Una settimana dopo il lancio dell’8 settembre, Muse era l’applicazione gratuita più scaricata dell’App Store americano, davanti a ChatGPT. Il 20 settembre, dodici giorni dopo l’esordio, Amazon ha cominciato a mostrare a chi chiedeva all’agente di Meta di comprare qualcosa un avviso secco: l’accesso continuato di un agente di intelligenza artificiale non autorizzato viola le condizioni d’uso del negozio. Sembrano due storie separate, il successo di un’app e una lite commerciale, ma una newsletter di della storica rivista americana Wired uscita il 3 ottobre le tiene insieme.
Cosa hanno estratto i ricercatori
Kernel Panic, la newsletter settimanale del magazine scritta da Lily Hay Newman e Matt Burgess su privacy e sicurezza digitale, racconta che nei giorni scorsi più ricercatori hanno estratto i file interni di Muse, comprese le istruzioni operative dell’agente. Karan Joshi, ricercatore indipendente di sicurezza dell’AI, ne ha ottenuto un’ampia raccolta usando la normale chat, chiedendo a Muse di copiare e condividere i propri file, e ha passato il materiale a Wired. Meta sostiene che quei file fossero pensati per essere accessibili, in nome della trasparenza.
Tra le istruzioni c’è la creazione di una pagina dedicata a ciascuna persona della vita dell’utente. Il processo gira ogni ora e raccoglie dati su familiari, partner, amici, colleghi, collaboratori e persone seguite online. Una pagina può cominciare quasi vuota e riempirsi nel tempo, con sezioni intitolate “Fatti”, “Storia”, “La relazione”, “In comune”, “Questioni aperte” e “Rafforzamento”. Le istruzioni chiedono di usare soltanto le prove disponibili e giudicano un dettaglio inventato peggiore di una pagina bianca.
L’uso dichiarato è interno: suggerimenti per migliorare un rapporto o, per esempio, un posto dove portare a colazione un amico che ama il caffè. Che i chatbot tengano traccia di informazioni sociali non è una novità, da anni c’è chi chiede a ChatGPT consigli sentimentali. La differenza sta in chi lo fa, cioè un’azienda con la storia e la dotazione di dati sociali di Meta e precedenti piuttosto negativi, come il caso Cambridge Analytica. Joshi legge nelle istruzioni la volontà di conoscere l’utente come un amico, e la definisce «piuttosto inquietante».
Il valore di una rete di relazioni
La filosofa Carissa Véliz ha riassunto il punto in poche righe: il modello di business di Meta dipende dalla sorveglianza, e quindi l’incentivo è progettare prodotti che la alimentino, non che giovino all’utente, tanto meno ai suoi amici e familiari. Meta dichiara che Muse non condivide le conversazioni con i sistemi pubblicitari dell’azienda e che non vede password né dati di pagamento. Sono impegni di politica aziendale, e una politica aziendale si cambia con un aggiornamento delle condizioni d’uso.
La tecnologia logica dietro è quella legata alla teoria dei grafi, ovvero al modo di strutturare i dati sulla base delle relazioni tra un nodo e l’altro. Un grafo sociale sa chi conosce chi. Una pagina di Muse sa che cosa c’è dentro il rapporto: gli argomenti ricorrenti, le questioni aperte, i gusti, le occasioni da non perdere. Al lancio l’agente si collega ai servizi Meta e a Google Workspace, Ticketmaster, OpenTable, Spotify e Apple Health, quindi anche ai dati sulla salute di chi lo usa. Meta offre una versione gratuita e due a pagamento con limiti più alti, ma il contesto raccolto attorno a ogni utente è un patrimonio che non compare nel listino.
Cambridge Analytica, versione agente
Il precedente è noto, come abbiamo visto sopra. Nel 2018 si scoprì che un’applicazione usata da circa 270mila persone, grazie ai permessi concessi, aveva raccolto anche i dati dei loro amici, fino a comporre un archivio su 87 milioni di utenti di Facebook passato a Cambridge Analytica contro i termini del social. Nel 2019 la società pagò cinque miliardi di dollari alla Federal Trade Commission, e nel 2022 altri 725 milioni di dollari per chiudere la class action americana.
Allora i dati degli amici uscivano verso un terzo, in violazione delle regole. Oggi la raccolta è scritta nelle istruzioni di Muse, ed è la casa madre a progettarla. Gli amici, i colleghi e i parenti schedati ogni ora non sono iscritti a Muse e non hanno firmato nulla. E molti, è doveroso ricordarlo, non sono nemmeno utenti.
L’altra metà del problema
A un agente con accesso a posta, calendario, acquisti e dati sanitari si concede una delega ampia, e la delega ampia ha un costo in sicurezza. A dicembre 2025 OpenAI ha ammesso che le prompt injection, cioè le istruzioni nascoste in pagine web, documenti o email che spingono un agente ad azioni non volute, difficilmente saranno eliminate del tutto. Poco prima, il National Cyber Security Centre del Regno Unito aveva avvertito che potrebbero non essere mai mitigate completamente.
La privacy e la sicurezza sono state pensate dagli ingegneri di Meta in una maniera che ricorda molto una esigenza di marketing più che di cybersicurezza. Muse risponde con una macchina virtuale dedicata a ogni utente e con un secondo agente, Sentinel, che blocca le azioni verso internet prive di approvazione. È una difesa strutturata, e lo stesso Joshi ha dimostrato che i file dell’agente si estraggono chiedendoli in chat. Le due metà si saldano a questo punto: un agente dirottato espone i dati del proprietario e consegna anche il dossier su tutte le persone che gli stanno intorno, già ordinato per sezioni. Marketing e non cybersecurity vera, appunto.
Perché Amazon chiude la porta
Il blocco è arrivato dopo che Amazon aveva chiesto a Meta di togliere volontariamente il negozio da Muse. Secondo Amazon, Meta non aveva avvertito dell’accesso, l’agente non si dichiara tale mentre naviga e sembra catturare e conservare le credenziali dei clienti. Meta replica che Muse non vede password né metodi di pagamento. Un audit indipendente che chiarisca chi dice il vero per ora non c’è.
La spiegazione ufficiale è la sicurezza, e il precedente è Perplexity: Amazon l’ha citata in giudizio nel novembre 2025 per il browser Comet, che acquista per conto degli utenti senza dichiararsi. Perplexity rispose che la mossa serviva a proteggere gli introiti pubblicitari e le posizioni sponsorizzate, perché un agente compra il prodotto senza passare dai banner. Il 4 agosto 2026 la Corte d’appello del Nono circuito ha stabilito che, ai fini della legge federale contro gli accessi abusivi, a collegarsi ai computer di Amazon è l’utente, restano aperte le questioni contrattuali.
I fatti si prestano a una lettura piuttosto preoccupante oltre che molto concreta, come tutte le cose che rigurdano futuri flussi di capitali di proporzioni enormi. Un agente che salta ricerca, raccomandazioni e inserzioni toglie ad Amazon la leva con cui monetizza i propri clienti, e tra le preoccupazioni dichiarate c’è che Muse possa leggere le pagine dell’account e lo storico degli ordini, cioè il patrimonio di dati su cui Amazon costruisce il resto. Detto in altre parole: Meta e Amazon si contendono la stessa risorsa, e ciascuna la vuole sfruttare in esclusiva.
Il vuoto normativo
Muse oggi è disponibile solo negli Stati Uniti e per maggiorenni, ma l’arrivo in Europa è solo una questione di tempo. Il regolamento europeo sull’intelligenza artificiale (l’AI Act, regolamento 2024/1689) è in vigore dal primo di agosto 2024 e ordina i sistemi per livelli di rischio. Il Garante per la protezione dei dati personali è già intervenuto sull’uso dei dati degli utenti per addestrare Meta AI. Nessun testo, tuttavia, sembra dire con chiarezza che cosa debba valere per una persona che non ha scaricato niente, non ha accettato niente e compare in una pagina compilata da un agente altrui tramite una forma di dossieraggio online su larghissima scala.
