. Die Texte enthalten keine vollständige Liste der Fälle, die ohne Frage durchgehen. Das Fehlen dieser Liste ist selbst ein Befund. Sie können sie nicht aus dem Blog abschreiben und in eine Richtlinie kleben.

Das hat eine nüchterne Folge für den Dienstagmorgen. Ein fehlender Dialog ist kein Beweis, dass abgelehnt wurde. Er kann bedeuten, dass Meta den Vorgang für bereits gedeckt oder für risikoarm hält. Wenn Sie wissen wollen, was in Ihrem Namen ohne Frage passiert ist, brauchen Sie ein Protokoll, nicht ein gutes Gefühl nach einem stillen Chat. Ob dieses Protokoll existiert, steht im Newsroom als Behauptung: Muse zeige einen vollständigen Prüfpfad dessen, was es getan hat und zu tun plant. Der Forschungsblog veröffentlicht kein Schema dieser Spur. Felder, Aufbewahrung, Export, ob auch Ablehnungen darin stehen, ob Sentinel schreibt und nicht Muse: das steht dort nicht. Ich ergänze es nicht.

Mehr Hände ändern die Tür nicht. Meta beschreibt Muse so, dass es im Hintergrund arbeitet, Teilaufgaben verteilt und eigene Werkzeuge bauen kann, bis hin dazu, sich selbst zu bearbeiten. Gerade dann darf die Erlaubnis nicht in dem Werkzeug liegen, das der Agent gerade umschreibt. Eine Laufzeitumgebung, die untrusted Daten liest und ihre eigenen Hilfen verändert, ist der falsche Ort für das echte Geheimnis und für das letzte Ja. Sentinel und der Speicher der Zugangsdaten sollen außerhalb dieser Zelle sitzen. So die Architektur, wie Meta sie aufschreibt.

Wer die breitere Einordnung sucht, wie Red Teams agentische Angriffsketten öffentlich beschreiben, findet sie bei uns in einem eigenen Text. Hier bleibt die Frage enger. Lässt sich die Freigabe-Instanz, die Meta Sentinel nennt, von außen überhaupt anfassen, bevor Postfach oder Zahlung verbunden sind?

Dazu gehört, was eine einzelne Freigabe sein soll. Meta nennt sie eine strenge Fähigkeit, keine conversational Anregung. Sie ist gebunden an den konkreten Anschluss oder das konkrete Ziel und an den Anwendungsfall. Es gibt Unterstützung für einmalige Freigaben, für die Sitzung, für die Aufgabe, für ein Zeitfenster und für dauerhafte Erlaubnis. Welche dieser Formen Ihnen angeboten werden, entscheidet Sentinel, nicht ein Satz, den Sie im Chat hingeschrieben haben. Spätere Aufrufe sollen exakt in den gewährten Rahmen passen. So der Anspruch. Ob Ihr Client die Bindung sichtbar macht, Anschluss, Ziel, Frist, ist der Test, den Sie ohne Quellcode machen können.

Dauerhaft ist dabei kein Schimpfwort, aber auch kein Kompliment. Für einen Kalender, den Sie nur lesen lassen, kann eine sitzungsweite oder dauerhafte Lesefreigabe praxistauglich sein, sobald Sie dem Verhalten vertraut haben. Für das Senden von Mail wäre dieselbe Dauer eine andere Entscheidung. Für Käufe beschreibt Meta gar nicht diesen Baukasten als Alltag, sondern den Dialog jedes Mal, mit den konkreten Daten. Wenn Ihnen ein Client für eine Zahlung eine dauerhafte Vollmacht anbietet, widerspricht das der schärferen Formulierung aus dem Bezahlabschnitt. Dann sollten Sie Nein tippen und nachfragen, nicht die Pressemitteilung zitieren.

Ersatz-Tokens: Bleibt das echte Geheimnis draußen?

Der prüfbare Kern hinter dem Wort Ersatz-Token ist eine Ortsangabe. Echte OAuth-Tokens für Dienste, die Sie verbinden, soll nicht die Laufzeitumgebung halten und nicht eine zentrale Meta-Infrastruktur. Halten soll sie hatch-authd, in Ihrer virtuellen Maschine. Dieses Stück Software stellt Ersatz-Tokens aus, Surrogate, wie der Forschungsblog sie nennt. Code in der Laufzeitumgebung oder ein Worker sieht nach dieser Darstellung nur den Ersatz. Erst wenn Sentinel die konkrete Netzwerkanfrage erlaubt hat, tauscht Sentinel an der Netzwerkgrenze den Ersatz gegen das echte Zugangsdatum, das es sich von hatch-authd holt.

Der Agent sieht die echten Tokens nie. So der Satz von Meta. Daraus folgt die Pointe, die der Blog selbst zieht: Eine Anweisung, die das Modell überreden will, das Geheimnis auszusprechen, geht ins Leere, wenn das Modell das Geheimnis nie hatte. Ich wiederhole diesen Satz als Behauptung, nicht als Beweis. In den beiden Texten steht kein unabhängiger Test, keine freigegebene Messung, kein Prüfsiegel. Es steht ein Entwurf.

Die Formulierung hat eine Grenze, die man nicht weichzeichnen sollte. „Der Agent sieht sie nie“ heißt nicht „kein Prozess auf der Maschine sieht sie je“. hatch-authd muss das echte Token speichern, sonst gibt es nichts zu tauschen. Sentinel muss es an der Grenze einsetzen, sonst kommt die Anfrage ohne Zugang an. Die Behauptung betrifft die Laufzeitumgebung und das Modell, nicht einen leeren Tresor. Wer den Satz liest, als lägen nirgends echte Zugangsdaten, liest mehr, als Meta geschrieben hat.

Was können Sie davon sehen? Weniger als die Architektur verspricht, und doch nicht nichts. Meta schreibt, Sie könnten Dateien in der virtuellen Maschine ansehen, bearbeiten und herunterladen, einschließlich dessen, was Muse über Sie speichert. Zugangsdaten sollen in einem getrennten Behälter in derselben Maschine liegen, nicht in anderen Meta-Diensten. Wenn in dem Arbeitsbereich, den Sie einsehen können, ein echtes OAuth-Token im Klartext liegt, ist die Behauptung für Ihr Konto an dieser Stelle gescheitert. Das ist ein Blick auf das, was Ihnen gezeigt wird. Es ist keine Anleitung, an den Tresor heranzukommen, und eine solche Anleitung gehört nicht in diesen Text.

Für eingebaute Anschlüsse beschreibt Meta eine zweite Trennung, privsep genannt. Die eigentliche Anschluss-Logik läuft außerhalb der Laufzeitumgebung, mit eng zugeschnittenem Zugang zu Zugangsdaten. In der Zelle liegt nach dieser Darstellung nur eine dünne Schicht, die Argumente weiterreicht. Ein Kalender-Worker kann nicht einfach durch das Ändern eines Parameters ein Mail-Zugangsdatum verlangen. Jeder Worker habe eine ausdrückliche Liste erlaubter Zugangsdaten. Meta verteilt die Rollen in drei Sätze: privsep entscheidet, wo credential-fähiger Code läuft. hatch-authd entscheidet, welches Material der authentifizierte Aufrufende bekommen darf. Sentinel entscheidet, ob die Handlung stattfinden darf. Das ist Architekturprosa des Herstellers. Glaubwürdig wird sie für Sie erst, wenn der Anschluss, den Sie einschalten, in dieser Trennung beschrieben ist, nicht wenn der Blog sie allgemein behauptet.

Genau hier sitzt eine Frage, die der Blog aufmacht und nicht zu Ende beantwortet. Muse kann, so Meta, eigene Anschlüsse für andere Dienste schreiben, wenn die eine Schnittstelle oder ein Kommandozeilenwerkzeug haben. Die schärfere Trennung ist für eingebaute Anschlüsse formuliert. Ob ein selbst geschriebener Anschluss denselben Weg über hatch-authd, dieselbe Liste und dieselbe Tür bei Sentinel nimmt, steht nicht als pauschales Ja in den Texten. Fragen Sie das, bevor so ein Anschluss Produktivdaten sieht. Eine generische Antwort aus dem Marketing reicht nicht. Sie wollen den Weg für den Dienst, den Sie verbinden.

Eine parallele Behauptung gilt für Passwörter im Browser, und ich halte sie kurz, weil sie dieselbe Ortslogik meint. Meta beschreibt eine eigene Eingabe im Client, die Benutzername und Passwort direkt in den Speicher schickt, außerhalb der Laufzeitumgebung. Das Hauptmodell soll diese Eingabe nicht sehen. Eingesetzt wird sie im Browserfenster im Moment des Bedarfs. Sie können das anfassen, indem Sie beobachten, ob das Passwort im Chat auftaucht. Wenn es dort steht, ist die Behauptung für diesen Vorgang hin. Mehr müssen Sie dafür nicht nachbauen.

Die engere Frage, welche Vertraulichkeitslücken beim Anschluss von Postfach und Kalender zählen, behandeln wir an anderer Stelle. Für Muse bleibt der engere Prüfstein: Verlässt das echte Zugangsdatum die Laufzeitumgebung, oder liegt es in dem Raum, den das Modell liest und umschreibt? Der Blog beantwortet das mit einem Nein für das Modell. Eine dritte Stelle kann dieses Nein an den beiden Texten nicht nachmessen. Sie kann es nur als Anspruch notieren und nach dem Protokoll fragen, das einen Verstoß sichtbar machen würde.

Dazu kommt das Postfach als Sonderfall, und hier höre ich bewusst vor jedem Wie auf. Viele Konten im Web lassen sich über das primäre Postfach zurücksetzen. Einmalcodes, Links zum Zurücksetzen von Passwörtern und Magic-Login-Links landen dort. Meta schreibt, der Mail-Anschluss filtere genau diese drei Arten heraus, mit festen Filtern und einem Klassifikator. Der Anspruch: Das verbundene Postfach soll kein Weg sein, auf dem der Agent oder eine eingespeiste Anweisung Sie auf anderen Diensten vertritt. Welche Zeichenfolgen der Filter erkennt, beschreibe ich nicht. Wie man ihn umgeht, schon gar nicht. Für Sie zählt die Produktfrage: Ist dieser Filter für den Anschluss eingeschaltet, den Sie nutzen, und ist Senden vom Lesen getrennt, solange Sie Senden nicht wollen?

Meiner Einschätzung nach ist der Dialog im Client der einzige Baustein, den Sie ohne Labor und ohne Bounty selbst anfassen können. Die Ortsangabe zu den Tokens ist die stärkste Architekturbehauptung in dem Blog, und zugleich die, die Sie am wenigsten von außen sehen. Beides gleichzeitig festzuhalten, ist die Einordnung. Wer nur den starken Satz zitiert, verkauft einen Entwurf als Befund. Wer nur das Unsichtbare betont, tut so, als sei gar nichts zu prüfen. Der Dialog ist zu prüfen. Der Tresor ist zu erfragen. Das Bounty ist als Deckel zu lesen, nicht als bereits gewonnener Nachweis.

Ein Satz noch zur Sicherung, weil er in denselben Abschnitt des Blogs gehört und leicht untergeht. Meta schreibt, die Daten der virtuellen Maschine würden fortlaufend gesichert, damit Sie wiederherstellen können. Zugangsdaten lägen in einem getrennten Behälter in dieser Maschine. Die Texte sagen nicht in einem eigenen Satz, ob dieser Behälter in derselben Sicherung liegt, wer sie öffnen kann, und ob ein Wiederherstellungsvorgang am Agenten vorbeigeht. Das ist keine Unterstellung eines Lecks. Es ist eine Lücke in der Beschreibung. Sie gehört auf den Zettel, bevor Postfach und Zahlung verbunden werden.

Dialog im Client, nicht im Chat

Wenn Sentinel sich für Fragen entscheidet, entsteht eine offene Freigabe, und die Ausführung stoppt. Sentinel schickt die Anfrage direkt an den Client, mit der Beschreibung der genauen Handlung. Der Dialog erscheint in der Oberfläche, nicht in der Unterhaltung mit Muse. Ihre Antwort geht direkt zurück an Sentinel. Sentinel aktualisiert seinen maßgeblichen Zustand und lässt den Vorgang zu oder weist ihn ab. Der Chat ist in dieser Kette Bote der Arbeit, nicht Notar der Erlaubnis.

Warum die Spaltung zählt, lässt sich ohne Angriffsanleitung sagen. Der Chat ist der Ort, an dem fremder Text ankommt: Mails, Webseiten, Dateien, alles, was das Modell lesen soll, um nützlich zu sein. Wenn die Zustimmung in demselben Kanal läge, läge sie in dem Strom, den Meta selbst als nicht vertrauenswürdig markieren will. Ein eigener Dialog ist ein anderer Kanal. Er ist nicht magisch. Er ist getrennt. Getrennt heißt: Die Antwort tippen Sie in ein Fenster, das das Modell nicht als nächsten Satz der Unterhaltung formuliert. Ob das Fenster in der App, die Sie installieren, wirklich so gebaut ist, sehen Sie beim ersten echten Ja. Vorher sehen Sie es nur im Blog.

Meta schreibt, der Punkt sei nicht, Sie zu allem zu befragen. Das ist ehrlich, und es ist auch die Stelle, an der Komfort und Aufsicht auseinanderlaufen. Je seltener gefragt wird, desto weniger unterbricht Muse Ihren Tag. Je seltener gefragt wird, desto mehr hängt an der stillen Richtlinie und an dem, was als risikoarm gilt. Diese stillen Fälle wollen Sie benennen können. Können Sie es nicht, beaufsichtigen Sie eine Blackbox mit einem freundlichen Ton.

Widerruf gehört in denselben Absatz, weil eine Freigabe ohne Rückweg keine Freigabe ist, sondern eine Übergabe. Das Newsroom sagt, Sie könnten den Zugang ändern oder einen Dienst jederzeit trennen. Es sagt auch, Sie könnten Muse anweisen, einzelne gemerkte Dinge zu vergessen. Der Forschungsblog ergänzt, Sie könnten die Dateien und die Erinnerung einsehen und ändern. Was die Texte nicht sagen: wie schnell eine laufende Aufgabe stoppt, wenn Sie mitten in einem Vorgang trennen, und ob eine dauerhafte Freigabe in dem Moment erlischt oder bis zu einem bereits angestoßenen Schritt weitergilt. Fragen Sie das an einem Testkonto, nicht an dem Postfach, über das Ihre Rechnungen laufen.

Ist eine Obergrenze schon eine Prüfung? Nein. Deshalb kommt das Bounty erst, nachdem die Tür und der Tresor auf dem Tisch liegen. Eine Prämie kann einen Fehler belohnen, den jemand vorzeigt. Sie ersetzt nicht den Dialog von Dienstagmorgen. Sie macht ihn auch nicht wahr, bloß weil irgendwo 300.000 US-Dollar stehen.

Schichten gegen Prompt Injection, kein gelöstes Problem

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptDesk still life: a small blank token card in front and a closed lockbox set slightly apart, unplugged network cable, soft side light, photorealistic, no logos, no readable text, 16:9

Meta stapelt Schutz, und sagt im selben Atemzug, das Problem sei offen. Das ist der Satz, den ich ernst nehme. Wer daraus „erledigt“ liest, liest gegen den Autor.

Die Schichten, die der Forschungsblog nennt, lassen sich ohne Werkstatt beschreiben. Erstens Training: Das Modell soll Versuche erkennen, die Anweisung zu verbiegen, und ihnen widerstehen. Meta spricht von eigenen Auswertungen über die Zeit und nennt Muse Spark 1.3 in dieser Fähigkeit „close to SOTA“. Das ist eine Herstellerbehauptung über ein Messverfahren, das der Blog nicht offenlegt. Kein Befund einer Aufsicht.

Zweitens Kennzeichnung. Daten, die von außen in den Kontext kommen, sollen als nicht vertrauenswürdig markiert sein. Zusammen mit der stärkeren Bindung an die Entwickleranweisung soll das Modell eher unterscheiden, welcher Text eine Anweisung ist und welcher nur Material. Drittens ein Ensemble von Klassifikatoren, getrennt vom Kernmodell trainiert, auf externen Daten aus Dateien und Werkzeugaufrufen. Meta sagt, die getrennte Schulung hebe die Trefferquote des Gesamtsystems. Viertens die Freigabe durch eine Person, wenn Daten die Maschine verlassen wollen. Darunter, so der Blog, bleiben feste Grenzen stehen, auch wenn das Modell überredet wird: die Laufzeitzelle, privsep, Zugriffslisten bei hatch-authd, Sentinel an jeder Handlung und an jedem ausgehenden Netzwerkweg.

Vier Schichten sind keine Lösung. Sie sind eine Wette, dass nicht alle gleichzeitig versagen. Ich finde diese Ehrlichkeit brauchbarer als ein Schild mit „sicher“. Muse werde Fehler machen, schreibt Sheasha. Prompt Injection bleibe ein offenes Problem der Branche. Wer Muse an Postfach oder Zahlung hängt, hängt es an ein offenes Problem mit Begrenzungen, nicht an ein geschlossenes.

Was Sie daraus mitnehmen können, ohne ein Labor: Fragen Sie nicht „Ist Injection gelöst?“. Die Antwort des Herstellers ist Nein. Fragen Sie, welche dieser Schichten für den Anschluss gelten, den Sie einschalten, und ob eine Freigabe trotzdem Ihren Dialog braucht, wenn etwas das Haus verlassen soll. Eine Folie, die nur das Wort Ensemble zeigt, beantwortet das nicht.

Was das Bounty zahlt, und was es nicht beweist

Am 8. September 2026 hat Meta das Bounty öffentlich gemacht, nachdem Forschende zuvor in einem geschlossenen Programm gemeldet hatten. Der Rahmen aus dem Forschungsblog, nicht mehr:

Zwei Deckel. Keine Tariftabelle, kein Anspruch, keine Zusage, dass irgendwer diese Summe sieht. „Up to“ heißt Obergrenze. Wirkung soll zählen, so der Blog: demonstrated impact. Der engere Posten ist die Injection, die eine einzelne Person trifft, nicht ein hübscher Nachweis auf einer Folie. Responsible Disclosure, also verantwortliche Meldung, ist die Tür. Wie die Stufen darunter aussehen, welche Fristen gelten, was ausgeschlossen ist: das steht in den beiden Texten nicht, und ich baue die Lücke nicht nach.

Hand aufs Herz: Ein Bounty prüft nicht Ihr Konto. Es prüft, ob jemand von außen einen Effekt vorzeigen kann, den Meta als zahlbar anerkennt. Das ist nützlich. Es ist kein Ersatz für den Dialog vom Dienstagmorgen, und es ist kein Siegel. Solange keine unabhängige Stelle die Entscheidungen veröffentlicht, wissen Sie nicht, welche Meldungen gezahlt wurden und welche mit der Begründung „kein Nutzerbezug“ liegen blieben. Wir bei digital-magazin.de behandeln solche Summen deshalb als Signal für Ernst, nicht als Nachweis, dass die Tür hält.

Was Einkauf und IT vor dem Anschluss fragen

Bevor Postfach oder Zahlung an diesem Agenten hängen, reicht ein kurzer Zettel. Keine Checkliste aus einem Zertifikat. Sechs Fragen, die sich aus den Texten ergeben und die eine dritte Stelle heute noch nicht für Sie beantworten kann.

• Wer schreibt das Protokoll der Sentinel-Entscheidungen: Sentinel selbst, oder Muse? Stehen Ablehnungen darin, oder nur das, was durchging?
• Sieht der Dialog Anschluss, Ziel, Zweck und Frist, oder nur ein freundliches „darf ich?“?
• Liegt im Arbeitsbereich, den Sie einsehen können, ein echtes Zugangsdatum im Klartext? Wenn ja, ist die Ortsbehauptung für dieses Konto hin.
• Ist Lesen vom Senden getrennt, und bleibt Senden aus, bis Sie es erteilen?
• Kommt vor jedem Kauf ein Dialog mit Händler, Betrag und Gegenstand, auch dort, wo die Karte schon hinterlegt ist?
• Zahlt das Bounty für Wirkung bei einer Person, und können Sie das an veröffentlichten Entscheidungen sehen, oder nur an der Obergrenze in der Ankündigung?

Wer die Antworten nicht bekommt, sollte den Anschluss aufschieben. Nicht aus Aufregung. Aus Einordnung. Ein Agent, der Mail schickt, braucht eine Tür, die jemand anderes schließt. Fehlt die Sicht auf diese Tür, fehlt die Aufsicht, auch wenn der Chat höflich bleibt.

Praktisch umsetzen lässt sich derselbe Gedanke enger, wenn Zugänge im Alltag getrennt und widerrufbar bleiben sollen. Und wer sehen will, wie ein Transparenzbericht Agenten-Governance überhaupt beschreibt, findet bei uns den Maßstab: Zahlen, Grenzen, was fehlt. Meta liefert am 8. September eine Architektur. Einen solchen Bericht mit Vorfällen und Ablehnungen liefert dieser Start nicht.

Und jetzt?

Glaubwürdig wird das Modell, wenn Sie drei Dinge sehen können. Den Dialog außerhalb des Chats. Die Ortsangabe zu den echten Tokens, wenigstens als Abwesenheit im Arbeitsbereich, den Sie öffnen. Und ein Bounty, das Wirkung meint, nicht die Folie. Sehen Sie das nicht, bleibt die Pressemitteilung eine Pressemitteilung.

Ein Ausblick, und nicht mehr: Meta kündigt für später im Jahr eine vertrauliche Variante der Maschine an, bei der selbst Meta die Daten nicht lesen können soll. Daran misst man Muse heute nicht. Heute misst man Sentinel, den Ersatz und den Deckel des Bounty.

Zwei Sätze noch, weil sie in denselben Texten stehen und leicht im Sicherheitskapitel untergehen. Gespräche und der Inhalt der Maschine gehen nach Angabe von Meta nicht in die Anzeigensysteme. Wenn Muse aber im Web unterwegs ist, kann das wie Ihre eigene Aktivität aussehen und Anzeigen beeinflussen. Trainingsdaten aus den Verläufen sollen vor der Nutzung von personenbezogenen Angaben bereinigt werden. Wer das nicht will, soll das in den Einstellungen abschalten können. Beides ist Herstellertext. Beides gehört auf denselben Zettel wie die sechs Fragen.

Der Punkt ist: Eine Freigabe, die nur im Blog steht, ist keine Freigabe. Wir bei digital-magazin.de bleiben bei dieser Lesart, bis eine dritte Stelle die Tür, den Tresor und die gezahlten Fälle zeigen kann. Vorher nicht das Postfach. Und nicht die Zahlung.