---
title: "Meta Museを解剖：エージェントと専用Linux VM"
description: "Meta Museの専用Linux VM、ツール権限、記憶の保存方法をWeb版の調査から解説。確認できた仕組みと未検証の点、Metaの説明、料金情報を区別して紹介します。"
url: https://personalagentbench.com/ja/agents/muse/
last_updated: 2026-10-13
---

# Meta Museを解剖：エージェントと専用Linux VM

このページは 2026-10-13 時点の英語版を機械翻訳し、数値を原文と照合したものです。内容が食い違う場合は[英語版](https://personalagentbench.com/agents/muse/)が優先されます。

Metaのパーソナルエージェント。その裏側には、ユーザー専用のLinuxマシンがあります。

製品 **Meta** · 最終確認 **2026-10-13** · 結果 **タスクの19%、95%信頼区間13〜25、n=90。2026-09-22、評価用モデルを差し替えた調整済みランタイムで測定。アダプター修復後**。[出典情報：採点対象のサブセットに相違あり。初回バッチの記録は未公開](https://personalagentbench.com/#results)。

Meta MuseはMetaのパーソナルエージェントで、ユーザー全員にLinuxマシンを提供します。比喩でも、ユーザーには見えないコンテナの抽象化でもありません。サインインするとVMが用意されており、エージェントはその上で動いています。[Metaの発表記事](https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/)によると、搭載モデルはMuse Sparkで、多くの人が必要とする用途の大半は無料、さらに使いたい人向けにはサブスクリプションプランがあるとしています。料金について確認できた情報は、後述の料金セクションにまとめました。10月12日、Metaはより大規模なモデルである[Muse Wonderを発表](https://about.fb.com/news/2026/10/introducing-muse-wonder-models/)し、サブスクリプション利用者を皮切りに、まもなくMuseのより多くの機能に導入すると説明しました。このページの観察結果は、すべてSpark時代のランタイムに基づきます。

- モデルへのリクエストは、完成したものをサーバーから取得するのではなく、ユーザー専用のVM上で組み立てられます。
- ルーティング規則は、小さな固定のひな型に収められています。個人に関する情報はすべて、ホームディレクトリ内の通常のMarkdownファイルから埋め込まれます。
- ツールの権限と定義は意図的に分離されています。権限一覧にはパラメーターが一切ありません。
- ユーザーのコンテキストファイルを編集すると、リクエスト全体を再構築する代わりに、短い通知が挿入されます。
- MuseはiOS、Android、Webで提供を開始し、WhatsAppでも応答します。9月17日にはMacアプリが加わりました。今回調査したのはWeb版です。

以下の記述は、調査したWeb版から確認できた範囲に限られます。認証情報、対話型ターミナルへのアクセス、モデルとの通信は確認できませんでした。こうした調査上の空白はベンダーの規模にかかわらず存在し、ユーザーがファイルにアクセスできるかどうかや、セキュリティ境界の全体像について結論を出す妨げになります。内部コードネーム、ホスト名、マシン上のパスは掲載していません。

## Meta Museの仕組み：完成済みデータを取得せず、専用マシン上でリクエストを構築

多くのエージェントはサーバー上でモデルへのリクエストを組み立て、その結果を送ります。Museはユーザー専用のVM上で組み立てます。

固定部分は約50行の小さなひな型で、その大半はルーティング規則です。個人に関する情報はすべて、ホームディレクトリ内の通常のMarkdownファイルから、このひな型に埋め込まれます。取り込まれる情報の範囲は処理ごとに異なります。メインのチャットには全体が渡され、サブエージェントにはワークスペースの規約が渡されません。記憶を管理するバックグラウンドのループ処理に渡されるのは、ほぼユーザープロフィールだけです。

このようにローカルで組み立てる設計は、聞こえる以上に独特で、実際の挙動にも影響します。これらのファイルの1つを変更しても、ランタイムは全体を再構築しません。コンテキストが変わったことを知らせる短い通知を差し込みます。すべてを再送するよりもコストが低く、モデルにとっても、知らないうちに前提が変わるのではなく、編集が1つの出来事として伝わります。

## 1セッションに141件のシステムメッセージを挿入

ひな型に加えて、ターンごとに挿入されるメッセージがあります。その数は少なくありません。

観察したVMでは、1つのセッションに対して、systemロールのメッセージが141件生成されていました。あいさつ、ファイル変更の通知、1時間ごとの記憶処理による進捗報告、サブエージェントの作業状況、調査タスクからの報告などです。個々のメッセージは短いものの、全体では、ユーザーには見えずモデルだけが読む継続的な状況報告になっています。

チャットエージェントは会話とシステムプロンプトで成り立つと考えている人の多くが、Museで驚くのはこの部分でしょう。実際には会話とシステムプロンプトに加えて、システムのほかの部分が何をしているかを伝える、機械生成の通知が絶えず流れています。

## Meta Museのツールを支える、意図的に分離された2つの層

権限一覧には52のコネクターと246のメソッドが記載されており、パラメーターは一切ありません。各項目にあるのは、名前、所属先、そして許可されているか、事前確認が必要か、拒否されるかという情報です。呼び出し方の情報はありません。

実際の定義は別に扱われ、必要になった時点で名前空間ごとに読み込まれます。スキルは58あり、いずれも呼び出す関数ではなく、エージェントが行動前に読む文書です。

この分け方は適切で、ほかの製品ももっと取り入れるべきです。APIが変わっても影響を受けない、軽量で安定した権限の取り決めが得られます。ツール定義のうちコストのかかる部分がコンテキストに入るのは、実際に使う直前だけです。また、「このエージェントは何にアクセスしてよいのか」という問いにも、1000ものJSONスキーマを解析することなく、短く読みやすい形で答えられます。

## Meta Museの記憶の保存方法：読める形式のファイル、アクセス可否は未確認

ユーザープロフィール、長期的なメモ、アシスタント自身の性格。いずれもホームディレクトリ内のMarkdownで、リクエストに直接埋め込まれます。

このベンチマークで扱う4つのエージェントのうち、Museでは「私について何を知っているつもりなのか」という問いへの答えが、人が読める形式でファイルシステム上にそのまま存在します。Pineはサーバー側に保存します。TownはWikiに保存します。Instinctはサンドボックス内でバージョン管理します。Museは、ある意味では確かにユーザーのものと言えるマシンのホームディレクトリに、ファイルとして保存します。

「読める可能性がある」という表現を使うのは意図的です。Web版からはそのディレクトリツリーの外に出られず、対話型ターミナルも開放されませんでした。確認していない以上、自分のVMでテキストエディターを使えるとは主張しません。「ファイルが読める形式で存在する」ことと「ユーザーがそのファイルを読める」ことの違いは、ほかでは曖昧にされがちな点ですが、ここでは区別します。

Meta自身の[セキュリティ解説](https://research.meta.ai/blog/security-and-safety-for-ai-agents-our-approach-with-muse)は、さらに踏み込んでいます。Museがユーザーについて記憶している内容も含め、VM上のファイルを確認、編集、ダウンロードできると説明しています。これはベンダー側の説明であり、正しい可能性は十分にあります。ただし、上の記述は私たちが観察した範囲についてのものなので、そのままにしています。

### 利用できる場所と、今回検証した範囲

Museは9月8日にiOS、Android、Webで提供を開始しました。[Metaの発表記事](https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/)によると、WhatsAppから直接メッセージを送ることもできます。9月17日にはMacアプリが続きました。[The Verge](https://www.theverge.com/tech/997332/metas-muse-ai-agent-now-has-a-mac-app)と[TechCrunch](https://techcrunch.com/2026/09/18/metas-muse-hits-mac-letting-the-ai-take-actions-on-your-computer/)が報じたMetaの説明では、Macアプリはファイルの整理やフォームへの入力に加え、Messages、Calendar、Notes、メール内での作業が可能です。アクセスはアプリごとに有効化し、機密性の高い操作の前には承認を求めるとしています。

今回の調査用アカウントに表示された案内では、店舗や企業への電話機能は早期アクセスとして段階的に提供されると説明されていました。そのアカウントでは利用できませんでした。現在の展開状況は再確認しておらず、Museによる通話も観察していません。したがって、これは調査範囲の限界であり、ほかのアカウントでも店舗や企業に電話できないという主張ではありません。

調査したのはWeb版です。このページはほかの利用環境を対象としておらず、特にMacアプリについては調査していません。

この区別は重要です。Web版でブラウザー作業を行う際には、手元のChromeを操作するのではなく、2台目のマシンが起動します。Instinctも同じ方式を採り、PineのMacでの方式とは逆です。こちらのほうが安全性は高くなります。一時的に割り当てられたブラウザーは、製品側が意図的にアクセスを与えない限り、ユーザーがサインインしているものに一切アクセスできない状態で始まるからです。ユーザー自身のメールやメッセージ内で操作するデスクトップアプリは別の構成であり、同じ調査を受けていません。

10月2日には、Museと連携する小型デバイスを作るためのオープンソースキットもMetaから公開されました。公開されるのはデバイス側であり、エージェントではありません。何がオープンで何がそうでないかは、[Meta Museはオープンソースなのか](https://personalagentbench.com/ja/is-meta-muse-open-source/)で解説しています。

## Meta MuseとPine、Instinct、Townの比較：同じ問いへの異なる答え

ツールの公開方法を並べると、設計思想の違いが具体的に見えてきます。

Pineが公開するのは26の名前で、スキーマはありません。そのため、機能が存在することは分かっても、その範囲や制約は分かりません。Instinctはコマンドラインを公開し、マニュアルを読むまで操作の実行を拒否します。定義が届くのはまさに必要なときで、その分のトークンを消費します。Townは1105のツールを列挙し、4つのフィルターで約177に絞り込みます。カタログは膨大ですが、実際に利用できる範囲は小さくなります。Museはこの問いを2つに分けています。何が許されるかを示し、使い方は示さない権限一覧と、名前空間ごとに読み込まれる定義です。

調査した範囲では、Museはパラメーターを持たない独立した権限一覧を公開しており、ランタイムはスキーマを読み込まずに許可されたメソッドを列挙できます。Townも設定と許可リストでツールを絞り込んでいます。今回の観察から、権限と定義を分離しているのがMuseだけだとは確認できません。

その代償は、外から見える範囲にあります。Pineの不透明さは、外部から観察できる製品上の選択です。Museの不透明さは構造的です。リクエストは、私たちが説明できるマシン上で、説明できるランタイムによって組み立てられ、目にできなかったどこかへ送られます。形を知っていることと、実際に動くところを見たことは同じではありません。

## エージェントを取り巻く仕組みについて、Metaが説明していること

Metaは提供開始日に、[ニュースルームの記事](https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/)と、はるかに詳しい[技術解説](https://research.meta.ai/blog/security-and-safety-for-ai-agents-our-approach-with-muse)で、セキュリティ設計を自ら説明しています。これは私たちには得られなかった内部からの視点です。そのため、ここではMetaの主張として要約し、観察結果とは分けて扱います。以下の2つの構成要素の名前は、いずれもMetaが公表した正式な呼称です。

- 各ユーザーにはMetaのクラウド上に専用マシンが用意され、MetaはこれをMuse Secure VMと呼んでいます。エージェントのワークスペースは、そのマシン上の隔離されたセル内で動作し、保護を担うサービスとは分離されています。
- MetaがSentinelと呼ぶ2つ目のエージェントが、同じマシン上で、元のエージェントの手が届かない場所に動いています。Metaによると、コネクターの操作を承認したり、ネットワークリクエストの外部送信を許可したりできるのはSentinelだけで、エージェントはその判断を覆せません。
- エージェントが本物のパスワードやトークンを保持することはありません。代替情報を使って処理し、リクエストの承認後、ネットワーク境界で本物の認証情報に差し替えます。
- 承認を求める通知は会話を経由せず、アプリに直接届きます。許可の範囲は、1回限り、セッション単位、タスク単位、期限付き、無期限から設定できます。
- ユーザーがブラウザーの操作を引き継ぐと、エージェントは一時停止し、操作できなくなります。

[Metaの発表記事](https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/)によると、ユーザーはやり取りがモデルの学習に使われることを拒否できます。また、これとは別に、会話とVMのデータは広告システムの対象から除外されます。これらはデータの異なる利用目的です。

ほかの説明と同じように注意を向けるべき記述が2つあります。Metaによると、現行設計では運用ポリシーによって従業員のデータアクセスを制限していますが、サポート、セキュリティ確保、サービス運営のために必要な場合、Metaがそのデータにアクセスすることは妨げていません。それを防ぐバージョンであるMuse Confidential VMは、ユーザーだけが持つ鍵で暗号化され、今年後半に提供する予定とされています。実際に提供されるまでは、計画です。

私たちはこれらを一切検証していません。ここに掲載するのは、開発元自身による説明であり、日付とリンクが示されているからです。受信トレイを接続するか判断する読者には、外部からの調査でどこまで確認でき、どこから確認できなかったのかと併せて、この説明も見てもらう必要があります。

## Meta MuseのVMで問題が起きたとき

ここで扱うどのアーキテクチャにも、それぞれの障害の起こり方があります。ユーザーごとのVMにも固有のものがあります。

エージェントが共有サービス上で動く製品では、サービスが不調になると全員が影響を受け、ベンダーもすぐに気付きます。ユーザーごとにマシンがある場合、問題が自分だけに起きることがあります。自分のVM、自分の状態、止まったままの自分のプロセスです。隔離の面では有利ですが、検知の面では不利です。自分に問題が起きても、ほかの誰かのダッシュボードには異常が出ないからです。

同じ境界は、利点にもつながります。自分のホームディレクトリにあるファイルは、全員のデータをまとめたマルチテナントのストレージに置かれているわけではありません。個別のVMはユーザーを隔離するための設計ですが、ユーザー間の隔離は検証していません。自然言語で書かれたユーザープロフィールを保持する製品にとって、この境界には大きな価値があります。

これは欠陥というより、トレードオフです。

## 確認できなかったこと

以下のリストは短いものですが、どの項目も、調べることを思い付かなかったものではなく、調べようとして確認できなかったものです。

- ランタイムとモデルの間の通信。入力の構造は分かっていますが、実際のリクエストが送信されるところは1件も見ていません。
- 認証情報。前述のとおり、Metaはエージェントの手が届かない場所に保管しています。自分たちのアカウントで試したどの方法でも、認証情報には到達できませんでした。このページの情報は、いずれも認証情報から得たものではありません。
- 外部サービスへの実際のサインイン。接続は一度もしていないため、ここで説明する連携はすべて、動作の観察ではなく、インターフェース上の取り決めに基づきます。
- 対話型ターミナル。管理者側が開放しないことを選びました。

Metaの[発表時の説明](https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/)では、買い物、メール、計画作りがユーザー向けの用途として挙げられています。これは製品の用途についての主張であり、それらを安定して完遂できることを示す測定結果ではありません。観察したWeb版ランタイムから得られる証拠は、実際には試していないMacの機能や店舗・企業への電話を含む、アプリ全体よりも狭い範囲に限られます。

## よくある質問

**Meta Museとは何ですか？** Metaのパーソナルエージェントです。各ユーザーに専用のLinux VMが用意され、エージェントはそのマシン上で動きます。モデルへのリクエストを自ら組み立て、スキルを文書として読み、プロフィールと記憶をホームディレクトリ内のMarkdownファイルとして保持します。

**Meta Museは自分のパソコンで動きますか？** エージェントは、Metaのクラウド上でユーザー専用に用意されたLinux仮想マシン上で動きます。MetaはこれをMuse Secure VMと呼んでいます。モデル自体は別の場所で動作し、VMではリクエストの構築とツールの実行を行います。9月17日からはMacアプリもあり、Metaによると、アプリごとにアクセスを許可することで、パソコン上のアプリを操作できます。私たちはこのアプリを調査していません。

**Meta Museにはいくつのツールがありますか？** 2つの層があります。52のコネクターと246のメソッドを対象とする、パラメーターを持たない権限一覧と、実際に必要になった時点で名前空間ごとに読み込まれる58のスキルです。

**Meta Museが自分について記憶している内容を読めますか？** ファイルはホームディレクトリ内に通常のMarkdownとして存在し、このベンチマークの中では最も読みやすい構成です。ただし、ユーザー自身がそれを開けるかどうかは確認できませんでした。私たちには対話型ターミナルが提供されなかったためです。

**Meta Museはどのモデルを使いますか？** 提供開始時にMetaが挙げたのはMuse Sparkで、セキュリティ解説ではMuse Spark 1.3と記載されています。10月12日、MetaはMuse Wonderを発表し、まもなくMuse内の体験に導入すると説明しました。サブスクリプション利用者から順次提供し、無料アカウントへの提供日は示していません。今回の調査はその変更前に行ったため、ここにはWonderで動くMuseについての記述はありません。Wonderがオープンかどうかは、[Meta Museはオープンソースなのか](https://personalagentbench.com/ja/is-meta-muse-open-source/#muse-wonder-the-newer-model-also-closed)で扱っています。

**Meta Museにはアプリがありますか？** はい。iOS、Android、Webで提供を開始し、WhatsAppからもメッセージを送れます。9月17日からはMacアプリもあります。検証したのはWeb版です。

**Meta MuseはPine、Instinct、Townとどう違いますか？** 調査したMuseのランタイムにはパラメーターを持たない権限一覧があり、ユーザーごとのVM上でモデルへのリクエストを組み立てます。Townも設定された権限と返されるツールスキーマを分離しており、権限の分離はMuseだけの特徴ではありません。Pineはツールの公開範囲が最も狭く、TownのMacアプリは調査したデスクトップアプリの中でシステムの最も深い部分までアクセスし、Instinctはメッセージスレッドの中で動きます。Pineは現在、電話をかけられます。今回の調査中、私たちのMuseアカウントには店舗・企業への電話機能が提供されず、現在の展開状況も再確認していません。

**Museに店舗や企業への電話を代行してもらえますか？** Metaはこの電話機能を、早期アクセスとして順次提供するものと説明しています。調査したWeb版アカウントには提供されなかったため、通話を観察しておらず、引き継ぎや承認の流れも検証していません。自分のアカウントで利用できるかどうかは、別途確認する必要があります。

## パーソナルエージェントの評価表で見るMeta Muse

内部を調べた4つの中で、Museはユーザーに最も多くを与え、外部の観察者には最も少なくしか見せません。ユーザーごとにマシンを用意すること、その上でリクエストを組み立てること、人が読める可能性のあるファイルとして記憶を保持することは、いずれもユーザーに有利な選択です。そのマシンからリクエストが送信されるところを1件も見られないのは、同じ構成がもたらす代償です。

[評価表](https://personalagentbench.com/)では、Pine、Instinct、Townと同じ6つの評価軸で比較しています。確認できなかった点も省略せず、表に記載しています。

## 調査したほかの製品とMeta Museを比較

[Instinct](https://personalagentbench.com/ja/muse-vs-instinct/)、[Pine](https://personalagentbench.com/ja/muse-vs-pine/)、[Town](https://personalagentbench.com/ja/muse-vs-town/)と、同じ評価軸で並べて比較しています。こうした比較を作成するのは、双方を自分たちで調査した組み合わせに限ります。一方だけがマーケティング情報に基づく比較を置き換えることこそ、このサイトの目的だからです。

## 用事ごとに見るMeta Muse

各ページでは、その用事に何が求められ、Museが何を提供するかを、ほかの製品と並べて説明します。あくまで説明であり、その用事についてこの製品を採点するものではありません。

- [**飲食店の席を予約する**](https://personalagentbench.com/tasks/book-a-table/)
- [**サブスクリプションを解約する**](https://personalagentbench.com/tasks/cancel-a-subscription/)
- [**請求に異議を申し立てる**](https://personalagentbench.com/tasks/dispute-a-charge/)
- [**家族の1週間の予定を組み直す**](https://personalagentbench.com/tasks/family-scheduling/)
- [**航空便の遅延補償を請求する**](https://personalagentbench.com/tasks/flight-delay-compensation/)
- [**状況をリアルタイムで見守る**](https://personalagentbench.com/tasks/live-alerts/)
- [**仕事のファイルを整理する**](https://personalagentbench.com/tasks/work-files/)

## Meta Museの料金

Museには専用の料金ページがなく、利用にはMetaアカウントが必要です。Metaの発表記事では、多くの人が必要とする用途の大半は無料で、さらに使いたい人向けにサブスクリプションプランがあると説明していますが、金額は示していません。

このセクションを空欄にするよりも、明確に伝えるべき点です。料金が公表されていないことは、私たちが確認を怠ったことを意味しません。

2026-09-24に閲覧：[Metaニュースルーム、Introducing Muse（2026年9月8日）](https://about.fb.com/news/2026/09/introducing-muse-personal-ai-agent/)。

2026-09-23時点で、確認した一次資料には料金の記載がありませんでした。資料は以下に掲載しています。

### 特定日時の第三者報告であり、現在の料金ではありません

提供開始の翌日に、ある執筆者が自分のMuseアカウントに表示されたアップグレードの選択肢を報告したものです。無料枠は、その執筆者がインタビューでのMark Zuckerbergの発言として紹介した数値です。Metaはこれらの数値を料金ページで公表しておらず、私たちも直接確認できていません。2026年10月12日に確認したEveryの比較記事も、Powerを月額$20、Maximumを月額$100と報じています。以下のトークン枠は、引き続き9月9日時点のMBIの記録に基づきます。

| プラン | 料金 | 週間利用枠 |
| --- | --- | --- |
| Free | $0 | 週あたり最大100000000 Museトークン |
| Power | $20/月 | 週あたり500000000 Museトークン |
| Maximum | $100/月 | 週あたり3000000000 Museトークン |

[MBI Deep Dives、First Impression of Muse](https://www.mbi-deepdives.com/muse/)による2026-09-09の報告に基づきます。Metaの料金ページではなく、私たちによる再確認も行っていません。

[Everyのパーソナルエージェント比較](https://every.to/personal-agents-comparison)でも報告されています。確認日は2026-10-12です。独立した報道であり、Metaの料金表ではありません。

## 評価軸ごとに見るMeta Muse

## Meta Muse：動作する場所

ユーザーごとに1台のLinux VMがあります。リクエストは完成済みのデータを取得するのではなく、そのマシン上で組み立てられます。ブラウザー作業では、別の独立した2台目のマシンが起動します。

## Meta Muse：ツールの公開方法

意図的に分離された2つの層があります。パラメーターを一切持たない246のメソッドの権限一覧と、必要なときに名前空間ごとに読み込まれる実際の定義です。

## Meta Muse：記憶の保存場所

ホームディレクトリ内の通常のMarkdownで、リクエストに直接埋め込まれます。ファイルを変更すると、全体を再構築する代わりに、短い通知が挿入されます。

## Meta Muse：ユーザーが承認できること

権限や承認の処理は、ランタイム内に散在していません。これらもマシン外への通信も、単一の管理役を必ず経由します。画面にはアクティビティフィードの隣に承認タブがあります。同じ仕組みによって、認証情報もエージェントの手が届かない場所に保持されます。調査したランタイムには、ファイル削除と記憶を忘れる機能が含まれています。ユーザーが記憶ファイルを直接開いたり削除したりできるかは、確認していません。

## Meta Muse：利用する手段

iOS、Android、Webで提供を開始し、WhatsAppからも利用できます。9月17日からのMacアプリは、パソコン上のアプリを操作できます。検証したのはWeb版のみです。

## Meta Muse：確認できなかったこと

ランタイムとモデルの間の生の通信。構造は分かっていますが、内容は見ていません。そのほか、認証情報、外部サービスへの実際のサインイン、そして管理者側が開放しないことを選んだ対話型ターミナルです。

## ほかの製品の内部調査

- [**Pine** 請求、返金、解約について、ユーザーに代わって企業に電話します。](https://personalagentbench.com/agents/pine/)
- [**Instinct** 新しいインターフェースではなく、普段のメッセージアプリの中で動きます。](https://personalagentbench.com/agents/instinct/)
- [**Town** WebとネイティブMacアプリを提供し、4つの中でMacのネイティブ機能に最も広くアクセスします。](https://personalagentbench.com/agents/town/)

調査したすべてのランタイムを、同じ評価軸で並べています。

[評価表を見る](https://personalagentbench.com/)

または、[採点方法](https://personalagentbench.com/how-scoring-works/)と、[既存のエージェントベンチマーク](https://personalagentbench.com/benchmarks/)ではなぜこの問いに答えられないのかをお読みください。

---

Published by Personal Agent Bench (https://personalagentbench.com), run by the Zentor team. Zentor builds agent software of its own, so its products are not on the scorecard and will not be added.