Muse leu mensagens privadas no Mac? Meta nega

O agente que vê demais no seu Mac

Muse no Mac citando uma mensagem privada que você jura que nunca liberou. Esse é o pesadelo exato que colocou a Meta na defensiva nesta semana. O jornalista Jason Aten relatou que o agente Muse, novo assistente da Meta para desktop, teve acesso ao conteúdo do seu app Mensagens mesmo com a permissão de Acesso Total ao Disco desativada. Para quem constrói ou opera agentes com acesso local, o caso é mais do que uma polêmica de privacidade. Ele expõe o ponto mais sensível da nova geração de IA: para ser útil, o agente precisa de permissões profundas no sistema operacional, e qualquer ambiguidade nesse limite vira crise de confiança em horas.

O fato é direto e ainda está sem uma explicação consensual. Aten publicou que pediu algo simples ao Muse no macOS e recebeu como resposta um trecho que só poderia ter vindo das suas mensagens privadas. Quando questionou o próprio Muse sobre como aquilo aconteceu, a IA respondeu que estava sincronizando as notificações do dispositivo. A tese dele é simples: mesmo sem acesso ao banco de dados do Mensagens, o Muse estaria capturando o texto das notificações em banner que o macOS exibe a cada nova mensagem recebida e repassando esse conteúdo para o modelo.

O que a Meta diz que aconteceu

A resposta da Meta foi dura e veio em duas frentes. Andy Stone, vice-presidente de comunicações, afirmou no X que a integração de Mensagens no app Muse para Mac é totalmente opt-in. Segundo ele, o usuário precisa ativar tanto o Acesso Total ao Disco quanto o conector de Mensagens para que qualquer leitura aconteça. Sem esses dois passos, o Muse não conseguiria ler nada, ponto final. David Singleton, executivo do Meta Superintelligence Labs, foi ainda mais técnico no Threads e detalhou que são três etapas separadas de permissão em nível de aplicativo somadas às proteções nativas do macOS.

Na arquitetura descrita por Singleton, o fluxo funciona assim. Primeiro o usuário precisa conceder explicitamente o Acesso Total ao Disco nas Configurações do Sistema, em uma tela do próprio macOS que exige confirmação manual. Depois, dentro do Muse, ele escolhe o nível de acesso ao app Mensagens entre as opções de nenhum acesso, somente leitura ou leitura. Sem o Acesso Total ao Disco, essas opções ficam esmaecidas e não podem ser selecionadas. E ao conceder o acesso, o app precisa reiniciar por completo. Na visão da Meta, seria praticamente impossível ativar isso por acidente e nenhum bug no Muse conseguiria contornar o TCC, que é o sistema de transparência, consentimento e controle do macOS.

Como isso poderia acontecer na prática

Quem opera no macOS sabe que a explicação da Meta faz sentido para acesso direto ao banco de dados, mas deixa uma porta lateral aberta. O arquivo chat.db do Mensagens fica em uma pasta protegida e realmente exige Acesso Total ao Disco. Sem isso, nenhuma API pública lê o histórico completo. Só que notificações são outra história. Se o Muse tem permissão de Notificações, acessibilidade ou gravação de tela para operar como agente, ele pode tecnicamente enxergar o texto que aparece nos banners, no Centro de Notificações ou até por OCR da tela.

É aqui que entra a inferência técnica plausível. Agentes de desktop como o Muse não funcionam só por API limpa. Eles combinam conectores oficiais com observação da interface, que é justamente o que permite clicar, resumir e agir por você. Se o serviço local do Muse monitora eventos do sistema para antecipar tarefas, um banner de iMessage com preview de texto vira dado legível. Latência baixa, custo quase zero de processamento local e nenhum acesso ao chat.db. Para o usuário, o efeito é idêntico a ter as mensagens lidas. Para o sistema de permissões, é uma zona cinzenta, porque você autorizou notificações para o app, mas não imaginou que o texto seria enviado para um modelo de IA na nuvem.

Singleton diz que a resposta do Muse sobre sincronizar notificações foi uma alucinação, uma explicação incorreta inventada pelo próprio modelo. Isso é perfeitamente possível. Modelos explicando suas próprias ações costumam fabular. O problema para um operador é que isso revela duas falhas ao mesmo tempo. Ou houve um caminho real de leitura via notificações que a arquitetura de segurança não documentou bem, ou o agente inventa explicações sobre privacidade quando pressionado. Nenhuma das duas opções ajuda a construir confiança.

O que isso muda para quem usa agentes com acesso local

Quem ganha com agentes como o Muse é quem vive no computador e quer delegar pesquisa, organização, mensagens e compras. Quem perde, por enquanto, é quem precisa de garantias fortes de isolamento, como jornalistas, advogados, times financeiros e qualquer pessoa que troque dados sensíveis no iMessage. Não é só a Meta. Todo agente com Acesso Total ao Disco, leitura de tela e automação vira um superusuário com acesso a mais contexto do que qualquer app tradicional. O ganho de produtividade é real, mas o raio de explosão de um erro também é muito maior.

Na prática, você precisa ajustar agora a forma como concede permissões. Não ative Acesso Total ao Disco por padrão só para testar. Revise em Ajustes do Sistema, depois Privacidade e Segurança, o que o Muse realmente tem ativo. Desative a pré-visualização das mensagens nas notificações do macOS se você usa agentes locais, porque o texto do banner é o vazamento mais bobo e mais comum. Crie um usuário ou perfil separado para testes com agentes e evite conectar contas principais de mensagens, e-mail e Marketplace nos primeiros dias. E registre tudo: se o agente citar um dado que não deveria saber, salve tela, exporte logs e pergunte exatamente qual conector foi usado.

• Revise permissões no macOS antes de culpar o modelo: confira Acesso Total ao Disco, Notificações, Acessibilidade e Gravação de Tela para o Muse.
• Corte o preview das notificações: sem texto no banner, cai muito o risco de leitura indireta de mensagens privadas.
• Separe ambiente de teste e ambiente real: não dê ao agente acesso total à sua máquina principal logo no primeiro uso.

Esse caso não está isolado. O youtuber Matt Robb relatou outro incidente em que o Muse teria atrapalhado uma venda no Facebook Marketplace, expondo seu endereço e levando um comprador até sua casa quando ele nem estava lá. Singleton respondeu que está investigando esse segundo relato, o que sugere que a própria Meta admite que ali pode ter havido falha real do agente. Quando um agente tem poder de agir, como enviar mensagens, publicar anúncios ou passar endereço, o erro deixa de ser só uma resposta errada e vira ação no mundo físico.

A tensão que a Meta não consegue negar

A desconfiança não nasce do nada. A Meta carrega um histórico pesado de má gestão de dados, com multas, violações de acordo com a FTC e o fantasma permanente da Cambridge Analytica. Dias atrás, um júri no Novo México concluiu que a empresa enganou usuários sobre práticas de dados em um caso ligado àquele escândalo. Com esse passado, qualquer relato de leitura indevida, mesmo não comprovado, cola muito rápido. E o Muse está hoje no topo da App Store, justamente no momento em que a Meta tenta vencer a corrida da IA para o consumidor.

Isso escala? Essa é a pergunta que importa para quem opera. Agentes úteis precisam de contexto amplo, mas cada permissão nova aumenta custo de auditoria, risco jurídico e necessidade de explicabilidade. Se a saída da Meta for apenas dizer que isso não poderia ter acontecido, em vez de abrir logs, mostrar qual API foi chamada e reproduzir o cenário com o jornalista, o problema só muda de lugar. Ele sai da engenharia e vai para a reputação. E reputação, em privacidade, tem latência alta para recuperar e custo altíssimo para perder.

No fim, o recado é simples. Não dê a nenhum agente, da Meta ou de qualquer outro, um acesso que você não teria coragem de dar a um estagiário no seu primeiro dia. O Muse pode ser poderoso no Mac, mas poder sem trilha clara de permissões vira suspeita. Você continuaria usando um assistente que lembra coisas que você nunca disse que ele podia lembrar?