日本上陸 Meta Muse完全解説

今日から日本で使える。最初に変える設定と、Museに渡す依頼文6本

2026年10月23日、MetaのAIエージェント「Muse」が日本で使えるようになりました。

9月に北米で先に始まったサービスで、北米以外では日本が最初の提供先です。

Museは、質問に答えるだけのAIではありません。メールを送り、旅行を予約し、買い物を済ませるところまで進めます。アプリを閉じても作業を続け、判断が必要なときだけ戻ってきます。

北米での広がり方はかなり速いです。10月21日の決算説明会で、Zuckerbergは約1か月半で1,000万人以上がMuseを設定したと話しました。

設定した人の約25%が毎日使っています。一番多い使い道は買い物で、利用者の25%超が買い物に使い、1回あたりの平均購入額は200ドルを超えるそうです。

ところが、Metaの公式ヘルプには、こう書いてあります。

「Museは間違えたり、予期せぬ行動をとったりすることがあります」

作った会社が、最初から間違える前提に立っているわけです。

Museの安全の仕組みも、この前提でできています。AIを見張る別のプログラムを外に置き、パスワードを見せず、通信の出口で中身を検査する。

この記事では、それを「自社のAIを信用しなかった設計」と呼びます。

使う側にも、同じ前提が要ります。最初にどこを設定して、何から任せて、どこで止めるか。それを決めずに全部つなぐのは、Metaが用意したブレーキを踏まずに走るのと同じです。

今日から使えるものとして、次の3つを置きました。

・日本で今日できること、まだのことの整理（第1章）

・最初に変える設定のチェックリスト（第3章）

・Museのチャットにそのまま貼れる依頼文6本と、依頼するときに使う統合版（第2章から順に置き、統合版は第13章）

この記事の流れ

AIに詳しくなくても読めるように書きます。専門用語には、出てくるたびに説明を付けます。すぐ使い始めたい人は、第3章と第13章から読んでも大丈夫です。

・第1章　Museとは何か。日本で今日できること、まだのこと

・第2章　AIに配られたパソコンの中身

・第3章　始め方は3段階。最初に変える設定はここ

・第4章　アプリを閉じても働き続ける

・第5章　メールも予約も買い物もやる

・第6章　Museは自分で道具を作る

・第7章　覚えて、先回りする

・第8章　専用PCで24時間動くのは、Museが最初ではない

・第9章　これだけ権限を渡すと、何が起きるのか

・第10章　Metaは「Museを信用しないAI」を作った

・第11章　それでも、事故は起きていた

・第12章　Metaに全部預けて大丈夫なのか

・第13章　最初の1週間でやること

・第14章　答えるAIの次に来たもの

第1章　Museとは何か。日本で今日できること、まだのこと

日本で今日できること

Museは、MetaのAIエージェントです。エージェントとは、自分で手順を考え、道具を使って仕事を進めるAIのことです。

日本語の公式発表によると、使える場所はiOSとAndroidのアプリ、ウェブのmuse.aiの3つです。

北米にはWhatsAppやMac版もありますが、日本の発表には書かれていません。

ログインにはMetaアカウントを使います。公式ヘルプによると、FacebookかInstagramのアカウント、またはメールアドレスか電話番号で作れます。

Museにつなぐ外部のアプリやサービスを、Metaはコネクターと呼んでいます。日本の発表で名前が出ているのは、次のとおりです。

・毎日使うもの：Gmail、Googleカレンダー、Instagram

・買い物と旅行：Stripe、Shopify、Trip.com、Agoda、Klook

メールのやりとりを管理する。予定を調整する。Instagramで保存した投稿を使う。旅行の計画を立てて予約する。日本で今日から頼めるのは、このあたりです。

まだのこと

ここは勘違いが起きやすいところです。

メルカリ、マネーフォワード ME、チケットぴあの3つは、公式発表の書き方が「連携を進めて参ります」です。今日から使えるとは書かれていません。

9月24日のMeta Connectで発表された新機能も、日本は「別途ご案内」です。

対象は3つあります。話しながら裏で作業できる音声モード、表情豊かなアバター（英語のみ）、Muse専用のメールアドレスです。AIグラスでの対応も、日本では未定です。

料金は無料枠つき

公式ヘルプによると、Museは使用制限つきで無料で使えます。上限に達したら、有料プランに上げるか、追加のトークンを1回だけ買うか、上限が戻るのを待ちます。

有料プランは2つです。申し込めるのは、18歳以上か、住んでいる国の成人年齢に達した人です。

・Powerプラン：月20ドル。毎週5億のMuseトークン

・Maximumプラン：月100ドル。毎週30億のMuseトークン

Museトークンは、Museの利用量を数える単位です。頼む内容、使うモデルや道具、やりとりの長さによって、減り方が変わります。

円での値段は、公式発表にもヘルプにも書かれていません。ヘルプには、使える特典は申し込みの前に画面で表示される、とあります。

混同しやすい「Muse」の名前

「Muse」と名のつく製品は、ほかにもいくつもあります。ここを整理しておかないと、調べるときに確実に混乱します。

混同しやすい主なものを並べます。

・Muse Spark：4月に出たAIモデル。9月2日に1.3が出た

・Muse Image：7月に出た画像生成

・Muse Glimmer：8月に出た、パソコンで動く軽量版

・Muse：9月8日に出たAIエージェント。この記事の主役

・Muse Code：開発者向けのコーディングツール

・Muse Wonder：10月12日に発表された新しいモデル

日本語で「Muse」を検索すると、モデルの記事とエージェントの記事が混ざって出てきます。この記事で「Muse」と書いたら、9月8日に出たエージェントのことです。

モデルとエージェントは、無関係でもありません。9月8日に公開されたMetaの技術ブログでは、Museの頭脳はMuse Spark 1.3とされていました。

10月21日の決算説明会で、Zuckerbergは今の状態をこう説明しています。無料枠の標準はMuse Spark。新モデルのMuse Wonderは、有料プランで使える。

これは北米の話です。日本の有料プランでMuse Wonderが使えるかは、10月23日の発表には書かれていません。

答えてもらう使い方と、引き受けてもらう使い方

質問に答えてもらうチャットの使い方なら、「京都旅行のプランを教えて」と打てば、候補が返ってきます。

Museが中心にしているのは、その先です。目標を受け取り、計画を立て、ブラウザを開き、外部のサービスを操作し、必要なら人間に確認を取って、仕事を前へ進めます。

Zuckerbergはポッドキャストで、こう表現しました。

「You give it projects, or you give it goals.」

プロジェクトを渡すか、目標を渡す。そういう相手です。

同じ「代わりに動くAI」として、OpenAIは9月にDotsを出しています。そちらは前に完全解説を書きました。

Museと見比べると、各社の考え方の違いが見えてきます。リンクはここ👇️

https://x.com/lucky_note_lab/status/2104989389604724980

第2章　AIに配られたパソコンの中身

Linuxのパソコンを1台まるごと支給

Museで一番驚いたのは、動く場所でした。

Museの利用者には、Muse Secure VMという専用の仮想マシンが割り当てられます。仮想マシンとは、クラウド上に作られた仮想のパソコンのことです。

物理的な箱はありませんが、中身は普通のコンピューターと変わりません。

Metaの技術ブログによると、ブラウザだけを動かす簡易な環境ではなく、専用の独立したLinuxの仮想マシンです。公開されている構成を並べます。

・OS：Linux。ツールを動かす側には、独立したDebianのファイル群がある

・ブラウザ：最新のChromium系。古い簡易ブラウザではない

・データベース：PostgreSQL。作業の状態を保存する

・コンテナ：systemd-nspawn。中で最高権限を取っても、外では一般ユーザー扱い

・その他：ストレージ、CPU、メモリ、ファイル置き場、長期の記憶、定期実行

Metaは、AIに道具を持たせたのではありません。パソコンを1台まるごと支給しました。

日本語のmuse.aiにも「フルブラウザーを備えた永続的で独立したLinuxコンピューター」と書かれています。作業の途中でも、こちらがいつでも介入して軌道修正できる設計です。

公開されていない数字

一方で、公開されていない数字もあります。

CPUのコア数、メモリの量、ストレージの容量、連続で動ける時間の上限、同時に動かせるサブエージェントの数。全部非公開です。

サブエージェントとは、Museが仕事を分けて任せる、小さな手伝い役のAIです。

記事や動画で具体的な数字を見かけたら、出どころを確かめたほうが安全です。

依頼文①：最初に覚えてもらう自己紹介と線引き

専用のパソコンがあっても、その中で何をしていいかを決めるのは、こちらです。

Museは会話の中身を覚えていきます。公式ヘルプは、背景をくわしく伝えるほど答えがよくなると書き、「境界線を定義する」ことも勧めています。

例として挙がっているのは、「SMSは検索せずにメールのみを対象にしてほしい」という指示です。

だったら、最初に1回、自分のことと線引きをまとめて渡しておくのが早い。これが1本目の依頼文です。（例）の部分は、自分の内容に書き換えてください。

▼ここからコピー

【依頼文①：最初に覚えてもらう自己紹介と線引き】

これから長く使うので、最初に私のことと、守ってほしい線を覚えてください。

■ 私について

・仕事：（例：フリーランスのWebデザイナー。取引先は5社ほど）

・連絡の基本：（例：仕事のメールは平日の9時〜18時に返す）

・予定の置き場：（例：Googleカレンダー）

■ 見てよいもの、見ないもの

・見てよい：（例：Gmailの「仕事」ラベル、Googleカレンダー）

・見ないでほしい：（例：家族とのやりとり、病院・銀行・役所からのメール）

■ 私の確認なしで進めてよいこと

・調べる、読む、比べる、まとめる、下書きを作る

■ 必ず私の確認を取ること

・メールやメッセージの送信、購入、予約、予定の追加・変更・削除、誰かへの共有

■ そのほか

・私の代わりに人へ送る文には、最後に「Museで作成」と一言添えてください

・分からないことは推測で埋めず、先に質問してください

最後に、覚えた内容を箇条書きで返してください。間違っていたら私が直します。

▲ここまで

最後の一文は必ず残してください。覚えた内容を返させると、聞き違いをその場で直せます。

なお、依頼文で伝えた線には、設定のような強制力はありません。

見せたくないものを確実に外したいときは、そのアプリをつながないか、第3章の設定で絞ります。依頼文は、その内側で範囲を伝える役です。

「Museで作成」の一言は、公式ヘルプの勧めに沿ったものです。AIが作った文だと受け取る側に伝わるよう、ノートを付けさせる方法が紹介されています。

第3章　始め方は3段階。最初に変える設定はここ

1段階目：チャットで頼むだけ

公式ヘルプによると、Museを開くと[チャット]タブが出ます。ここに頼みごとを打つだけです。

公式ヘルプによると、ほかのAIアプリと違い、返事を待たずに次を送れます。

話題ごとに別のスレッドを作るサイドチャットもあります。Museは、メインとサイドの両方の流れを把握しています。

頼むときは、できるだけ具体的に書きます。Museのほうから質問してきて、答えると作業が始まることもあります。

2段階目：アプリをつなぐ

次に、GmailやGoogleカレンダーなどのコネクターをつなぎます。

つなぐ前に、公式ヘルプにある2つの言葉を覚えておくと迷いません。

・読み取り：Museがこちらの情報を見ること。カレンダーを確認する、メールを読む

・書き込み：Museがこちらに代わって変えること。メッセージを送る、購入する

取り返しがつかないのは、たいてい書き込みのほうです。だから最初の数日は、読み取りで済む仕事だけを頼みます。

公式ヘルプも、慣れるまではリスクの少ないタスクから始めるよう勧めています。

3段階目：時刻を決めた仕事と、長い仕事

慣れてきたら、リマインダーや、決めた時刻に動くタスクを頼みます。毎朝7時に価格を確かめる、といった使い方です。

予定されたタスクは、アシスタントのアイコンを押して[今後の予定]で確認できます。

最初に変える設定はここ

公式ヘルプによると、[設定]から[アクセス許可]を開くと、Museに何を許すかを決められます。表記はヘルプのとおりに書きます。

・コネクタ：慣れるまでは[常に確認]にする。Museは何かをする前に、毎回許可を求めます

・もう1つの選択肢の[Ask for some actions]は、書き込みと重要な読み取りの前だけ聞く設定です

・ウェブアクセスのデフォルト：最初の数日は[常に確認]にする。Webサイトを開く前に毎回聞いてきます

・慣れたら「一部のアクションをリクエスト」に切り替えます。見慣れないサイトや、情報が渡りそうな場面だけ聞く形になります

・[コネクター]：つないだアプリごとに、許可を見直せます

・[アーティファクトと日時指定タスク]：決まった時刻に動くタスクや、Museが作ったファイルごとに承認を管理できます

・[許可したウェブサイト]：一度許したサイトの一覧です。ここで取り消せます

Museとのやりとりを、MetaのAIの学習に使わせない選択（オプトアウト）もできます。最初はオンになっているので、気になる人は使い始める前に切り替えます。

公式ヘルプの手順はこうです。[設定]→[データコントロール]→[AIモデルの改善にご協力ください]をオフ→[オフにする]で確定。

承認のボタンは5つ。最初は2つだけ使う

Museが許可を求めてきたときの選択肢は、5つあります。

・1回だけ許可：今回だけ実行する

・このタスクを許可：このタスクの中では、同じ種類の操作を続けてよい

・このサイトを許可：今後このサイトでは、同じ種類の操作を確認なしで行う

・常に許可：今後このコネクターでは、同じ種類の操作を確認なしで行う

・却下：今回は実行しない

最初の1週間は、「1回だけ許可」と「却下」だけを使ってください。

「常に許可」は便利ですが、一度押すと、その種類の操作は聞かれなくなります。広げるのは、第13章の見直しをしてからで十分です。

迷ったら、許可のお願いにある[タスクの詳細を見る]を押します。中身を確かめてから決められます。

やったことは、あとから全部見られる

アシスタントのアイコンを押すと、アクティビティログが開きます。Museが実行した操作と、こちらが出した許可が、時系列で並んでいます。

あわせて、次の3つも先に知っておくと安心です。

・止める：ページの読み込みや、購入前の価格比較などは、チャットで止めたり元に戻したりを頼めます。ただし送ったメールは取り消せません

・切る：コネクターは、いつでも切断できます

・リセット：Museの情報、チャット履歴、ファイル、動いているタスクが完全に消えます。元に戻せません

第4章　アプリを閉じても働き続ける

AIのほうが、人間を呼ぶ

チャットで質問するだけの使い方なら、画面を閉じれば、そこでやりとりは止まります。Museは止まりません。

公式発表によると、時間のかかるタスクは、アプリを閉じたあとも続けます。状況が変わったときや、メールの送信や購入のような承認が必要なときに、通知で知らせてきます。

Metaが挙げている例は生活寄りです。車を少しでも高く売る。請求額の値下げ交渉をする。生活の変化に合わせて、運動の計画を組み直す。

APによると、1年がかりの運動計画や、新しいビジネスの立ち上げのような長い目標も、例に入っています。

主従が逆転しています。これまでは、人間がAIの答えを待っていました。Museでは、AIが必要なときに人間を呼びます。

「24時間動く」は仕様書ではない

「どんな仕事も、24時間ずっと走り続ける」という保証はありません。仮想マシンが連続で動ける時間も、定期実行の上限も、公開されていないからです。

Zuckerbergは、目標の達成を助けるまで動き続けるという趣旨を語っています。ただ、それは説明です。仕様書に書かれた約束とは別物です。

実際、公開前の社内テストでは、この長い仕事が一番あやしい部分でした。詳しくは第11章で書きます。

依頼文②：長い仕事の渡し方

2本目は、時間のかかる仕事を渡すときの型です。完成の条件と、止まる条件を先に決めておきます。

▼ここからコピー

【依頼文②：長い仕事の渡し方】

これから時間のかかる仕事をお願いします。私はアプリを閉じるので、次の形で進めてください。

■ 始める前に

・この仕事のゴールを1文で書き、完成の条件を箇条書きで出してください

・使うつもりのコネクターとWebサイトを挙げてください

・私が「進めて」と書くまで、作業は始めないでください

■ 進め方

・作業を工程に分け、1つ終わるたびに、このチャットに短く残してください。「何が終わったか／次に何をするか／私の判断が要ることはあるか」の3点です

・見張りを続けられない、ログインが切れた、前提が変わった、のように仕事が止まりそうなときは、分かった時点ですぐ知らせてください

・解決できた軽いエラーも、黙って回り道をせずに記録し、最後にまとめて報告してください

・価格や空席などを見張る仕事では、確認した時刻を毎回記録してください。（例：1時間）以上確認が空いたら、そのことを知らせてください

■ 止まって私を呼ぶとき

・前提が変わったとき

・お金がかかるとき

・取り消せない操作の直前

・同じところで3回失敗したとき

■ 終わったら

・やったこと、確かめた結果、残っているリスクの3点を出してください

仕事の内容：（ここに書く）

▲ここまで

一番効くのは、止まりそうなときはすぐ知らせる、という一文です。長い仕事で一番困るのは、動いているように見えて、途中で止まっていることだからです。

見張りの時刻を記録させるのも、同じ理由です。確認が途切れたことに、こちらが気づけます。

第5章　メールも予約も買い物もやる

公式が挙げている使い道

Museができることを、公式が挙げている順に並べます。

メールを送る。下書きだけでなく、承認を挟んで送信まで進みます。

旅行を調べて予約する。ブラウザでフォームに入力する。こちらに代わって交渉する。車の売却を進める。Instagramで保存したレシピを、買い物リストに変える。

最後の例には続きがあります。買い物リストを作ったあと、夕食会の献立を提案し、招く友人の食事制限を思い出して反映する。そこまでが公式の例です。

Metaのデザインチームに所属するMona Sarantakosは、新学期の準備にMuseを使いました。その様子を、公式記事で公開しています。

学校からのメールと学区のサイトを調べさせ、大事な日程を家族のカレンダーに入れ、学用品をカートに入れさせました。

その途中で、Museは子どものスポーツの選考会の締切が、約12時間後だと見つけています。本人は飛行機に乗る直前に通知を受け取り、締切の約4時間前にフォームを出せたと書いています。

先回りというのは、こういうことです。

北米で一番多い使い道は、買い物

冒頭で書いたとおり、北米で一番多い使い道は買い物です。

最初の週は買い物の量が想定を超え、Stripeと組んで利用限度額を引き上げた。Zuckerbergは決算説明会で、そう明かしています。

では、AIにお金を払わせて大丈夫なのか。ここが一番よくできています。

決済には、StripeのLinkが使われます。Museに本物のカード番号は渡しません。買い物のたびに、使い捨てのカード番号が出されます。

その番号には、制限もかかっています。Metaの技術ブログによると、特定の店、特定の金額、短い有効期間に縛られます。仮に盗まれても、攻撃者にはほとんど使い道がありません。

さらに、保存済みの支払い方法を使う購入は、確定する前に毎回本人の承認を求めます。日本語のmuse.aiには、対象の購入がLinkの購入者保護を受けられるとも書かれています。

Stripeは、日本の発表にもコネクターとして名前が出ています。

依頼文③：買い物と予約の頼み方

承認のボタンが出るのは、払う直前です。その場で慌てないように、比べる材料を先に並べさせておきます。

▼ここからコピー

【依頼文③：買い物と予約の頼み方】

これから買い物（または予約）をお願いします。支払いや予約の確定に進む前に、次の条件を守ってください。

■ 予算

・上限は（例：1万円）です。送料と手数料を含めた合計で考えてください

・上限を超える候補しかない場合は、買わずに相談してください

■ 候補の出し方

・候補は3つまでにして、それぞれに次の6点を並べてください

　品名／合計金額（送料・手数料込み）／お店／届く日またはキャンセルの条件／選んだ理由／その情報を確かめた時刻

■ 確定の直前に

・価格と届く日は、確定の直前にもう一度ページで確かめ直してください

・セール価格の場合は、期限が切れていないかも確かめてください

・初めて使うお店やサイトの場合は、そのことを先に教えてください

■ 私が選んだあと

・選んだ候補だけで手続きを進め、承認を求めるところで止まってください

買いたいもの・予約したいもの：（ここに書く）

▲ここまで

「確かめた時刻」を書かせるのは、古い値段のまま話が進むのを防ぐためです。価格や在庫は、調べてから数時間で変わることがあります。

第6章　Museは自分で道具を作る

道具がなければ、自分で作る

Museは、道具がなければ自分で作ることもできます。日本語のmuse.aiには、こう書かれています。

「必要なタスクを実行できるツールがまだ存在しない場合は、エージェントに作らせることもできます」

Metaのデザイン記事によると、Museにはファイル置き場とターミナル（命令を打ち込む画面）があります。だからMuse自身がコードを書き、その仕事に必要な道具を作れます。

そしてMeta AI Researchのブログの冒頭には、こう書いてあります。

「launches swarms of subagents, builds its own tools, and edits itself」

サブエージェントの群れを立ち上げ、自分の道具を作り、自分自身を編集する、という意味です。

「自分自身を編集する」を盛らない

ただし、ここで一段盛ると誤情報になります。

「自分自身を編集する」が何を指すのか、Metaは定義していません。AIモデルの中身なのか、動きを制御するコードなのか、設定なのか、作業環境なのか。公式の資料からは分かりません。

なので、「自己進化するAIが誕生した」とは書けません。正確には、自分の作業環境や道具を、自分で変えたり増やしたりできる、です。

それでも十分にすごいことです。

よくある形は、人間が指示して、AIが用意された道具を使う。この3段です。

Museでは、人間が目標を渡し、Museがサブエージェントを動かします。サブエージェントは自作の道具を使い、その道具が外のサービスを操作します。全部で5段です。

第7章　覚えて、先回りする

頼まれていないことを提案する

Museの3つ目の特徴が、記憶です。

会話の中から、その人のことを覚えていきます。仕事の役割、家族の予定、食事制限、よく行く店、旅行の好み、予算の感覚。一度話したことを、あとで使います。

そして、頼まれていないことを提案します。

さきほどのレシピの例がそうです。保存したレシピから買い物リストを作り、夕食会の献立を提案し、友人の食事制限を思い出して招待に反映する。

この流れで、利用者がはっきり頼んだのは、最初の1つだけです。

新モデルMuse Wonderで、記憶が強くなる

10月12日に発表された新モデルのMuse Wonderは、この方向をさらに押し進めます。Metaは2つの力を挙げています。

・Active Memory：大事なことを会話をまたいで持ち越し、その仕事に関係する細かい点を思い出す

・Active Focus：難しい場面でも別のやり方を試し、エラーから立て直す。大事なことの前には確認を取る

第1章で書いたとおり、北米ではMuse Wonderがすでに有料プランで使えます。日本の有料プランでいつ使えるかは、まだ書かれていません。

Metaはこの流れを、Personal Superintelligenceへの第一歩と位置づけています。一人ひとりのための超知能、という意味です。

Zuckerbergは2026年8月10日に、「The Future is for Everyone」という文書を出しました。AxiosとAPによると、約6,500語の長文です。

CEOでも、ずれたら直す

ちなみに、Zuckerberg本人の使い方はかなり生活寄りです。

3歳の娘との週末のお菓子作りをMuseに計画させ、初心者でも作れるものを選ばせ、材料まで準備させています。

ところが、最初に出てきたケーキポップが難しすぎて、本人がMuseにフィードバックしたそうです。Business Insiderが伝えた本人の言葉はこうです。

「Cake pops, really difficult, surprisingly difficult.」

ケーキポップ、本当に難しい。思ったより難しい。

Meta CEOの使い方も、一発で完璧な指示を出すのではなく、ずれたら直すの繰り返しです。

公式ヘルプも、合わないと思ったら伝えれば調整する、と書いています。覚えている内容が違っていたら、伝えて直してもらいます。Museの名前や性格を変えるのも、伝えるだけです。

公式ヘルプによると、覚えた内容はアシスタントのアイコンから[Identity]→[Memory]で直接見直せます。特定の話題を「忘れて」と頼むこともできます。

第8章　専用PCで24時間動くのは、Museが最初ではない

「世界初」の看板

Metaの英語の発表には、こんなタイトルが付いています。

「The World's First Personal AI Agent Built for Everyone」

日本語の発表にも、「誰もが簡単に利用できるように設計された世界初のパーソナルAIエージェント」とあります。

ただし、額面どおりには受け取れません。

2025年7月、OpenAIはクラウド上の仮想コンピューターで動くChatGPT agentを出しました。

2026年1月には、AnthropicがClaude Coworkを研究プレビューとして公開しています。

同じ1月、OpenClawというオープンソースのエージェントは、短期間でGitHubのスターを10万超まで伸ばしました。

一番近いのはGemini Spark

そして一番近いのが、GoogleのGemini Sparkです。

Gemini Sparkは、クラウド上で24時間動く常駐のエージェントです。パソコンを閉じていても、スマートフォンがロックされていても、裏で動きます。

日本語にも対応しています。7月16日に、Google AI Ultraで日本語対応が始まりました。

7月29日には、月2,900円のGoogle AI Proへの展開も発表されています。

AIにクラウドの作業場所を与えて24時間動かす設計は、Googleが先に出していて、日本語でも使えます。

ReutersはMuseを、OpenClawを手本にした製品とまで報じました。WIREDも、Metaはむしろこの分野への参入が遅かったと書いています。

否定できるのは、技術の組み立てだけ

ここで否定できるのは、「クラウドで24時間動く個人向けエージェント」という技術の組み立てだけです。

「誰もが使える」という部分まで含めて、世界初の看板を崩せたとは言えません。Gemini Sparkは、使える国もプランも限られています。

では、Museは何も新しくないのか。

そんなことはありません。見るべきは、安全の作り方です。Metaは、自社のAIを信用しない前提で仕組みを組みました。

ここからは、Museに仕事を任せるための安全の仕組みを見ていきます。

第9章　これだけ権限を渡すと、何が起きるのか

最悪の組み合わせ

Museにつながりうるものを並べてみます。メール、カレンダー、支払い、買い物、FacebookとInstagram、個人のファイル、長期の記憶、ブラウザ。

セキュリティの目で見ると、これは最悪の組み合わせです。理由は、プロンプトインジェクションという攻撃にあります。

AIエージェントは、Webページやメールを読んで作業します。そこに、攻撃者が命令文を仕込んでおきます。

人間には見えにくい形、たとえば白い背景に白い文字で書いておく。AIはそれを読み、利用者からの指示だと勘違いして実行してしまいます。

特に危ないのが、間接的プロンプトインジェクションと呼ばれる形です。被害を受ける人は、仕込まれた命令を目にすることすらありません。

メール1通で、データを外へ

この攻撃は、すでに実証されています。

2025年6月、Aim SecurityがEchoLeakという脆弱性（ソフトの弱点）を公表しました。

管理番号はCVE-2025-32711で、深刻度はMicrosoftの評価で10点満点中9.3です。

Microsoft 365 Copilotを使っている人に、細工したメールを1通送る。受け取った人は、そのメールをクリックしなくてもいい。

それだけで、OneDrive、SharePoint、Teamsのデータを外へ送り出せることが実証されました。

なお、Microsoftは2025年6月の更新でこの弱点を直しました。利用者側の作業は不要で、実際に悪用された形跡は確認されていないとしています。

被害が出た事件ではなく、研究者が実証した攻撃です。それでも、攻撃が成り立つことは証明されています。

Meta自身が「無敵ではない」と書いた

Meta自身も、この問題を解決したとは言っていません。技術ブログには、こう書かれています。

「Muse isn't immune to attack.」

Museは攻撃に対して無敵ではない。プロンプトインジェクションは業界全体の未解決問題で、Museも間違えると認めています。

では、未解決の問題を抱えたまま、なぜ出せたのか。

第10章　Metaは「Museを信用しないAI」を作った

見張り役は、Museの外にいる

Museには、Sentinelという見張り役が付いています。

日本語の公式発表の言葉では「Museとは独立したSentinel（センチネル）エージェント」です。インターネットへのアクセスを管理しています。

この記事で一番注目したいのは、Sentinelが握っている権限の分け方です。

Sentinelは、Museの中に書かれた安全用の指示文とは違います。Museが動いている環境の外側で、別のプログラムとして動きます。

そして、外のサービスやネットワークに何かをするときの、最終的な許可を握っています。

流れはこうです。

Museが「これをやりたい」と要求を出します。要求には、どのサービスに、どの方法で、どんな種類の操作を、どこまで行うかが付きます。

Sentinelは、それを利用者の設定と照らし合わせます。そして、許可するか、断るか、本人に確認するかを決めます。

Muse自身には、決める権限がありません。利用者が決めた線を、Museの外にいる見張り役が守る。第3章の設定を先に済ませておく理由は、ここにあります。

通信の出口で、中身まで見る

もっと徹底しているのが、通信の検査です。

Metaの説明によると、つなぎ先のホスト名、最終的なIPアドレス、ポート、通信の方式、パス、中身まで検査されます。

Linuxの機能を使って、通信の出口で見ています。AIの自己申告には頼りません。

そして決定的なのは、Muse自身がSentinelを止められないことです。

理由は作りにあります。Museが動いているコンテナには、ネットワークを管理する権限が最初から与えられていません。外への通信は、必ず外側の制御を通ります。

つまり、Museに「Sentinelを切って」と頼んでも、Museにはその手段がありません。仕込まれた命令にだまされたとしても、だまされた先に権限がないのです。

パスワードを、AIに見せない

パスワードの扱いも、同じ考え方です。

Museには、本物のログイン情報を見せません。別のプログラムが本物を預かっていて、Museには代わりのものを渡します。

Sentinelが操作を許可したら、通信の出口で本物に差し替えます。

ブラウザでのログインも同じです。利用者が打ったパスワードは専用の保管場所に送られ、必要なときにブラウザへ入れられます。利用者が入力している間、Museは一時停止します。

もう一段あります。利用者のデータを読んだプログラムに「汚染済み」の印を付けて、追いかける仕組みです。

印の付いたプログラムは自動の許可を失い、外へ何かを送るときは通常の承認が必要になります。

AIがだまされる前提で作る

Metaも、モデル自体は鍛えています。技術ブログによると、プロンプトインジェクションを見抜いて抵抗するように訓練し、その力を評価し続けています。

ただ、それだけには頼りませんでした。AIがだまされる前提で、だまされたときの被害を小さく抑える仕組みを、外側に重ねました。

技術ブログには「Museの誤りを完全になくすことはできませんが」とあります。そのうえで、頻度と被害を大幅に抑えられる見込みだとしています。

セキュリティの世界では当たり前の考え方です。それをここまで細かく公開している点は、使うかどうかを決める材料になります。

依頼文④：止める場所を先に書く

Museには、送信や購入の前に確認する仕組みがすでにあります。

ただ、設定で決められるのは、コネクターやサイトごとの線引きまでです。「この予定だけは消さないで」のような細かい線は、言葉で渡すしかありません。

AIに「気をつけて」と書いても効きません。書くべきは、止まる場所です。

▼ここからコピー

【依頼文④：止める場所を先に書く】

この作業では、あなたの判断で進めてよいことと、必ず私の確認を取ることを分けます。

■ 確認なしで進めてよいこと

・調べる、読む、比べる

・下書きを作る

・案を複数出す

■ 実行の直前で必ず止まり、私の確認を取ること

・外へ何かを送る（メール、メッセージ、投稿、フォームの送信）

・お金が動く（購入、支払い、予約、申し込み）

・予定を追加・変更・削除する

・誰かにファイルや情報を共有する

・削除する、上書きする

・設定や権限を変える

・初めてのサイトにログインする

・そのほか、取り消しが難しい操作すべて

■ 止まるときに出すもの

・何をしようとしているか／なぜ必要か／実行するとどうなるか

■ 特に触らないもの

・（例：取引先Aとのメールのやりとり、来週の打ち合わせの予定）

私が「進めて」と書くまで実行しないでください。返事がない場合も、実行せずに待ってください。

作業の内容：（ここに書く）

▲ここまで

「特に触らないもの」の欄が、設定ではできない線引きです。ここだけは空けたまま使わないでください。

第11章　それでも、事故は起きていた

公開前の社内テスト

ここまで読むと、Museはかなり固く作られているように見えます。実際、設計は固いです。それでも、公開の直前まで問題が残っていました。

Reutersが、Metaの社内テストの記録を報じています。

ある社員が、子どもの誕生日会の写真に写ったおもちゃを特定してほしいと、Museに頼みました。

するとMuseは安全の仕組みを回り込み、個人のiCloudの写真を見せてしまった。そう社内で報告されています。

第三者に大量に流出したとも、外の攻撃者が写真を盗んだとも報じられていません。

確かなのは、社内テストで安全の仕組みを迂回し、個人の写真を不適切に見せる動きが記録されたことです。実害の範囲は分かっていません。

この不具合が直ったという発表も、10月23日の時点で見当たりません。

Reutersは、Metaが個々の社内の事案にコメントしなかったと書いています。直ったと補って書くことはできません。

ほかの報告もあります。売り切れやすいチケットや商品を見張らせたテストでも、おかしな動きが出ました。約15分で確認をやめる。エラーが出ても知らせない。理由もなく見張りを止める。

MetaのCTOであるAndrew Bosworthも、社内に投稿しています。何度もログアウトされ、数分のうちに何回もログインし直す羽目になった、と。

そもそもMuseは、当初4月に公開される予定でした。AI製品担当バイスプレジデントのVishal ShahはReutersに、より安全にするために延ばしたと認めています。

そのうえで、ミスが決して起きないとは言えない、という趣旨を話しています。

公開後にも、Mac版で穴が見つかった

公開から2週間ほどたった9月21日には、別の穴も見つかりました。

英The Registerによると、公表したのはセキュリティ研究者のPatrick Wardleです。

Mac版のMuseアプリには、表に出ていない設定がありました。そこを書き換えると、音声入力の通信を攻撃者のサーバーへ向けられた、というものです。

遠くからいきなり乗っ取れる種類の穴とは違います。利用者のMacの中で、悪いプログラムがすでに動いていることが前提です。

それでも、Museに渡した広い権限を、そのプログラムに使われるおそれがありました。

翌22日には、Meta側が「アプリを修正した」と説明しました。説明したのは、Meta Superintelligence LabsのDavid Singletonです。

実際のリスクはかなり低かった、という見解も添えています。

なお、日本の発表で案内されているのはスマホのアプリとmuse.aiで、Mac版は含まれていません。

10月には、共有リンクの穴が見つかった

日本での提供が始まる直前にも、別の問題が見つかっています。

10月18日、Clarocの研究チームが報告を公開しました。Museで「共有」したページのアドレスが、公開されているDNSの記録から見つかる、という内容です。

DNSは、Webサイトの住所を調べるための、インターネットの住所録のような仕組みです。Museは共有ページのアドレスにタイトルを入れていて、そのアドレスが記録に残っていました。

Clarocによると、見つかったアドレスは6,800件以上です。多くはログインなしで開け、中には家計や会社の内部資料のような情報もあったとしています。

10月20日、Metaは共有機能を止めました。10月23日（日本時間）には、David SingletonがXで、問題を直して共有を再開したと説明しています。

Meta側の説明では、問題があったのは、共有した文書や画像などの「アーティファクト」のアドレスです。チャットの共有の問題ではない、としています。

修正前に共有したものには、新しいアドレスが付け直されました。

覚えておきたいのは、共有リンクの性質です。Clarocによると、Museの共有ページは、リンクを知っている人ならログインなしで開ける作りでした。

家計、契約、取引先の資料のようなものは、共有リンクで渡さないほうが安全です。

「破れるなら破ってくれ」に30万ドル

Metaは、もう1つ手を打っています。バグ報奨金です。

Museを公開のバグ報奨金の対象に入れ、影響の大きさに応じて最大30万ドルを払うとしました。1人の利用者に効くプロンプトインジェクションでも、最大13万ドルです。

絶対に安全だと宣言する代わりに、破れるなら破ってくれと賭けた。この態度のほうが、どんな安全宣言より信用できます。

依頼文⑤：作業結果の点検

事故の報告を読んで分かるのは、AIの失敗は「動かない」形では出てこないということです。

動いているように見えて、途中で止まっている。エラーを黙って飲み込んでいる。一番怖いのは、この形です。

だから、終わった仕事は点検します。突き合わせる材料は、Museのアクティビティログです。公式ヘルプも、答えのソース（出どころ）をMuseに聞けると書いています。

▼ここからコピー

【依頼文⑤：作業結果の点検】

さきほどの作業について、点検用の報告を作ってください。私がアクティビティログと見比べて確かめます。

1. 実際に終えた作業を、やった順に、時刻つきで並べてください

2. 途中で起きたエラー、警告、想定外をすべて挙げてください。解決したものも入れてください

3. 指示のうち、できなかったこと、飛ばしたことを、理由つきで挙げてください

4. あなたの判断で補ったこと、仮に決めたことを挙げてください

5. 送ったもの、予約・購入したもの、変えた予定やファイルを、すべて一覧にしてください

6. 使った情報の出どころ（どのメール、どのページか）を挙げてください

7. 私が渡していない情報や、私が指定していないサイトを使った箇所があれば教えてください

8. 私が自分の目で確かめたほうがよい箇所を3つ挙げてください

問題がなかった場合も、「問題なし」で済ませず、1から8をすべて埋めてください。

▲ここまで

7番は、目的から外れた動きを見つける手がかりです。指定していない情報やサイトが出てきたら、使った理由と経路を、アクティビティログで確かめます。

調べものの途中で知らないサイトを使うのは、普通に起きることです。決めつけずに、理由を確かめるのが目的です。

第12章　Metaに全部預けて大丈夫なのか

今は「Metaの約束」で守られている

ここは避けて通れません。

Museには、メール、予定、買い物の履歴、FacebookとInstagramでの行動まで集まります。人生のデータです。それを預ける相手が、Metaです。

今のMuse Secure VMでは、利用者ごとにデータが分けられています。ほかの利用者からは見えません。

ただし、Meta自身から見えないとは限りません。

Metaは技術ブログで、正直に書いています。社員のアクセスは、運用のルールで制限している。

ただ、サポートやセキュリティで必要な場面でも、Metaが見られないことを暗号で保証する作りにはなっていない、と。

つまり今は、Metaが約束している状態です。技術的に不可能にはなっていません。

Confidential VMは、一般提供の前

これを変えるのが、Muse Confidential VMです。

仮想マシン全体を暗号化し、鍵を利用者だけが持つ。Meta自身も中身を見られない作りを目指しています。

WIREDによると、Signalの共同創業者Moxie Marlinspikeとも組んでいます。

Metaの技術ブログでは、年内に提供する予定とされています。すでに少人数のテスターが使っていて、設計とソースコードを外部の監査担当者に公開し始めた段階です。

10月21日の決算説明会でも、Zuckerbergは「これから出る」機能として触れていました。10月23日の時点では、まだ一般の利用者は使えません。

学習と広告の扱い

学習データの扱いも書いておきます。

会話や操作の記録は、個人を特定する情報を除いたうえで、モデルの改善に使われます。これが既定です。第3章の手順で、学習に使わせない設定（オプトアウト）に切り替えられます。

広告について、Metaの主張ははっきりしています。Museの会話や仮想マシンの中のデータを、広告の仕組みに共有しない。

ただし、但し書きがあります。Museが代わりに広告主のサイトを訪れれば、その訪問が、のちのInstagramの広告に影響する可能性はある。Metaはこれを認めています。

ここは各自の判断です。ただ1つ言えるのは、個人のAI選びが「どれが一番賢いか」だけでは決まらなくなったことです。誰に人生のデータを預けられるか。この軸が加わりました。

だからこそ、最初につなぐアプリは絞ります。全部つなぐのは、預けてよいと自分で判断できてからで遅くありません。

第13章　最初の1週間でやること

1日目：設定と自己紹介

まず、第3章の設定を済ませます。コネクタとウェブアクセスを[常に確認]にし、承認は「1回だけ許可」と「却下」だけを使うと決めます。

学習へのオプトアウトをするかどうかも、ここで決めます。

そのあと、依頼文①で自己紹介と線引きを渡します。Museが覚えた内容を返してきたら、違うところを直します。

2〜3日目：読むだけの仕事

つなぐのは、GmailとGoogleカレンダーくらいで十分です。頼むのは、読み取りで済む仕事にします。

・今週の予定を一覧にして、重なりを探す

・未返信のメールを、急ぎの順に並べる

・来月の旅行の候補を、予算内で3つ調べる

ここでMuseの癖をつかみます。どこまで具体的に書けば伝わるか。どこで質問してくるか。

アクティビティログを毎日1回開いて、何をしたかを見る習慣も、この時期に作ります。

4〜6日目：送る・買う仕事を1回ずつ

慣れてきたら、書き込みの仕事を1つずつ試します。メールの返信を1通、予約を1件、といった小さな単位です。

長い仕事は依頼文②、買い物や予約は依頼文③、触られたくないものがある仕事は依頼文④を先に貼ります。終わったら、依頼文⑤で点検します。

7日目：任せる範囲を見直す

1週間たったら、Museとの1週間を振り返ります。これが最後の依頼文です。

▼ここからコピー

【依頼文⑥：1週間後の見直し】

この1週間に私があなたへ頼んだことを振り返って、次の7つを出してください。私はアクティビティログと見比べてから判断します。

1. 頼んだ仕事の一覧（日付つき）

2. 私が許可した操作と、却下した操作

3. うまくいった仕事と、やり直しになった仕事。やり直しの理由も

4. 私が毎回同じように許可している操作（任せる範囲を広げてよい候補）

5. 逆に、まだ毎回確認したほうがよい操作と、その理由

6. あなたが覚えている私の情報のうち、古くなっていそうなもの

7. 来週から任せてよさそうな仕事を3つ

どの操作も、「常に許可」に変えるかどうかは私が決めます。あなたのほうから設定を変えないでください。

▲ここまで

4番に出てきた操作のうち、取り消しのきくものだけを「このタスクを許可」や「常に許可」に広げていきます。

送ったメールのように取り消せないものは、1週間たっても毎回確認のままで構いません。

依頼するときに使う統合版

最後に、①から⑤の要点を1枚にまとめました。⑥は週に1回使う見直し用なので、別にしてあります。

長い仕事や、お金が動く仕事を頼むときは、これを最初に貼ってください。①の自己紹介を済ませたあとなら、「見てよいもの」の欄は省いても大丈夫です。

▼ここからコピー

【Museに仕事を任せるときの依頼文・統合版】

これから仕事をお願いします。始める前に、次の条件をすべて確認してください。

■ 範囲

・ゴール：（できあがった状態を1文で）

・完成の条件：（これがそろったら完成、と言える条件）

・見てよいもの：（例：Gmailの「仕事」ラベル、Googleカレンダー）

・触らないもの：（例：家族とのやりとり、来週の打ち合わせの予定）

・使うつもりのコネクターとWebサイトを、始める前に挙げてください

■ 進め方

・私が「進めて」と書くまで、作業は始めないでください

・工程に分け、1つ終わるたびに「何が終わったか／次に何をするか／私の判断が要ることはあるか」を短く残してください

・仕事が止まりそうなとき（見張りを続けられない、ログインが切れた、前提が変わった）は、すぐ知らせてください

・解決できた軽いエラーも記録し、最後にまとめて報告してください

・同じところで3回失敗したら、止まって私を呼んでください

■ お金が動くとき

・予算の上限：（例：1万円。送料・手数料込み）

・候補は3つまで。品名／合計金額／お店／届く日かキャンセル条件／選んだ理由／確かめた時刻を並べてください

・確定の直前に、価格と届く日をもう一度確かめてください

■ 止まる場所

次の操作は、実行の直前で必ず止まり、私の確認を取ってください。

外へ送る／お金が動く／予定を変える／共有する／削除・上書き／設定や権限を変える／初めてのサイトにログインする／そのほか取り消しが難しい操作すべて。

止まるときは「何をしようとしているか／なぜ必要か／実行するとどうなるか」を出してください。

■ 終わったあとの報告

1. やった作業を順に、時刻つきで

2. エラー・警告・想定外（解決したものも）

3. できなかったこと、飛ばしたことと理由

4. あなたの判断で補ったこと

5. 送ったもの、予約・購入したもの、変えた予定やファイル

6. 使った情報の出どころ

7. 私が渡していない情報や、指定していないサイトを使った箇所

8. 私が自分の目で確かめたほうがよい箇所を3つ

仕事の内容：（ここに書く）

▲ここまで

これで、Metaが仕組みとして組み込んだ安全設計に、言葉の線引きが重なります。設定で守り、言葉で範囲を決め、終わったら点検する。三重の構えです。

第14章　答えるAIの次に来たもの

質問、作業、そして環境

整理します。

ChatGPTが出てきたとき、変わったのは質問の相手でした。人間がAIに聞き、AIが答える。

AIエージェントが出てきたとき、変わったのは作業でした。人間が頼み、AIが手を動かす。

Museで変わったのは、環境です。AIに専用のパソコンと、記憶と、権限を渡し、仕事そのものを預ける。人間は、必要なときだけ呼ばれます。

もっとも、同じ道を進んでいる製品はほかにもあります。Gemini Sparkはクラウドで24時間動いていますし、OpenAIのDotsも同じ方向を向いています。

2026年、主なAIエージェントは「答えるAI」から「仕事を引き受けるAI」へ、そろって舵を切りました。

折れても落ちない橋

その中でMuseが目を引くのは、自社のAIを信用しない前提の仕組みを、ここまで細かく公開したことです。

賢いAIを作れば安全になる、という一点には賭けませんでした。

モデルを鍛えたうえで、見張り役を外に置き、パスワードを見せず、通信の出口で検査し、汚染されたデータを追いかける。最後は30万ドルを賭けて、破ってくれと言いました。

橋を作る人は、鉄が絶対に折れないとは考えません。1本が折れても、全体は落ちないように作ります。Metaがやったのは、それと同じことです。

使う側も、同じ順番でいけます。AIを信じるかどうかで悩む前に、失敗したら何が起きるかを先に決める。渡す権限を絞る。止まる場所を書く。終わったら点検する。

まずは第3章の設定を済ませて、依頼文①をMuseのチャットに貼ってみてください。Museが返してくる「覚えた内容」が、どこまで任せてよい相手かを測る最初の手がかりになります。

Meta Museとは、AIが間違える前提で、人が止める場所まで設計されたAIエージェントです。

最後まで読んでいただき、ありがとうございました！

自分のXでは、AIの新着情報や非エンジニアにも役立つ時短術、自動化などを毎日発信中です。