secure-agent-design は何をしますか？
MetaがMuse向けに開示したセキュリティアーキテクチャ（2026年9月）から抽出：各エージェントは自身の安全なVM内で動作し、別個の「センチネル」システムがVMを離れる前にすべてのアクションをチェックし、エージェントは実際のパスワードやカード番号を決して見ることがありません。セキュリティを約束ではなくアーキテクチャとして提示することで、採用が促進されました。
パターン
ユーザーごとの分離コンピューティング
各ユーザーのエージェントは、そのユーザー専用の仮想マシン（分離されたコンピュータ）で実行されます。1つのエージェントが侵害されても、他のユーザーのデータには到達できません。VMはユーザーが不在の間もバックグラウンドで動作し続けます。
センチネル：アクション前の検証
別個のシステムが、すべてのアクションをVMから送り出す前にチェックします。エージェントが提案し、センチネルがポリシー（許可されたアプリ、支出制限、機密性ルール）に照らして検証し、実行します。副作用のあるアクションはこのゲートを通過できません。
資格情報の分離
エージェントは実際のパスワードやカード番号を決して見ません。購入はトランザクションごとに発行される単回使用の仮想カード番号を通じて行われ、実際の支払い資格情報がエージェントのコンテキストに入ることはなく、プロンプト、ログ、モデル出力を介して漏洩することはありません。
人間による承認ゲート
エージェントは機密性の高いアクション（メール送信、金銭支出、データ削除）の前に許可を求めます。承認は具体的（このアクション、この金額、この受信者）であるべきで、包括的であってはなりません。日常的な低リスクアクションは、ユーザーがオプトインすれば自律的に実行できます。
最小権限コネクタ
ユーザーはエージェントが触れるものを正確に決定します：どのアプリが接続されているか、アクセスが読み取り専用か読み取り/書き込みか、いつでも取り消し可能です。デフォルトはジョブを完了するための最も狭いスコープとし、明示的な要求があった場合にのみ拡大します。
透明性
ユーザーはエージェントが行ったすべてのことを確認できます：完全で人間が読めるアクションログ。「忘れる」コントロールを含め、ユーザーがエージェントに学習された情報を削除できるようにします。
伝え方
形容詞（「銀行級」「軍事級」）ではなく、アーキテクチャ（「自身の安全なVM内で実行され、すべてのアクションがVMを離れる前にチェックされる」）でリードします。コンポーネント（VM、センチネル、単回使用カード）に名前を付け、技術ユーザーが主張を検証できるようにします。トレードオフを正直に認めましょう：より広いアクセスはより高いリスクを意味し、まさにそのためにこのアーキテクチャが存在します。