Metas Muse liefert sein Dateisystem als 6,8-GB-Paket

Metas KI-Agent Muse gibt sein Dateisystem heraus, wenn man ihn darum bittet. Ein Sicherheitsforscher ließ den Agenten seine erreichbaren Dateien packen und in den eigenen Google Drive schieben: 2,7 GB gepackt, 6,8 GB entpackt. Darin lag das Wurzelverzeichnis der Linux-Umgebung, in der Muse läuft.

Was in dem Archiv liegt

Die Dokumentation im Archiv nennt „Hatch“ als internen Codenamen. Tragend sind die Verzeichnisse /home/hatch/, /opt/hatch/ und /opt/hatch-image/, dazu Dateien wie SOUL.md, IDENTITY.md, USER.md und MEMORY.md. Das sind keine Modellgewichte, sondern die Betriebsanleitung des Agenten.

Rund 68 Skill-Verzeichnisse beschreiben, woran Muse angeschlossen ist: Google Workspace, Metas eigene Apps, Outlook, Reise- und Shopping-Dienste, Gesundheitsangebote und Geräte im Haushalt. Ein „Spaces“-Gerüst baut daraus kleine Anwendungen in TypeScript mit React-Client und SQLite-Datenbank, dazu kommen Baukästen für Dokumente, PDFs, Präsentationen und Videoschnitt. Als künftige Anbindungen tauchen Slack, Dropbox, Polymarket, Canva und Klaviyo auf – angedeutet, nicht angekündigt.

Gedächtnis, Sandbox, Hardware

Erinnerungen legt Muse als durchsuchbare Markdown-Dateien ab, geordnet nach Tageslogs und kuratierten Übersichten. Dazu kommt eine PostgreSQL-Datenbank mit 384-dimensionalen Vektor-Embeddings. Nachts läuft ein „dream“-Durchgang, der die Gespräche des Tages sichtet und Hinweise für spätere Sitzungen schreibt.

Für Medienwerkzeuge zieht der Agent eine Grenze: ffmpeg und ffprobe kapselt er mit bubblewrap und lässt sie als unprivilegierter Nutzer nobody laufen. In der Doku steht außerdem ein experimentelles „Meta Home Link“ auf Basis des Mikrocontrollers ESP32-C5 mit Wi-Fi und Bluetooth, gedacht für den Zugriff auf Geräte im Haushalt.

Warum das mehr ist als eine Kuriosität

Ein Agent, der auf Zuruf seine eigene Laufzeitumgebung exportiert, verrät nicht nur Interna, sondern zeigt auch, wie weit seine Rechte reichen. Genau dieselben Werkzeuge, die Dateien einsammeln und in eine Cloud schieben, stehen im Alltag auf Kalender, Postfach und Haushaltsgeräte an. Die Bug-Bounty-Meldung markierte Meta als „Not Applicable“, ohne zu sagen, welche Ausnahme greift. Ob das Verhalten so gedacht ist oder nur noch nicht abgestellt wurde, bleibt damit offen.

Was wir nicht prüfen konnten

Die Ausgangsmeldung, Muse sei inzwischen noch leichter zur Herausgabe seines Dateisystems zu bewegen, stammt aus einer Darstellung von The Verge. Diese Seite war für uns technisch nicht abrufbar, deshalb konnten wir weder den Wortlaut noch die dort geschilderten neuen Wege selbst nachlesen. Belegt ist an dieser Stelle allein der dokumentierte Export vom 22.09.2026 (mouse.dev). Ebenfalls unbelegt bleibt, ob Meta das Verhalten seither eingeschränkt hat.