사용자마다 컴퓨터 한 대씩 공짜로, 메타가 개인 에이전트 Muse를 내놨습니다

마크 저커버그 CEO는 한국 시각 9일 새벽 4시 10분 X에 Muse를 목표를 이해하고 24시간 일하는 개인 에이전트라고 소개했습니다. 이어진 글에서는 개인 초지능을 모두에게 전하려고 만든 제품이라 주당 1억 토큰까지 무료로 쓰게 하고, 연산을 더 쓰는 사람을 위해 구독 요금제를 두었다고 적었습니다. 알렉산더 왕 최고 AI 책임자는 미국에서 앱스토어와 muse.ai로 먼저 시작하고 다른 나라는 곧 연다고 했습니다. 애플 앱스토어에 올라온 Muse from Meta의 연령 등급은 18세 이상이고, 유료 요금제는 월 20달러와 100달러 두 가지입니다.

사용자마다 클라우드 컴퓨터가 한 대씩 붙습니다

메타는 이 컴퓨터를 Muse Secure VM이라고 부릅니다. 브라우저와 저장 공간, CPU, 메모리를 갖춘 리눅스 가상 머신으로, 에이전트와 사용자의 데이터가 함께 이 안에 있습니다. Muse는 여기서 파일을 만들고 터미널로 코드를 돌리며, 일이 크면 서브에이전트 여러 개를 동시에 띄우고 정해 둔 시간마다 반복 작업을 돌립니다. 앱을 닫아도 일은 계속되고, 이메일을 보내거나 돈을 쓰기 직전처럼 승인이 필요할 때만 사용자를 부릅니다.

외부 서비스는 커넥터로 붙습니다. 지메일과 구글 캘린더, 아웃룩, 금융 계좌를 잇는 Plaid, 식당 예약 OpenTable, Spotify, Peloton 같은 커넥터를 메타가 서비스 회사와 함께 만들었고, 인스타그램(DM 포함)과 스레드, 페이스북(마켓플레이스 포함), 메신저 커넥터는 Muse에서만 쓸 수 있습니다. 커넥터가 없는 서비스도 API나 명령줄 도구가 있으면 Muse가 연동 코드를 직접 짜고, 그마저 없으면 브라우저를 열어 사람처럼 화면을 누르고 양식을 채웁니다.

YouTube 영상 · 누르면 재생

Muse 안에서 도는 모델은 메타가 9월 2일 공개한 Muse Spark 1.3입니다. 메타가 공개한 표에서 화면을 보고 컴퓨터를 다루는 OSWorld 2.0 점수는 max 설정 기준 66.9%로 1.2의 47.6%보다 19.3%포인트 높았고, 되돌리기 어려운 작업 앞에서는 사용자에게 먼저 확인받도록 훈련했다고 메타는 밝혔습니다.

무엇부터 시킬지 모르는 사용자

Muse의 시스템 프롬프트 첫 줄은 "당신의 목적은 사용자의 삶을 더 낫게 만드는 것"입니다. 메타의 설계 소개 글을 쓴 모나 사란타코스는 출시를 준비하던 주에 Muse에게 아이들 개학 준비를 맡겼습니다. Muse는 학교에서 쏟아지는 메일과 교육청 사이트를 지켜보며 가족 캘린더에 날짜를 옮겼고, 메일 속에 묻혀 12시간 뒤 마감되는 아들의 운동부 입단 테스트 신청을 찾아 그녀가 비행기에 오르기 직전에 알렸습니다. 남편이 신청서를 낸 것은 마감 4시간 전이었습니다.

대화 방식은 질문 하나에 답 하나를 주고받는 챗봇과 다르게 짰습니다. 사람과 메신저로 이야기하듯 하나의 긴 대화를 이어 가고, 답을 기다리지 않고 여러 일을 연달아 시킬 수 있습니다. 기억은 대화가 바뀌어도 남고, 사용자는 그 기억 파일을 직접 읽고 고칠 수 있습니다. 목표를 알려 두면 Muse가 계획을 세워 목표 탭에 진행 상황을 적고, 백그라운드 작업이 끝나면 알릴 만한 일인지 스스로 따져 필요할 때만 메시지를 보냅니다.

초기 테스트에서는 뜻밖의 문제가 나왔습니다. 할 수 있는 일이 너무 많아서 사람들이 무엇부터 시켜야 할지 몰랐습니다. 메타는 그래서 사용자의 목표와 대화에서 할 일을 뽑아 먼저 제안하는 아이디어 탭을 넣었습니다.

맥 스튜디오를 살 필요가 없는 개인 에이전트

개인 에이전트라는 제품군은 올해 1월 오픈소스 OpenClaw(당시 이름 Clawdbot)가 퍼지면서 알려졌습니다. 자기 컴퓨터나 월 5달러짜리 서버에 설치하고 메신저로 일을 시키는 방식이라, 에이전트를 집 안에 두려고 애플 맥 스튜디오를 사는 사람들이 나왔습니다. 저커버그는 출시 날 공개된 Sources 팟캐스트 인터뷰에서 그 방식을 이렇게 평했습니다.

맥 스튜디오를 사서 설정하고 집에서 돌릴 사람이 수십억 명이나 되지는 않을 겁니다.— 마크 저커버그, 메타 CEO

인터뷰를 진행한 기자 알렉스 히스는 며칠 동안 Muse를 써 본 뒤 기술을 모르는 보통 사람을 위한 OpenClaw라고 불렀습니다. 메타가 뉴스룸 제목에 붙인 이름은 모두를 위해 만든 세계 첫 개인 AI 에이전트이고, 저커버그가 인터뷰에서 밝힌 목표도 기술을 다루는 솜씨가 제각각인 가족 누구에게나 건넬 수 있는 에이전트였습니다.

컴퓨터를 한 대씩 붙이는 방식은 메타가 처음도 아닙니다. SpaceXAI는 8월 봇마다 전용 리눅스 컴퓨터를 붙인 Grok Bot을 팀용 월 200달러 요금제에 묶어 냈고, 스타트업 Instinct는 비공개 베타 상태로 8월 말 25억 달러 가치에 3억 5,000만 달러를 투자받았습니다.

에이전트는 비밀번호를 보지 못합니다

컴퓨터를 메타가 대신 돌리면 보안도 메타가 떠안습니다. 메타는 출시와 함께 20분 분량의 보안 설명 글을 냈습니다. 글쓴이인 메타 초지능 랩(MSL)의 타렉 셰아샤 부사장은 올해 초부터 직원들이 Muse를 써 왔다며, 받은편지함과 캘린더와 셸을 소프트웨어에 넘기고 혼자 돌게 둔 것은 처음이었고 늘 계획대로 되지는 않았다고 적었습니다. 메타가 코드 안에서 Muse를 부르는 이름은 Hatch입니다.

글은 개발자 사이먼 윌리슨이 2025년 6월 이름 붙인 '치명적 삼박자'에서 출발합니다. 에이전트가 개인 데이터를 읽을 수 있고, 공격자가 심어 둔 글을 읽게 되고, 밖으로 정보를 보낼 수 있으면 공격자가 에이전트를 속여 데이터를 빼 갈 수 있다는 조건입니다. Muse는 설계상 세 가지를 모두 갖춘 에이전트라서, 메타는 에이전트가 이미 공격받고 있다고 가정하고 피해 범위를 줄이는 쪽으로 시스템을 짰다고 밝혔습니다.

가상 머신 한 대 안에는 보안 구역이 둘 있습니다. 에이전트 하네스와 사용자 파일, Muse가 실행하는 도구는 격리된 런타임 셀 안에서 돌고, 셀 안의 관리자 권한은 바깥 호스트에서 권한 없는 사용자로 연결됩니다. 셀 바깥에는 요청과 응답을 검사하는 안전성 분류기, 자격증명 저장소, 그리고 Sentinel이라는 별도 에이전트가 있습니다. Muse는 행동을 제안할 뿐이고, 커넥터로 외부 서비스에 무언가를 하거나 네트워크 밖으로 요청을 내보내는 것은 전부 Sentinel이 허가합니다.

비밀번호와 API 키는 에이전트에게 가지 않습니다. Muse가 받는 것은 대리 토큰뿐이고, 요청이 허가되면 Sentinel이 네트워크 경계에서 대리 토큰을 실제 자격증명으로 바꿔 끼웁니다. 프롬프트 인젝션(웹페이지나 메일에 숨긴 지시로 에이전트를 조종하는 공격)으로 에이전트를 속여도 에이전트가 모르는 비밀번호는 털어놓을 수 없습니다. 이메일 커넥터는 일회용 인증번호와 비밀번호 재설정 링크, 로그인 링크를 규칙과 분류기로 걸러 내서, 받은편지함을 거쳐 다른 사이트 계정까지 넘보는 길을 막습니다.

승인 창은 Muse와의 대화창 밖, 앱 화면에 따로 뜨고 사용자의 답도 Sentinel에게 곧바로 갑니다. 에이전트가 대화 속에서 승인을 받아 낸 것처럼 꾸밀 수 없게 한 설계입니다. 승인은 한 번만, 이번 세션만, 이번 작업만, 정한 시간 동안, 앞으로 계속 중에서 고르고, 읽기만 하는 작업이나 이미 허락한 작업은 묻지 않고 진행합니다. 메타는 인젝션 방어를 모델 훈련, 외부 데이터에 신뢰 불가 표시, 모델과 따로 훈련한 탐지 분류기 묶음, 사람의 승인으로 겹겹이 쌓았다고 설명했습니다.

묻는 횟수도 설계 대상이었습니다. 설계 글은 사람들이 창을 치우려고 모든 승인을 눌러 버리는 배너 무시를 피하려고, 기본값을 평범한 웹 탐색은 그대로 두고 되돌리기 어려운 일에서만 멈추게 했다고 적었습니다. 보안 글에는 그 기준을 가르는 장치가 나옵니다. 도구를 실행하는 프로세스는 깨끗한 상태로 시작했다가 사용자 데이터를 읽는 순간 오염 표시가 붙고, 오염되지 않은 요청만 좁게 정한 자동 허용 규칙으로 지나갑니다. 사용자 데이터를 읽은 뒤 밖으로 나가는 요청은 다시 사람의 승인을 거칩니다.

그리고 이 구조를 깨 보라고 돈을 걸었습니다. 출시일부터 누구나 참여할 수 있게 연 버그 바운티는 유효한 보고에 최대 30만 달러, 사용자 한 명에게 통하는 프롬프트 인젝션에 최대 13만 달러를 줍니다. 출시 전에 Muse를 써 본 투자사 패러다임의 공동창업자 맷 황은 권한 관리와 비밀 보관을 제대로 해냈다고 평했습니다.

결제는 한 번 쓰고 버리는 카드로

메타 설명으로 쇼핑은 사람들이 브라우저로 가장 많이 시키는 일 가운데 하나입니다. 카드가 이미 등록된 사이트에서는 브라우저가 결제 페이지를 알아보고 매번 구매 내용이 정확히 적힌 승인 창을 띄웁니다. 처음 가는 사이트에서는 Muse 안의 지갑이 결제하는데, 출시 파트너는 Stripe의 Link입니다.

Link로 결제할 때는 일회용 카드번호가 나와 상점에 넘어가고, 실제 카드번호는 상점도 Muse도 받지 못합니다. 일회용 번호는 정해진 가맹점에서 정해진 금액까지, 정해진 기간에만 쓸 수 있어서 인젝션으로 빼돌려도 쓸모가 거의 없습니다. 메타는 Muse가 Link의 구매 보호를 받는 첫 AI 에이전트라고 밝혔고, 왕은 Muse가 실수로 잘못 사도 환불 보장이 적용된다고 덧붙였습니다. Shopify의 Shop Pay와 비밀번호 관리 앱 1Password 연동도 곧 붙습니다.

주당 1억 토큰을 무료로 푸는 계산

무료 구간은 작지 않습니다. 메타가 개발자에게 파는 Meta Model API 정가로 치면 1억 토큰은 모두 캐시된 입력일 때 15달러, 모두 새 입력일 때 125달러어치입니다. 한 달이면 네 주 남짓이니, 캐시 입력으로만 쳐도 월 60달러어치를 무료로 주는 계산입니다.

쓰는 양도 예상보다 컸습니다. 출시 8시간 뒤 왕은 초기 사용량이 예측을 훌쩍 넘었고 지금 사용자들이 시험 집단보다 10배 많이 쓰고 있다고 적었습니다. 그 연산 비용은 메타가 치릅니다. 메타의 2분기 매출은 608억 달러로 1년 전보다 28% 늘었지만 비용이 55% 늘어 영업이익은 8% 줄었고, 영업이익률은 43%에서 31%로 내려갔습니다. 올해 설비투자 전망은 1,300억~1,450억 달러입니다.

저커버그가 인터뷰에서 밝힌 회수 방식은 거래입니다. Muse가 사람들이 돈을 벌고 아끼게 도와줄 것이라 믿고, 장기적으로는 Muse를 거쳐 일어난 거래에서 아주 작은 수수료를 받겠다고 했습니다. 그 돈을 꼭 사용자가 내는 것도 아니고 사용자가 거래하는 사업자 쪽에서 나올 것이라는 설명입니다. 히스는 같은 시장을 노리는 Instinct나 Town 같은 스타트업에는 이런 사용량을 떠받칠 본업이 없다고 짚었습니다.

8월 10일 저커버그는 기본 버전은 수십억 명에게 무료로 주고 더 쓰는 연산은 동적 경매로 팔겠다고 편지에 적었습니다. Muse는 그 무료 버전을 처음 제품으로 낸 것이고, 더 쓰는 사람에게는 경매 대신 고정 요금제를 붙였습니다. 8월 보도에서 내부 문서에 있다던 월 199.99달러 요금제는 나오지 않았고, 실제 최고 요금제는 100달러입니다.

메신저 대화 목록과 마켓플레이스

배포에서는 메타만 가진 조건이 있습니다. WhatsApp은 사업자용 API 약관으로 범용 AI 비서가 이 API를 주된 기능으로 쓰는 것을 막고 있고(유럽경제지역과 브라질 이용자는 예외), 이 조항이 시행된 1월 15일부터 ChatGPT 같은 범용 챗봇이 WhatsApp에서 빠졌습니다. Muse는 메타의 제품이라 30억 명 넘게 쓰는 WhatsApp 대화 목록 안에서 바로 쓸 수 있습니다. 메타 앱을 매일 쓰는 사람은 6월 평균 36억 명입니다.

인스타그램과 페이스북 커넥터가 Muse 전용이라는 점도 같은 방향입니다. X 사용자 @signulll은 인스타그램의 친구 관계와 메일에서 쌓이는 맥락, 페이스북 마켓플레이스를 Muse의 재료로 꼽았습니다. 에이전트가 물건을 찾아 값을 흥정하고 직거래 약속까지 잡아 주는 동안 평범한 사람 수백만 명이 Muse를 처음 만날 수 있다는 겁니다.

메타도 못 여는 컴퓨터는 올해 안에 나옵니다

메타는 사용자의 데이터가 서로 섞이지 않게 가상 머신을 나눴고, 외부 서비스의 로그인 토큰도 메타 중앙 서버에 모으지 않고 사용자의 가상 머신 안에 둡니다. 다만 보안 글은 지금 구조의 한계도 적었습니다. 메타 직원의 접근은 운영 정책으로 제한할 뿐이고, 서비스를 지원하거나 보호하거나 운영하는 데 필요할 때 메타가 데이터에 접근하는 것까지 막지는 못한다는 대목입니다.

그래서 메타가 올해 안에 내놓겠다는 것이 Muse Confidential VM입니다. 대화와 데이터를 포함한 가상 머신 전체를 사용자만 가진 키로 암호화해 메타도 열 수 없게 하는 방식이고, 지금은 소수의 시험 사용자가 쓰고 있습니다. 메타는 설계와 소스 코드를 외부 감사인에게 넘겼고, 출시 뒤에는 누구나 볼 수 있는 상시 감사를 붙이겠다고 했습니다. 저커버그는 인터뷰에서 메신저 Signal을 만든 목시 말린스파이크를 직접 영입해 이 작업을 맡겼다고 밝혔습니다. 8월 편지에서 날짜 없이 약속한 완전 비공개 모드가 이 제품입니다.

데이터 쓰임에도 조건이 붙어 있습니다. 대화와 가상 머신 안의 데이터는 메타 광고 시스템에 공유되지 않지만, Muse가 브라우저로 쇼핑몰에 들어가면 사용자 본인의 방문으로 기록됩니다. 셔츠를 사러 들른 의류 브랜드가 그 방문을 근거로 인스타그램에서 광고를 보여 줄 수 있다고 메타는 예를 들었습니다. 대화와 도구 호출 기록은 주요 개인 식별 정보를 지운 뒤 모델 학습에 쓰는 것이 기본값이고, 설정의 스위치 하나로 끌 수 있습니다.

보안 글의 결론도 방어를 장담하지 않습니다. 메타는 Muse가 공격에서 자유롭지 않고 프롬프트 인젝션은 업계 전체가 아직 풀지 못한 문제이며, Muse도 때때로 실수할 것이라고 적었습니다. 성공한 인젝션 공격에 바운티를 주는 이유로는 이런 보안 관행이 Muse의 실제 행동을 가장 빨리 고치는 길이라는 점을 들었습니다.

한국에서는 아직 쓸 수 없습니다

Muse는 지금 미국에서 iOS와 안드로이드, 웹, WhatsApp으로만 제공되고, 메타는 AI 안경에도 곧 넣겠다고 했습니다. 다른 나라 출시는 곧이라는 말만 있고 날짜는 없습니다. 한국 이용자가 지금 쓸 수 있는 메타의 AI는 5월 국내에 정식 출시된 Meta AI입니다. 저커버그는 인터뷰에서 자신은 바로 답이 필요한 질문에는 Meta AI를, 오래 맡겨 둘 일에는 Muse를 쓴다고 했습니다.

메타는 올해 안에 Confidential VM을 내놓고, Shop Pay와 1Password 연동도 곧 붙이겠다고 했습니다. 버그 바운티에서 첫 인젝션 사례가 공개되거나 미국 밖 출시 일정이 나오면 다시 전하겠습니다.

읽어 주셔서 고맙습니다.

초이 드림