Разбор файловой системы Muse, персонального агента Meta*, показал: при установке с настройками по умолчанию программа получает рутовые права на Ubuntu, доступ к cron.d и к пользовательским файлам, включая SSH-ключи. В коде и документации агент называется Hatch, а его память лежит в обычных Markdown-файлах в ~/memory/. Отдельная инструкция требует завести страницу на каждого человека из окружения владельца, с разделами «Факты», «История», «Отношения» и «Укрепление».
Muse и Dots от OpenAI представляют поколение, которое приходит на смену чатботам без продвинутой памяти и доступа к персональным данным. У таких агентов есть почта, мессенджеры, банковский счёт и полномочия действовать от имени пользователя: отправить письмо, ответить в чате, провести платёж. Асимметрия здесь главная: финансовые операции требуют физического подтверждения владельца, а сбор приватных данных идёт автоматически.
Meta Platforms Inc. признана экстремистской организацией и запрещена на территории РФ. Дальше только техническая сторона: что подтверждено разбором кода и документации, а где начинаются предположения.
Что случилось: агенты нового поколения получили доступ к личным данным
Разница между чатботом и агентом измеряется правами, а не качеством ответов. Ассистент первой волны вроде OpenClaw или Instinct не имел продвинутой памяти и доступа к персональным данным: он отвечал в окне диалога. Агент нового поколения читает почту, видит сообщения в мессенджерах, знает остаток на счёте и может действовать от имени владельца.
Чем агенты отличаются от чатботов прошлого поколения
Причина риска в связке трёх вещей: постоянная память, широкие права в системе и автономные действия во внешних сервисах. Уберите любой элемент, и последствия ошибки резко падают. Пока все три на месте, ошибка модели превращается в отправленное письмо, чужой платёж или файл с личными данными, уехавший не туда.
Dots от OpenAI упоминается в разборе как второй представитель этой волны. Технический анализ файловой системы в источнике касается Muse, поэтому выводы про права доступа и устройство памяти ниже относятся к нему, а не к Dots.
Что подтверждено, а что пока предположение
Границу видно по типу доказательства. Всё, что в таблице ниже, взято из анализа файловой системы и документации агента.
| Утверждение | Статус |
|---|---|
| Рутовые права на Ubuntu, доступ к cron.d и пользовательским файлам при установке по умолчанию | Подтверждено анализом файловой системы |
| Память в Markdown в ~/memory/, ночные «сны» в ~/dreams/ | Подтверждено анализом файловой системы |
| Страница на каждого человека с разделами «Факты», «История», «Отношения», «Укрепление» | Подтверждено инструкцией в файловой системе |
| Влияние агентов на поведение людей в будущем | Предположение, измеренных данных нет |
Предположения начинаются там, где речь заходит о будущем влиянии агентов на поведение людей. В разобранном материале нет ни измеренного эффекта, ни выборки, ни эксперимента: это прогноз. Его можно обсуждать, но ставить в один ряд с рутовыми правами при установке по умолчанию нельзя. Полный разбор приватности персональных AI-ассистентов с деталями по файловой системе опубликован в блоге GlobalSign.
Как устроена память Muse: Markdown, cron и «сны»
Внутреннее имя агента, Hatch, встречается в коде и документации постоянно. Ключевые файлы разложены по каталогам /home/hatch, /opt/hatch и /opt/hatch-image. Память организована предельно просто: Markdown-файлы с датами в ~/memory/ хранят детали каждого дня, и агент обновляет их прямо во время разговора с пользователем.
Директория agents/ содержит записи о 113 субагентах в виде JSONL-файлов. Фоновые задачи выполняются каждый час: они вытаскивают нужные фрагменты информации, раскладывают материал по темам и по разным файлам памяти. PostgreSQL делает эти файлы доступными для поиска. Ночной процесс «сновидений» просматривает недавние разговоры и пишет рекомендации для будущих сессий, старые «сны» лежат в ~/dreams/.
Почему формат хранения важен для приватности
Markdown - это открытый текст. Такой файл грепается одной командой, копируется, попадает в бэкап и в облачную синхронизацию, открывается любым процессом с доступом к домашней директории. Зашифрованное хранилище пришлось бы расшифровывать, и на этом шаге стали бы видны ключи. Здесь расшифровывать нечего.
PostgreSQL поверх файлов добавляет второй слой: память становится индексируемой и доступной для поиска, а не набором разрозненных заметок. Данных о шифровании памяти в разобранном материале нет, поэтому утверждать ни его наличие, ни отсутствие не буду. Материал про файловую память агента при локальном запуске показывает, как та же схема выглядит на домашнем железе.
Ежечасные задачи и ночные «сны»: кто пишет память без участия пользователя
Ежечасный процесс и ночной разбор работают по расписанию. Пользователь при этом ничего не подтверждает: память пополняется фрагментами из контекста, в котором уже был диалог, а «сны» добавляют интерпретации к будущим сессиям.
Практический вывод простой. То, что вы не проговаривали явно, всё равно может осесть в файлах, если фраза попала в контекст. Проверять ~/memory/ и ~/dreams/ имеет смысл не раз в год, а после каждого разговора, который вы не хотели бы видеть в записанном виде.
Досье на друзей и семью: кого агент описывает без согласия
Самый спорный пункт разбора - отдельная инструкция, которая требует создавать страницу на каждого человека в жизни пользователя. Структура страницы задана заранее: «Факты», «История», «Отношения» и «Укрепление». Это требование инструкции, а не побочный эффект длинной переписки.
Разделы «Факты», «История», «Отношения», «Укрепление»: что в них попадает
Логика разделов читается по названиям. «Факты»: имена, роли, контакты, устойчивые сведения о человеке. «История»: события, разговоры и хронология взаимодействий. «Отношения»: связи между людьми, кто кому кем приходится. «Укрепление»: рекомендации, как выстраивать и поддерживать отношения с этим конкретным человеком.
Четвёртый раздел меняет природу документа. Запись превращается в план действий по отношению к человеку, который об этом плане не знает. Подтверждения, что такие страницы передаются третьим лицам, в разобранном материале нет, и приписывать агенту передачу данных нельзя. Риск утечки при этом очевиден: страница раскрывает владельца и всё его окружение.
Проблема согласия третьих лиц
Друзья и семья агента не устанавливали и согласия на сбор данных не давали. Механизма уведомления или согласия третьих лиц в разобранных материалах не описано: ни запроса, ни флага «не записывать этого человека», ни уведомления при первом упоминании.
Юридическую оценку давать не буду, для неё нужен отдельный разбор и знание местного права. Этическая сторона проще: человек становится объектом структурированной записи по решению другого человека. Кто читает эти файлы, кроме владельца машины и процессов с доступом к домашней директории, источник не уточняет.
Тем, кто не собирается подключать банк, тоже есть что проверить: разбор рисков Muse и безопасности агентов перечисляет конкретные проверки перед запуском.
Права доступа и изоляция: рутовые права против VM
Установка с параметрами по умолчанию даёт агенту рутовые права на Ubuntu, доступ к оперативной памяти и cron.d, а также к гигабайтам пользовательских файлов. В список попадают и SSH-ключи.
Почему SSH-ключи - самый чувствительный пункт
Ключ открывает удалённые серверы, Git-репозитории и инфраструктуру. Утечка переписки неприятна, утечка ключа даёт доступ к системам, где эта переписка и рабочие проекты лежат. Данных о том, что ключи как-то исключены из доступа или защищены дополнительно, в разобранном материале нет.
Рутовые права добавляют изменение системных файлов и задач в cron.d. Агент, который может править cron, может менять расписание и своих, и чужих задач.
Что даёт изоляция через VM и где её границы
Виртуальная машина ограничивает агента отдельной средой: он видит гостевую систему, а не домашний каталог хоста. В разработке участвовал Мокси Марлинспайк, об этом сказано в источнике. Деталей конфигурации, сетевых правил и способов проброса файлов в разобранном материале нет, поэтому конкретных шагов настройки здесь не будет.
Принцип гигиены простой: отдельная среда, отсутствие рута на хост, запрет монтировать SSH-ключи и домашнюю директорию целиком. Это рекомендация, а не проверенная инструкция. Пример того, как агент ведёт себя в песочнице и что показывает мониторинг, разобран в материале про инцидент с Qwen3.8-Flash-Next в изолированной среде.
Заявленная изоляция и фактические права при дефолтной установке - разные вещи. Безопасность зависит от того, как именно поставлен агент: с настройками по умолчанию или в отдельной среде с урезанными правами. Утверждать, что VM не работает, оснований нет. Утверждать, что дефолт безопасен, тоже.
Как удалить память и отключить внешние сервисы
Система удаления воспоминаний спроектирована так, чтобы зачистить все следы и гарантировать невозможность восстановления. Это заявленное свойство из описания системы, независимой проверки в разобранном материале нет, и воспринимать его стоит как обещание разработчика.
Что имеет смысл проверить перед удалением и после него:
- ~/memory/ и ~/dreams/ - дневные файлы памяти и «сны» с рекомендациями;
- /home/hatch, /opt/hatch, /opt/hatch-image - рабочие каталоги агента;
- agents/ - JSONL-записи о 113 субагентах;
- cron.d - задачи, которые запускаются каждый час;
- индекс PostgreSQL, по которому ищется память.
Пошаговой инструкции по удалению в разобранном материале нет, поэтому команд и пунктов меню здесь не будет. Направления проверки перечислены выше, остальное зависит от конкретной сборки.
Чек-лист перед установкой: что отключить и какие права не давать
Список ниже собран из описанных в источнике прав агента. Это рекомендации по гигиене, а не протестированная методика.
- Не давать рутовых прав на хост. Отдельный пользователь без sudo сокращает ущерб от ошибки.
- Ставить агента в изолированную среду, а не в основную систему с рабочими файлами.
- Не монтировать SSH-ключи и домашнюю директорию целиком. Если доступ к папке нужен, давать одну папку, а не весь домашний каталог.
- Отключить внешние сервисы (почту, мессенджеры, банковские интеграции) до первого запуска, а не после того, как память уже наполнилась.
- Проверить, какие задачи появились в cron.d, и понять, что именно они делают каждый час.
Что удаление памяти не решает
Удаление чистит память агента. Оно не отменяет копии, которые уже уехали в бэкапы и синхронизацию, и не возвращает данные, отправленные во внешние сервисы. Страницы на других людей, если их кто-то скопировал, останутся там, куда их скопировали. Утверждать, что данные точно где-то остаются, оснований нет. Но и рассчитывать на полную зачистку за пределами системы Muse не стоит.
Кому подходит такой агент и как снизить риски
Агент с доступом к почте, мессенджерам и банковскому счёту подходит тем, кто готов потратить время на изоляцию: отдельная среда, урезанные права, отключённые интеграции, регулярная проверка файлов памяти. Цена такой настройки - вечера на конфигурацию и постоянный контроль.
Тем, кто ставит «по умолчанию» и сразу подключает почту, мессенджеры и банк, такой агент не подходит. Дефолтная установка даёт рутовые права и доступ к SSH-ключам, а память пополняется автоматически, в том числе данными о людях, которые ни на что не соглашались.
Асимметрия остаётся главным аргументом при выборе. Платёж защищён физическим подтверждением владельца, а приватные данные собираются без спроса. Автономные права агентов и уровни доверия подробно разобраны в материале про DIY-агента с заявленной архитектурой Sai.
Вопросы, которые стоит задать перед установкой
- Какие права получит агент при установке с настройками по умолчанию?
- Какие внешние сервисы он подключит и можно ли отключить их до первого запуска?
- Где лежит память, в каком формате и кто имеет к ней доступ?
- Создаёт ли агент страницы на других людей и можно ли это выключить?
- Как удаляются данные и что остаётся в бэкапах и синхронизации?
Приватность в персональных AI-ассистентах - это ручная работа: изоляция, урезанные права, отключённые интеграции и проверка файлов памяти. Дефолтная установка ни одного из этих условий не выполняет. Meta Platforms Inc. признана экстремистской организацией и запрещена на территории РФ, напоминаю об этом и в конце материала.