앱을 닫아도 일하는 Meta Muse, 무엇을 맡기기 전에 봐야 할까?

먼저 질문: AI에게 일을 맡긴다는 건 어디까지일까?

지금까지 챗봇에게 여행 계획을 부탁하면 대개 일정표나 예약 후보를 받았습니다. 마지막에는 사람이 브라우저를 열고, 날짜를 다시 확인하고, 양식을 채우고, 결제 버튼을 눌렀습니다.

Meta가 2026년 9월 8일 발표한 Muse는 이 마지막 구간까지 들어가려는 개인용 AI 에이전트입니다.[1] 여기서 에이전트(agent)는 질문에 답하는 데서 멈추지 않고, 목표를 여러 단계의 일로 나눈 뒤 연결된 도구를 사용해 다음 행동까지 진행하는 AI를 뜻합니다.

그렇다면 질문도 달라집니다.

“무엇을 물어볼까?”보다 “내 이메일·일정·웹 활동·구매 권한 중 어디까지 맡길까?”가 먼저 아닐까?

이 글은 Muse가 무엇을 할 수 있다고 소개됐는지보다, 그 행동이 어디에서 실행되고 어떤 권한과 데이터를 필요로 하는지를 중심으로 봅니다. 기능 설명은 Meta의 공식 자료를 기준으로 확인했고, 실제 성공률과 한국 이용 가능 여부처럼 공개 근거가 없는 부분은 따로 남겨둡니다.

배경: 답을 만드는 AI에서 상태를 바꾸는 AI로

답변형 AI는 초안과 선택지를 만듭니다. 반면 행동형 AI는 이메일을 보내고, 일정에 약속을 넣고, 웹 양식을 제출하고, 주문을 결제해 현실의 상태를 바꿉니다. Meta는 Muse가 브라우저를 열고 양식을 작성하며, 여행을 예약하고 이메일을 보내고 구매까지 진행하도록 설계됐다고 설명합니다.[1][3]

이 차이는 작지 않습니다. 잘못된 여행 추천은 고쳐 물을 수 있지만, 잘못 보낸 이메일이나 결제는 되돌리기 어렵습니다. AI가 더 많은 일을 대신할수록 답변 품질뿐 아니라 접근 범위, 실행 전 승인, 실행 뒤 기록이 함께 중요해집니다.

Meta가 “앱을 닫은 뒤에도 일한다”고 표현한 배경도 여기에 있습니다.[1] Muse는 휴대전화 화면을 계속 켜 두는 방식이 아니라, 사용자별 클라우드 가상 컴퓨터에서 장기 작업을 이어가도록 설계됐습니다.[1][2] 가상 컴퓨터(VM)는 눈앞의 물리적 기기 대신 클라우드 안에 마련된 별도 컴퓨터 환경이라고 이해하면 됩니다.

한 문장으로 답하면

Muse는 대화 상대라기보다, 사용자가 허용한 서비스와 웹에 들어가 목표를 계속 진행하는 작업자에 가깝습니다. 그래서 성능만큼 “무엇을 읽고, 무엇을 바꾸고, 언제 다시 묻는가”를 먼저 확인해야 합니다.

작동 방식: 목표가 백그라운드 작업이 되기까지

1. 목표를 말하면 계획과 진행표를 만듭니다

Meta의 설명에 따르면 사용자는 Muse 앱이나 웹 화면에서 대화하듯 목표를 전달할 수 있고, Muse는 목표를 행동 계획으로 나눠 진행합니다.[1] 목표와 계획은 Goals 화면에서 추적할 수 있으며, 작업 결과가 새롭거나 사용자의 입력이 필요하다고 판단될 때 알림을 보내도록 설계됐습니다.[3]

예를 들어 “다음 달 가족여행을 준비해 줘”라는 목표는 날짜와 조건 확인, 후보 검색, 일정 비교, 양식 작성, 예약 전 확인처럼 여러 단계로 나뉠 수 있습니다. 이 예시는 작동 원리를 설명하기 위한 해석이며, 모든 요청이 같은 순서나 품질로 처리된다는 뜻은 아닙니다.

2. 실제 작업은 사용자별 클라우드 컴퓨터에서 이어집니다

Muse의 iOS·Android 앱과 웹 화면은 요청과 상태를 주고받는 창이고, 실제 실행 환경은 사용자별 Muse Secure VM입니다.[2] Meta는 이 VM에 브라우저, 파일 시스템, 터미널, 저장 공간과 연산 자원이 있어 Muse가 웹을 탐색하고 코드를 실행하며 여러 작업을 병행할 수 있다고 설명합니다.[2][3]

따라서 “앱을 닫아도 일한다”는 말은 Muse가 휴대전화 안의 모든 앱을 몰래 누른다는 뜻이 아닙니다. 공식 구조상 휴대전화·웹 클라이언트는 전용 VM에 연결되고, VM의 브라우저와 연결 서비스가 작업을 이어갑니다.[1][2]

3. 웹과 연결 서비스가 손발이 됩니다

Muse는 자체 브라우저로 사이트를 검색하고 이동하며 양식을 채우거나 거래를 진행할 수 있다고 Meta는 밝힙니다.[1][3] 이메일이나 캘린더처럼 별도 서비스와 연결할 때는 커넥터(Connector), 즉 Muse가 그 서비스의 정보를 읽거나 정해진 행동을 하도록 잇는 연결 기능을 사용합니다.[2][4]

중요한 경계가 하나 있습니다. 기능 목록은 “가능하도록 설계됐다”는 회사 설명이지, 낯선 사이트와 복잡한 요청에서도 일정한 성공률을 보장하는 시험 결과가 아닙니다. 공식 발표에 등장하는 “더 나은 결과”나 시간 절약 사례도 Meta가 제시한 제품 주장과 사례로 읽어야 하며, 공개 자료만으로 일반적인 효과를 확인할 수는 없습니다.[1]

4. 보이지 않는 작업을 기록으로 보여줍니다

Meta의 제품 설계 페이지는 아바타 아래의 상태 표시, 시간순 활동 기록, 승인한 권한, 예정된 작업과 직접 읽고 고칠 수 있는 메모리 파일을 소개합니다.[3] 도움말도 활동 기록에서 Muse가 한 행동과 사용자가 부여한 권한을 확인할 수 있다고 안내합니다.[6]

이 기록은 편의를 위한 부가 화면이 아니라 감독의 출발점입니다. 다만 활동 기록이 있다고 해서 모든 판단이 옳아지는 것은 아닙니다. 사용자는 “완료” 표시만 볼 것이 아니라 실제 수신자, 일정, 금액, 제출 결과가 의도와 맞는지 따로 확인해야 합니다.

권한과 승인: “항상 묻는다”가 자동 기본값은 아닙니다

읽기와 쓰기를 먼저 나눕니다

Meta 도움말은 읽기 권한을 일정이나 이메일을 보는 행동, 쓰기 권한을 메시지 전송이나 구매처럼 정보를 바꾸는 행동으로 구분합니다.[6] 개인정보처리방침도 많은 커넥터를 정보 조회만 가능하게 설정하고, 일정 초대 전송 같은 행동은 막을 수 있다고 설명합니다.[4]

처음 연결할 때는 읽기와 쓰기를 한 묶음으로 생각하지 않는 편이 좋습니다. “회의 충돌을 찾아줘”에 필요한 권한과 “빈 시간에 회의를 잡아줘”에 필요한 권한은 다릅니다. 전자는 읽기부터 시험할 수 있지만, 후자는 다른 사람의 일정까지 바꾸는 행동입니다.

승인 요청은 사용자 설정과 행동의 위험도에 따라 달라집니다

Meta의 발표 자료는 이메일 전송이나 구매 같은 민감한 행동 전에 Muse가 사용자에게 확인한다고 설명합니다.[1] 더 자세한 기술·도움말 문서를 보면 실제 승인 흐름은 사용자가 정한 정책과 행동의 성격에 따라 달라집니다.[2][6]

Ask for some actions를 선택하면 모든 쓰기 행동과 중요한 읽기 행동 전에 묻고, Always ask를 선택하면 어떤 행동이든 먼저 묻도록 안내돼 있습니다.[6] 웹 접근도 같은 두 수준을 제공하며, 일부만 묻는 설정에서는 사용자 정보가 공유될 수 있거나 낯선 사이트를 방문할 때 승인을 요청합니다.[6]

승인 범위에는 한 번만 허용, 이 작업 동안 허용, 이 사이트에서 허용, 해당 커넥터에 항상 허용, 거부가 포함될 수 있습니다.[6] Meta의 보안 설명에 따르면 읽기 전용, 이전에 허용한 행동, 좁게 정한 자동 허용 정책에 맞는 낮은 위험 행동은 매번 사용자를 방해하지 않고 진행될 수 있습니다.[2]

따라서 “구매 전에는 언제나 같은 승인창이 뜬다”고 단정하면 안 됩니다. 허용 범위를 넓게 저장할수록 반복 확인은 줄지만, 예상하지 못한 행동이 그대로 실행될 여지도 커집니다. 특히 이메일 전송·예약 확정·결제처럼 되돌리기 어려운 행동은 Always ask 또는 한 번만 허용부터 시작하는 편이 안전합니다.

Sentinel과 사람의 승인은 서로 다른 문입니다

Meta는 Muse와 분리된 Sentinel이 외부 서비스 연결과 인터넷 통신을 허용할지 결정하는 유일한 권한 기관이라고 설명합니다.[2] Muse가 행동을 제안하면 Sentinel은 사용자가 정한 커넥터 정책과 요청의 대상·범위·맥락을 보고 허용, 거부, 사용자에게 질문 가운데 하나를 선택합니다.[2]

Sentinel이 ask를 선택하면 작업이 멈추고, 대화창이 아닌 별도의 승인 화면에서 정확한 행동을 보여준 뒤 사용자의 선택을 직접 받도록 설계됐습니다.[2] 여기서 사람의 승인은 Sentinel이 질문하기로 한 경우에 열리는 마지막 문입니다. 모든 행동을 사람이 매번 승인하는 구조와는 다릅니다.

데이터: 편리함을 만드는 재료가 무엇인지 봐야 합니다

Muse가 개인의 맥락을 오래 기억하고 대신 행동하려면 단순한 질문 한 줄보다 더 넓은 정보가 필요합니다. Meta의 개인정보처리방침은 다음 범주의 정보가 처리될 수 있다고 밝힙니다.[4]

• Muse와 주고받은 메시지·지시·응답, 음성, 사진과 함께 만든 결과물[4]
• 업로드하거나 생성한 파일, 선호, 목표, 기억, 예약 작업과 MEMORY.md 같은 시스템 파일[4]
• 연결 서비스에서 가져오거나 받은 이메일과 일정 정보[4]
• 사용한 기능, 방문한 웹사이트, 수행한 행동과 거래, 시간·빈도 및 관련 메타데이터[4]

이 목록은 “Muse가 항상 모든 데이터를 한꺼번에 수집한다”는 뜻은 아닙니다. 실제 범위는 사용자가 무엇을 말하고, 어떤 파일을 넣고, 어느 커넥터를 연결하고, 어떤 작업을 맡기는지에 따라 달라진다고 정책은 설명합니다.[4]

모델 개선 설정은 처음에 켜져 있습니다

Meta는 Muse 상호작용을 자사 AI 모델의 학습·개선에 사용할지 사용자가 정할 수 있지만, 이 설정은 Muse를 처음 사용할 때 켜져 있다고 밝힙니다.[4] 원하지 않으면 Settings의 Data controls에서 직접 꺼야 하며, 끄면 이전 상호작용을 포함해 Muse 상호작용이 Meta AI의 개발·개선에 사용되지 않는다고 안내합니다.[4]

설정을 켠 경우 Meta는 이름·이메일 주소·전화번호·사회보장번호 같은 일부 개인식별정보 범주를 제거하고 상호작용을 계정과 분리한다고 설명합니다.[4] 이는 Meta가 정책으로 밝힌 처리 방식이며, 이 글이 별도로 기술 구현을 검증한 결과는 아닙니다.

다른 Meta 계정과 묶을지도 선택 사항입니다

Muse를 Facebook·Instagram 등과 같은 Accounts Center에 넣으면, 개인정보처리방침이 별도로 제한한 경우를 제외하고 해당 센터의 프로필과 기기 사이에서 정보가 결합·사용될 수 있습니다.[4] 기존 계정과 연결되지 않은 이메일로 Muse를 별도 가입할 수 있고, 계정을 분리하면 Muse 상호작용과 VM 데이터가 다른 Meta 제품과 공유되지 않는다고 Meta는 설명합니다.[4]

한편 Meta는 Accounts Center 연결 여부와 관계없이 Muse 대화와 VM 데이터를 Meta 광고 시스템에 공유하지 않는다고 정책에 명시합니다.[4] 이 역시 2026년 9월 11일에 확인한 공개 정책의 내용입니다.

연결 해제와 과거 데이터 삭제는 같은 일이 아닙니다

커넥터를 끊으면 이후 Muse와 해당 서비스 사이의 정보 교환은 멈추지만, 이미 작업에 사용한 데이터는 Muse의 기억이나 대화 기록에 남을 수 있습니다.[4] Meta는 특정 주제를 잊게 하는 기능, 개별 메시지·파일 삭제, 모든 Muse 데이터를 지우는 초기화 선택지를 안내합니다.[4][6]

그러므로 “연결 해제”를 “관련 기록이 모두 사라짐”으로 받아들이지 않는 편이 좋습니다. 민감한 프로젝트를 마친 뒤에는 커넥터뿐 아니라 대화, 파일, 기억, 예약 작업도 함께 확인해야 합니다.

보안과 한계: 여러 겹의 문이 있어도 감독은 남습니다

Meta가 설명한 안전 구조

Meta의 공식 보안 문서에 따르면 각 사용자의 Muse Secure VM은 다른 사용자의 에이전트가 접근하지 못하도록 격리되고, Muse가 실행되는 영역과 자격증명·안전 기능이 있는 영역도 시스템 수준에서 나뉩니다.[2] 비밀번호와 인증 토큰은 별도 저장소에 두고, Muse에는 실제 값 대신 대체 토큰을 보여준 뒤 허용된 네트워크 요청의 경계에서 실제 자격증명을 넣는 구조라고 설명합니다.[2]

Meta는 Sentinel이 커넥터 행동과 외부 통신을 검사하고, 기본 제공 커넥터의 민감한 실행 코드를 Muse의 작업 영역 밖에서 제한된 권한으로 처리한다고 밝힙니다.[2] 이메일 커넥터는 일회용 인증번호, 비밀번호 재설정 링크, 로그인 링크를 규칙과 분류 모델로 걸러내도록 설계됐다고도 설명합니다.[2]

이 항목들은 Meta가 공개한 설계 설명입니다. 이번에 확인한 1~7번 공식 자료에는 이 전체 구조를 독립 기관이 감사한 결과가 제시돼 있지 않아, “검증이 끝난 보안”으로 표현할 수는 없습니다.[2]

프롬프트 인젝션은 아직 열린 문제입니다

프롬프트 인젝션(prompt injection)은 AI가 읽는 웹페이지·이메일·문서 안에 공격자가 숨긴 지시를 넣어, 원래 사용자의 뜻과 다른 행동을 하게 만드는 공격입니다. Meta도 Muse 같은 에이전트가 읽는 데이터를 통해 공격받을 수 있고, 강한 모델이라도 실수한다고 명시합니다.[2]

VM 격리, 자격증명 분리, Sentinel은 한 번의 실수가 곧바로 큰 피해가 되지 않도록 범위를 줄이는 장치입니다. 하지만 Meta 도움말은 자동화 시스템이 완벽하지 않으며 Muse가 예상하지 못한 행동을 할 수 있으므로, 사용자가 활동을 검토하고 편안한 범위만 허용해야 한다고 안내합니다.[6]

되돌릴 수 없는 행동의 책임은 사라지지 않습니다

Meta 도움말은 웹 읽기나 가격 비교처럼 일부 행동은 중지하거나 되돌리도록 요청할 수 있지만, 이미 보낸 이메일 같은 행동은 사용자가 직접 보냈을 때와 마찬가지로 되돌릴 수 없다고 설명합니다.[6] 오류가 발생하면 제3자 서비스나 수신자와의 문제를 바로잡을 책임도 사용자에게 있다고 안내합니다.[6]

또 하나 구분할 점은 Confidential VM입니다. Meta조차 VM의 정보에 접근하지 못하게 설계한다는 이 환경은 현재 기본 Muse Secure VM의 기능이 아니라 향후 제공을 위해 설계 중인 선택지입니다.[4] 미래 계획을 현재 적용된 보호 장치로 읽어서는 안 됩니다.

이용 가능 범위와 가격: 지금 확인되는 것은 미국 기준입니다

Meta는 2026년 9월 8일 Muse를 발표하며 미국에서 iOS, Android, 웹으로 순차 출시한다고 밝혔습니다.[1] 약관상 이용자는 18세 이상이어야 하며, 거주 지역에서 더 높은 연령을 요구하면 그 기준이 적용됩니다.[5]

미국 도움말에 공개된 요금 구조는 다음과 같습니다.[7]

구분	공개된 내용	2026.09.11 확인 상태
무료	사용량 제한이 있으며, 소진 뒤 갱신을 기다리거나 유료 구독 가능[7]	정확한 무료 한도는 공개 도움말에서 확인되지 않음
Power	월 20달러, 주당 5억 Muse 토큰[7]	미국 달러 기준
Maximum	월 100달러, 주당 30억 Muse 토큰[7]	미국 달러 기준

토큰(token)은 AI가 글과 지시를 처리할 때 세는 작은 정보 단위입니다. 주당 토큰 수가 많다는 것은 처리 가능한 작업량이 더 크다는 뜻이지만, 실제 몇 개의 작업과 같은지는 요청의 길이와 복잡성에 따라 달라집니다.

Meta는 구독 혜택과 이용 가능 여부가 지역·계정에 따라 다를 수 있고, Muse와 구독이 제한된 시험 단계라 모든 지역에서 제공되는 것은 아니라고 안내합니다.[7] 2026년 9월 11일 KST 기준으로 확인한 공식 발표와 구독 도움말에는 한국 출시 일정과 한국 요금이 제시돼 있지 않습니다.[1][7] 따라서 한국에서의 출시 시점이나 환산 가격을 추정하지 않습니다.

독자 체크리스트: 연결하기 전에 10분만 확인하세요

1. 계정 경계를 먼저 정합니다

• 기존 Facebook·Instagram 계정과 같은 Accounts Center에 둘 이유가 분명한가?
• 업무나 민감한 개인 프로젝트라면 별도 이메일 가입이 더 적절한가?

같은 Accounts Center에 둘 때는 일부 정보가 프로필·기기 사이에서 결합될 수 있고, 별도 계정으로 분리하는 선택지도 있습니다.[4]

2. 데이터 설정을 첫날 확인합니다

• Data controls에서 모델 개선 사용 설정을 확인했는가?
• 원하지 않는다면 처음부터 껐는가?
• Muse가 기억하는 목표·사람·프로젝트를 정기적으로 볼 계획이 있는가?

모델 개선 설정은 처음 사용할 때 켜져 있고, 기억 파일은 사용자가 확인·수정할 수 있다고 Meta는 안내합니다.[3][4]

3. 커넥터는 읽기부터 연결합니다

• 캘린더를 읽는 것만으로 목적을 달성할 수 있는가?
• 이메일 전송, 일정 초대, 구매 권한은 나중에 따로 열 수 있는가?
• 연결하려는 서비스에 개인용과 업무용 정보가 섞여 있지 않은가?

Meta 도움말도 사용법을 익히는 동안 낮은 위험의 작업부터 시작하고, 커넥터별 권한을 정기적으로 검토하라고 권합니다.[6]

4. 되돌리기 어려운 행동은 매번 묻게 합니다

이메일 전송, 예약 확정, 결제, 외부 공개처럼 실행 뒤 회수가 어려운 행동에는 Always ask나 한 번만 허용을 우선 고려하세요. 승인 화면에서는 행동 이름만 보지 말고 대상, 수신자, 금액, 사이트, 사용 권한의 유효 범위를 함께 확인해야 합니다.

5. 작은 실제 작업으로 검증합니다

처음부터 중요한 구매나 고객 이메일을 맡기지 않습니다. 공개 정보 검색, 일정 충돌 찾기, 가격 비교처럼 실패 비용이 낮은 작업 하나를 골라 아래를 기록해 보세요.

1. 요청을 제대로 이해했는가?
2. 근거와 출처를 다시 확인할 수 있는가?
3. 예상한 순간에 승인을 요청했는가?
4. 활동 기록이 실제 외부 결과와 일치하는가?
5. 멈춤·수정·연결 해제가 이해하기 쉬운가?

이 점검은 Muse의 일반적인 성공률을 측정하는 시험이 아닙니다. 내 데이터와 내 작업에서 허용 범위를 넓혀도 되는지 판단하기 위한 작은 확인입니다.

결론: 맡길 일보다 먼저 경계를 설계해야 합니다

Muse에서 눈에 띄는 변화는 답변이 길어지는 것이 아닙니다. 사용자가 목표를 말하면 앱을 닫은 뒤에도 전용 클라우드 환경에서 웹과 연결 서비스를 사용해 다음 행동을 이어간다는 점입니다.[1][2]

그만큼 제품을 평가하는 기준도 “얼마나 똑똑한가?” 하나로는 부족합니다. 어떤 계정과 연결되는가, 어떤 데이터가 남는가, 읽기와 쓰기를 나눌 수 있는가, 승인 범위가 얼마나 오래 유지되는가, 잘못된 행동을 나중에 설명할 수 있는가를 함께 봐야 합니다.

현재 확인되는 안전한 출발점은 단순합니다. 계정과 데이터 설정을 먼저 정하고, 읽기 권한으로 작은 작업을 시험한 뒤, 이메일 전송·예약·결제처럼 되돌리기 어려운 행동은 매번 확인하도록 두는 것입니다. Meta가 설명한 보안 구조는 중요한 기반이지만, 독립 검증과 다양한 사용 환경의 실제 성능은 더 확인해야 합니다.