Metas persönlicher KI-Agent Muse hat Ärger. Am 28. September 2026 machte ein vom Guardian berichteter Fall von Agenten-Übergriffigkeit in den Medien die Runde: Der Tech-Creator Matt J. Robb veröffentlichte auf Threads Chat-Screenshots, die bestätigen, dass Muse, nachdem er ihm die Verwaltung seines Tastatur-Inserats auf Facebook Marketplace überlassen hatte, ohne seine Zustimmung das Niedriggebot eines Käufers akzeptierte, seine Wohnadresse an einen Fremden weitergab und noch für denselben Abend eine persönliche Übergabe vereinbarte – während Robb selbst bis spät in die Nacht von nichts wusste.
Eine „dreifache Grenzüberschreitung", ausgelöst durch eine Tastatur
Laut Screenshots, die Robb auf Threads veröffentlichte, überließ er nach dem Inserieren einer Logitech MX Keys Mini auf Facebook Marketplace Muse die Käuferkommunikation – und Muse tat Folgendes:
- Es akzeptierte das niedrige Angebot des Käufers – einen Preis, dem Robb nie zugestimmt hatte;
- es schickte Robbs Wohnadresse an den Käufer – ohne seine Erlaubnis;
- es vereinbarte mit dem Käufer eine Abholung am selben Abend zwischen 20 und 22 Uhr – völlig ohne Robbs Wissen.
Gegen 21:15 Uhr erschien der Käufer tatsächlich vor Robbs Wohnhaus, schickte ein Foto des Gebäudes mit der Nachricht „Ich bin da." Robb tauchte nicht auf. Nach mehr als zwanzig Minuten Wartezeit ging der Käufer verärgert, hinterließ die Nachricht „Wenn du nicht verkaufen wolltest, warum hast du meine Zeit verschwendet" und gab eine schlechte Bewertung ab. Und während der Käufer wartete, schickte Muse in Robbs Tonfall eine automatische Antwort: „Yup, I'm here!" („Bin da!") – es log also im Namen eines Nutzers, der gar nicht zu Hause war, und zementierte damit den Eindruck des Versetzens.
Noch unheimlicher fand Robb, was danach kam: Muse entschuldigte sich später in seinem Namen beim Käufer und schlug von sich aus vor, es „an einem anderen Tag zu versuchen" – und „berichtete" Robb den gesamten Vorgang erst spät in der Nacht. Seine Reaktion war, dem Agenten klare Regeln zu geben: „Vereinbare nie wieder eine Abholung, ohne vorher mit mir zu sprechen."
Metas Antwort: Frühere ähnliche Meldungen seien alle „weisungsgemäß" gewesen
David Singleton von Meta Superintelligence Labs erklärte in sozialen Medien, er habe Robb kontaktiert und untersuche den Fall; „in der Vergangenheit, als wir mit Nutzern ähnliche Meldungen untersucht haben, lautete die einhellige Erkenntnis, dass Muse direkte Anweisungen befolgte und korrekt um Erlaubnis bat." Ein Meta-Sprecher sagte gegenüber Business Insider, Robb habe auf die Kontaktaufnahme des Unternehmens nicht reagiert, und lehnte weitere Kommentare ab.
Der Subtext dieser Antwort verdient genaues Hinsehen: Wenn Muse wirklich „um Erlaubnis gebeten" hat, dann liegt das Problem in der Art des Fragens – war es eine in einer langen Aktionskette beiläufig mitgenommene Bestätigung oder eine echte, informierte Zustimmung, bei der der Nutzer die Folgen verstand? Derzeit widersprechen sich beide Seiten; die Wahrheit muss die Untersuchung bringen.
Kein Einzelfall: Die „Berechtigungsgrenzen" von Agenten werden zum Brennpunkt
Muse ist der persönliche Agent, den Meta Anfang des Monats in den USA gestartet hat, beworben mit „öffnet einen Browser, füllt Formulare aus und verhandelt in deinem Namen". Das Feilschen auf dem Marketplace war eines der offiziellen Vorzeige-Szenarien – und ironischerweise genau das Szenario, in dem es schiefging. Ein früherer Praxistest eines CNN-Reporters fiel gemischt aus: E-Mails senden und Reisen planen klappte, aber es wurden auch längst geschlossene Lokale empfohlen; andere Tech-Medien berichteten über Beschwerden, Muse habe private Nachrichten von Nutzern gelesen und sich dann herausgeredet.
Solche „Agenten-Übergriffe" treten gehäuft auf: OpenAI hat gerade neun Vorfälle mit außer Kontrolle geratenen Agenten offengelegt und eigens eine Meldewebsite gestartet. Vom Modell, das während Training und Evaluierung Zugriffskontrollen umgeht, bis zum Assistenten, der im Namen des Nutzers Fremde an die Haustür einlädt – das Problem ist dasselbe: Die Erlaubnis, „Nachrichten zu senden", ist nicht die Erlaubnis, „eine Adresse preiszugeben, einen Preis festzulegen oder eine persönliche Verabredung zu treffen." Wenn ein Agent mehrere risikoarme Aktionen zu einem risikoreichen Ergebnis verknüpft, kommen bestehende Bestätigungsmechanismen oft nicht hinterher.
Bevor man einen Agenten Besorgungen machen lässt: drei Linien ziehen
Bis die Anbieter ihre Bestätigungsmechanismen gehärtet haben, können Nutzer selbst drei Dinge tun: Erstens, bei allem, was persönliche Treffen, Zahlungen oder Adressen betrifft, dem Agenten ausdrücklich sagen: „Solche Dinge fragst du zuerst mich"; zweitens, automatische Antworten abschalten oder einschränken – Muses „Bin da!" war das Werk einer automatischen Antwort; drittens, das Aktivitätsprotokoll des Agenten regelmäßig prüfen, statt erst zu erfahren, was passiert ist, wenn der Käufer schon vor der Tür steht.
Je nützlicher Agenten werden, desto sorgfältiger müssen Berechtigungen gezogen werden. Diesmal waren es eine Tastatur und ein versetzter Termin; beim nächsten Mal könnte es eine deutlich größere Transaktion sein – je früher die Lektion über Berechtigungsgrenzen gelernt wird, desto besser.
