Acetyl:Tech
← ブログ一覧

Museは「答えるAI」ではなく「やっておくAI」です──Metaのエージェントを、仕組みから

MuseMetaAIエージェント生成AIセキュリティプライバシー経営者向け中小企業

2026年10月23日、MetaのパーソナルAIエージェント「Muse（ミューズ）」が日本で始まりました。日本は、9月に先行した北米以外で、最初の提供地域です。AIツールの情報サイトAI PICKSの総合ランキングでは、10月26日に前日の34位から19位へ上がっています。

先に始まった米国とカナダでは、AP通信によると、Metaのマーク・ザッカーバーグCEOが10月21日の決算説明で、Museのアカウントを作った人が1,000万人を超えたと述べました。「Museを設定した人のうち、ある1日をとると約25%が使っている」とも話しています。

いちばん多い疑問は、たぶんこれです。「ChatGPTと、何が違うの？」

この記事は、その答えを、Metaの公式の発表と報道をもとに、仕組みから説明します。便利な使い方の紹介ではなく、「中で何が起きているのか」「どこまでMetaが守ってくれて、どこからが自分の判断か」を知るための記事です。

Museとは

まず、基本の情報を並べます。

項目内容
提供元Meta（Facebook・Instagram・WhatsAppの会社）
何をするかやるべきことを伝えると、計画を立て、メール送信・旅行の予約・ブラウザ操作・フォーム入力などの作業を進める
提供開始米国：2026年9月8日／カナダ：9月中旬／日本：10月23日（北米以外で初）／シンガポール：10月下旬
使える場所iPhone・Androidのアプリ、Webのmuse.ai（米国ではWhatsAppの中からも使える。Mac版もあると発表されている）
料金基本は無料。もっと使いたい人向けにサブスクリプション（くわしくは後述）
年齢米国では18歳以上（AP通信）
中で動くAIMetaの「Muse Spark」（米国の発表時点）

Metaの米国向けの発表は、Museをこう紹介しています。

質問に答えるだけではない。実際に仕事をする。 （It doesn't just answer questions, it actually does the work.）

この一文が、Museのいちばんの特徴です。

ChatGPTと、何が違うのか

「答えるAI」と「やっておくAI」

ChatGPTやClaudeのような、ふだん使われているチャット型のAIは、基本的に答えるAIです。「来週の出張、どのホテルがいい？」と聞けば、候補と理由を返してくれます。でも、予約するのは人です。予約サイトを開き、日付を入れ、名前を入れ、支払うところまでは、自分でやります。

Museは、その先をやります。Metaの発表の言葉を借りると、「やるべきことをMuseに伝えるだけで、Museが計画を立て、必要な作業を進めます」。メールを送る、旅行を予約する、ブラウザを操作する、フォームに入力する。人がやっていた手を動かす部分を、Museが代わりにやる。だからやっておくAIです。

Museの流れ。1、伝える：やりたいことを、ふつうの言葉で。2、計画する：手順に分けて段取りを立てる。3、実行する：ブラウザや連携アプリを操作する。4、確認する：メールの送信や商品の購入の前に、本人に聞く。5、報告する：時間のかかる作業はアプリを閉じても続け、変化や承認が必要な場面で通知する。チャットで答えるAIは、ふつう2までで、3から先は人がやる

この「代わりに手を動かすAI」は、一般にAIエージェントと呼ばれます。Museだけのものではありません。OpenAIは2025年7月にChatGPTのエージェント機能を出していて、ほかの会社も同じ方向の機能を出しています（職場での使われ方はAIエージェントの記事に書きました）。ですから、正確に言うと「Museは、ChatGPTのふつうのチャットとは違う種類のAI」です。なお、うちは業務ではAnthropicのClaudeを推奨・利用していますが、この記事はMuseの良し悪しを比べるものではなく、仕組みの解説です。

そのうえでMuseの特徴を挙げるなら、次の章で書く仕組みの部分です。

「待っていてくれる」のが、もう1つの違い

もう1つの違いは、時間です。チャット型のAIは、画面を開いて話しかけている間だけ動きます。Museは、時間のかかる作業ならアプリを閉じた後も作業を続け、状況が変わったときや、承認が必要な場面で通知してくれる、とMetaは説明しています。

それに、Museは利用者にとって大切なことを記憶し、過去の会話をふまえて提案します。毎回いちから説明しなくても、前に話したことを覚えている。人に仕事を頼む感覚に近づけてある、と言えます。

仕組み──Museの中で、何が動いているのか

便利そうに聞こえるほど、「勝手に何をしているのか分からない」のが不安になります。ここは仕組みで見ていきます。

Museの仕組み。あなたがスマホやWebで頼むと、Metaのクラウドの中にある、あなた専用の仮想マシン（Muse Secure VM）の中で、Museが計画を立て、ブラウザを操作し、覚えておくべきことを記憶する。外のインターネットや連携サービスへ出るときは、同じ仮想マシンの中でMuseとは切り離されて動く門番役のAI、Sentinelが、その操作を許可するか、止めるか、本人に確認するかを決める。パスワードや支払い方法はMuseからは見えず、メール送信や購入の前には本人に確認が来る

① あなた専用の「パソコン」が、クラウドの中にある

Museは、利用者のスマートフォンの中で動いているわけではありません。Metaのクラウドの中に、利用者ごとに隔離された専用の仮想マシン（Metaの呼び名は「Muse Secure VM」）が用意され、その中で動きます。

仮想マシンとは、ざっくり言えば「データセンターの中に、ソフトウェアで作った、自分専用のパソコン」です。Museはこのパソコンでブラウザを開き、Webサイトを見て、フォームに入力します。データや、サービスにログインするための認証情報も、この中に保管されます。

アプリを閉じても作業が続くのは、このためです。作業しているのは手元のスマホではなく、クラウドの中のもう1台のパソコンだからです。

② 外に出るときは、門番を通る

Museがインターネットやほかのサービスにアクセスするときは、Sentinel（センチネル）という、Museとは独立した別のAIが間に入ります。Sentinelは同じ仮想マシンの中で動きますが、Museとはシステムの上で切り離されています。

Metaの研究チームが公開した解説は、役割の分け方をこう書いています。

Museは操作を「提案」するが、その操作を行う許可を出せるのはSentinelだけだ。

Sentinelは、Museがやろうとしている操作ごとに、許可する・止める・本人に確認するのどれかを決めます。許可の出し方も細かく分かれています。

  • 読むだけか、書き込みもか：相手のサービスが対応していれば、「メールを読む」と「メールを送る」のように、読むことと書き込むことを分けて許可する
  • どの範囲で許すか：Sentinelが示す選択肢の中から、1回だけ、セッションの間だけ、その作業の間だけ、期間を区切って、ずっと、のような範囲を選ぶ。許可は、接続先と使い道ごとに結びつけられる
  • 買い物は必ず人に聞く：購入については「毎回、人が承認する」としている
  • 聞かずに進むもの：読むだけの操作や、前に許可した操作、危険が小さいことがはっきりしている操作は、確認なしで進む

また、Metaの日本向けの発表によれば、パスワードや支払い方法はMuseからは見えません。メールの送信や商品の購入の前には本人に確認が来て、操作の履歴もあとから確認できます。接続先やアクセス権限は、いつでも変えたり外したりできます。

つまり、Museが「これをやりたい」と言っても、そのまま外に出られるわけではありません。「やる係」と「止める係」を分けてあるのが、この仕組みの肝です。

③ つながるサービス

Museは、ほかのサービスとつながる（「連携する」）ことで、できることが増えます。Metaの日本向けの発表に挙がっている連携先は、次のとおりです。

連携先
海外のサービスGmail、Googleカレンダー、Instagram、Stripe（決済）、Shopify（ネットショップ）、Trip.com、Agoda、Klook（旅行・予約）
日本で進めているものメルカリ、マネーフォワード ME、チケットぴあ

日本の3つは、発表の言葉では「連携を進めています」です。発表の時点で、すでに使えると書かれているわけではありません。

④ 記憶

Museは、利用者にとって大切なことを記憶し、過去の会話をふまえて提案します。便利な反面、「何を覚えていてほしいか、何は覚えてほしくないか」を、使う人が意識しておく必要があります。

⑤ 中で動いているAI

Museの「頭」にあたるAIは、Metaが開発したMuse Sparkです。Metaは2026年4月9日、社内の研究組織Meta Superintelligence Labs（MSL）が開発した「初のモデル」として、Muse Sparkを発表しました。9月の米国向けの発表でも、Museは「Metaのこれまでで最も高性能なモデル、Muse Sparkで動いている」と書かれています。

Metaは10月12日に、もう1つ「Muse Wonder」という新しいモデルも発表し、決算の資料で「初めてのフロンティアモデル（最先端のモデル）」と呼んでいます。発表では、Muse Wonderが「まもなくMuseの体験を支える」ようになり、まず有料会員から順に広げるとしています。今の時点で、自分のMuseがどちらで動いているのかを確かめられる発表はありません。名前がどちらも「Muse」なので、ニュースを読むときは、エージェントのMuseの話か、AIモデルのMuse Spark・Muse Wonderの話かを区別すると混乱しません。

料金

Metaの説明は、「ほとんどの用途は無料で、もっと使いたい人向けにサブスクリプションがある」というものです。

米国の場合
無料多くの基本的な機能。無料で使える量の上限は、公表されている数字が見つからなかった。アプリの中に使用量のメーターがある（TechCrunch）
Power月20ドル
Maximum月100ドル

MetaのAI部門を率いるアレクサンダー・ワン氏は、「ほとんどの利用者は、無料の範囲でやりたいことができるはず」と話しています（Axios）。有料プランは、AIを動かす計算の費用をまかなうためのものだと説明しています。また、Museには広告がなく、Metaは買い物まわりで収益を得る方法を探っていると報じられています。

米国では、無料で使う場合でも登録時に支払いカードの登録が必要だと報じられています（TechCrunch）。

日本の料金は、Metaの日本向けの発表には金額が書かれていません。そのため、この記事では数字を書きません。使う前に、アプリの中の表示で確かめてください。

安全とプライバシー──Metaは何と言っているか

人の代わりにメールを送ったり、買い物をしたりするAIです。「勝手に何かされないか」は、当然いちばん気になるところです。まず、Metaが公式に説明している守りの仕組みを並べます。

Metaが用意している守り

守りMetaの説明
専用の仮想マシン利用者ごとに隔離された仮想マシンで動き、データや認証情報もその中に保管する
門番のAI（Sentinel）Museとは独立したAIが、外へのアクセスを許可・ブロック・本人確認に振り分ける
見せない情報パスワードや支払い方法は、Museからは見えない
本人の確認メールの送信や商品の購入の前に、本人に確認する
履歴と権限操作の履歴を確認でき、接続先やアクセス権限はいつでも変更・解除できる
学習への利用MetaのAIモデルの学習に会話を使わないよう、オプトアウト（利用を断る設定）ができる
広告会話や仮想マシンの中のデータは、Metaの広告の仕組みと共有しない

Meta自身が認めている、防ぎきれない部分

ここが、この記事でいちばん伝えたいところです。Metaの研究チームは、Museの安全対策の解説の中で、はっきりこう書いています。

Museも、攻撃を受けないわけではない。プロンプトインジェクションは、業界全体でまだ解決されていない問題だ。そして、Museはときには間違いをする。

「プロンプトインジェクション」については次の章で説明します。大事なのは、作っている会社自身が、仕組みだけで完全には守れないと認めていることです。これは不誠実なのではなく、むしろ正直な説明です。Metaは、Museの弱点を見つけた人に最大30万ドルの報奨金を払う制度も設けていて、1人の利用者に影響するプロンプトインジェクションには最大13万ドルとしています。

もう1つ、Metaは今の仕組みについて、サービスの運用や安全のために必要なときにMetaがデータにアクセスすることまでは防いでいないとも書いています。Meta自身もアクセスできない「Muse Confidential VM」を、年内に出す予定としています。

広告についても、会話のデータは広告の仕組みと共有しないとする一方で、Museがブラウザで見たことが、間接的に、表示される広告に影響しうるとも書いています。

初期設定のまま使わない

学習への利用は、報道によると初期設定ではオンです（Axios、Malwarebytes）。Meta自身は、オプトアウトできると説明しています。会話を学習に使われたくなければ、最初に設定を確認してください。

また、会話などのデータをどれだけの期間保存するかは、公表されている情報が見つかりませんでした。Metaのヘルプセンターの説明として、会話を削除しても、Museはそれまでに学んだ内容を覚えたままで、消したいときはMuseをリセットするか、「忘れて」と頼む必要がある、と報じられています（Atlanta News First）。

使う前に、知っておきたいこと

最後に、仕組みでカバーしきれないところを4つ挙げます。どれも「だから使うな」という話ではありません。どこからが自分の判断かの話です。

① Webページに仕込まれた指示に、だまされることがある

プロンプトインジェクションは、AIへの指示（プロンプト）に、本来の利用者ではない誰かの指示を紛れ込ませて、AIの動きを変えてしまう攻撃です。Webのセキュリティに取り組む国際的な非営利団体OWASPは、AIの危険をまとめた資料の中で、Webサイトやファイルなど外から読み込んだ内容に指示が仕込まれる型を挙げ、「確実に防ぐ方法があるかどうかは分かっていない」と書いています。

日本でも、情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」で、「AIの利用をめぐるサイバーリスク」が組織向けの3位に初めて入りました。解説書は、AIが「動作過程で自ら参照したデータに不正プロンプトが含まれて」いる場合を挙げ、「技術的対策で完璧なものは知られていません」としています。

Museはブラウザで外のWebページを読みにいくAIなので、この危険と無縁ではありません。Metaが「業界全体でまだ解決されていない」と書いているのは、この問題です。

② 許可と確認は、自分が出したものがそのまま効く

Museの守りの最後の砦は、本人の許可と確認です。裏を返せば、確認が来たときに中身を読まずに承認したり、広い許可を出しておいたりすれば、仕組みはそれ以上守ってくれません。

北米では、Facebookのマーケットプレイス（個人どうしの売り買い）の取引で、利用者の自宅の住所が相手に伝わったという訴えがありました。この件は報道によって説明が分かれていますが、TechCrunchは、利用者本人が、それを可能にする許可を自分で出していたとあとで認めた、と伝えています。前に出した許可が、思わぬ場面で効いてしまうことがある、という例です。

③ 「共有」したものは、思ったより見つかる

10月には、セキュリティ会社が、Museで共有されたページ6,800件以上が、ネット上の通信の記録（DNSの記録）から見つけられる状態だったと報告しました。中には、小さな会社の融資の申込書や売上の資料のような、仕事の資料もあったといいます。Metaは共有の機能をいったん止め、10月22日に修正しています。セキュリティ会社は、悪用された証拠はないとしています。

仕組みはその後直されましたが、「共有したリンクは、思ったより遠くまで届く」という教訓は、Museに限らず残ります。

④ 仕事のデータをつなぐ前に

Museには、米国とカナダ向けに、9月29日から小さな会社向けの機能「Muse for Small Business」もあります。日本で使えるかは、確認できる発表がありません。

それとは別に、院長や社員が個人で使っているMuseに、仕事のGmailやカレンダーをつなぐ場合は、一度立ち止まってください。患者さんやお客さんの個人情報が、会社の管理の外にある個人のアカウントを通って、AIのサービスに流れることになるからです。

個人情報保護委員会は、2023年6月の注意喚起で、本人の同意なく個人データを含む指示を生成AIのサービスに入力し、そのデータが応答を出す以外の目的で扱われる場合、「個人情報保護法の規定に違反することとなる可能性がある」としています。IPAの解説書も、「社内の秘密情報等を安易に入力しない」よう呼びかけています。

うちが支援先で決めたAIのルールでも、1つ目は「顧客情報は会社のAIにだけ」でした（「AIのルールを作りたい」と言われて、4項目にしました）。なぜ「会社のAI」でなければいけないのかは、こちらの記事に仕組みから書いています。

使い始めるときの、5つの確認

Metaが用意している仕組みを、ちゃんと効かせるための確認です。

  1. 学習への利用の設定を、最初に確認する
  2. つなぐサービスは必要なものだけ。メールなら、まず「読むだけ」で始める
  3. 許可の範囲を選べるときは、「その作業の間だけ」など狭いほうを選ぶ。送信や支払いに「ずっと」は出さない
  4. 確認が来たら、宛先・金額・内容を読んでから承認する
  5. 操作の履歴を、ときどき見返す

日本で、できること・まだのこと

Metaは9月23日の発表イベント「Meta Connect 2026」で、Museの新しい機能をいくつも発表しました。ただ、日本ではまだ使えないもの、時期が決まっていないものがあります。

機能日本では
基本の機能（計画・ブラウザ操作・フォーム入力・メール送信・予約など）10月23日から使える
日本のサービスとの連携（メルカリ、マネーフォワード ME、チケットぴあ）「連携を進めている」段階
高度な音声モード、表情豊かなアバター「Muse Realtime Avatar」、Muse専用のメールアドレス日本での提供状況は「別途案内」
AIグラス（Metaのスマートグラス）でのMuse海外では今後数か月のうちに。日本での時期は未定
Meta自身も中を見られない「Muse Confidential VM」年内に提供予定とされている

ニュースやSNSで「Museで◯◯ができる」と紹介されていても、それが米国だけの機能だったり、発表されただけでまだ使えない機能だったりすることがあります。日本で使う前提で読むときは、この表の区別を思い出してください。

まとめ

  • Museは、MetaのパーソナルAIエージェント。米国で2026年9月8日、日本で10月23日に始まった
  • ふだんのチャット型のAIが「答える」のに対して、Museは計画を立てて「やっておく」。ブラウザ操作、フォーム入力、メール送信、予約まで進め、アプリを閉じても作業を続ける
  • 仕組みの肝は2つ。クラウドの中の専用の仮想マシンで動くこと、そして外へ出るときは門番のAI「Sentinel」が許可・ブロック・本人確認を決めること
  • 料金は基本無料。米国は月20ドルと月100ドル。日本の金額はMetaの発表に書かれていないので、アプリで確認する
  • Metaは、パスワードや支払い方法を見せない、送信や購入の前に確認する、学習へのオプトアウトができる、広告と共有しない、と説明している
  • そのうえでMeta自身が、プロンプトインジェクションは「まだ解決されていない」、Museは「ときには間違いをする」と書いている
  • 防ぎきれない部分は、使う人の判断になる。学習の設定を確認する、つなぐサービスと許可の範囲を絞る、確認画面を読んでから承認する、仕事の個人情報は個人のMuseにつながない
  • 日本では、メルカリなどとの連携や、Connectで発表された新機能はまだこれからのものがある

Museのような「やっておくAI」は、うまく使えば、人に頼むのと同じように手間を減らしてくれます。ただ、人に頼むときと同じで、何を頼んで、どこまで任せるかは、頼む側が決めることです。仕組みを知っておけば、その線を自分で引けます。

Acetyl:Techは、中小企業や医院の、AIの導入と社内のルールづくりを支援しています。 「社員が個人のAIエージェントを使い始めたけれど、どこまで許していいか分からない」という段階のご相談も承ります。詳しくは「AI導入・社内研修の支援」のページをご覧ください。

出典・参考

Metaの公式発表

報道

安全・個人情報の資料

Read next

他の記事

AI・DXの導入、どこから手をつけるか迷ったら

Acetyl:Techが、あなたの会社で「本当に使われる形」まで設計します。まずはお気軽にご相談ください。

無料で相談する