我让缪斯（Muse）将它能看到的文件归档并发送到我的谷歌云端硬盘（Google Drive），它照做了。下载的文件压缩后约 2.7 GB，解压后 6.8 GB。其内容似乎包含分配给我的会话的 Linux 环境根文件系统，涵盖乌班图（Ubuntu）系统文件、Muse 内部文档、集成代码、应用模板、记忆文件等。
正文
导出内容
我让 Muse 把能看到的文件归档并发到我的 Google Drive，它照做了。
下载文件压缩后约 2.7 GB，解压 6.8 GB。看似包含分配给我的会话的 Linux 环境根文件系统，含 Ubuntu 系统文件、Muse 内部文档、集成代码、应用模板、记忆文件和代理日志，还有 SSH 密钥文件。
我报告的内容
我通过 Meta 漏洞赏金计划提交发现并联系了几名员工。我不会发布归档、密钥或会话日志。这是对我发现和据此确认内容的梳理。
我报告的问题是：内部运行时文件和敏感材料可能通过普通对话和已连接的导出目标离开该环境。我尚未确认 SSH 密钥是否活跃或能提供什么权限。
运行时及其手册
大多数有趣文件在 /home/hatch、/opt/hatch 和 /opt/hatch-image 下。Hatch 是 Meta 内部对 Muse 的称呼，也是运行时文件随处可见的名字。
agents/ 目录包含 113 个子代理记录，带 JSONL 追踪。代理主目录含 SOUL.md、IDENTITY.md、USER.md、MEMORY.md、AGENTS.md 和 TOOLS.md，旁边是文档、记忆、工作区项目、频道、钩子和订阅目录。
文档对理解系统异常有用。约 20 个 Markdown 文件描述浏览器使用、连接器、支付、凭据、数据处理、生成文件、语音、目标和调度，还有针对 WhatsApp、配对 Mac、Tailscale 和名为 Home Link 设备集成的单独指南。
技能与集成
在 /opt/hatch/skills/ 下，我数了约 68 个技能目录，通常配一个 SKILL.md 指令文件和一个命令行工具或支持代码，涵盖 Google Workspace、Meta 社交应用、Outlook、旅行、购物、健康服务、家庭设备和媒体生成。
两个配置文件 skill-scopes.conf 和 bin-scopes.conf 暗示了 Meta 管线中未发布的连接器，包括 Slack、Dropbox、Polymarket、Canva、Klaviyo 等名字，以及一个 internal-facebook-cLI。
容器设置
容器设置也包含在内。/opt/hatch/runtime-cell/ 含 18 个文件，包括构建根文件系统、用 systemd-nspawn 启动、运行启动钩子和守护进程的脚本。单独的 runtime-cell.kdl 清单描述镜像中的包和 systemd 单元。
这些文件让我相当清楚看到的 Linux 环境如何组装，但不足以审计整个服务或证明环境外的基础设施。
空间与文件构建器
我找到的最大代码项目是 Spaces 框架，Muse 用它构建和服务应用。其 TypeScript 启动器含 React 客户端、服务器操作、Drizzle SQLite 模式、SQL 迁移和 Bun 配置，还有较小静态模板及 worker、sdk、cloudflare、cvm 目录中的运行时代码。
导出还含文档、PDF、演示文稿、电子表格和 Markdown 的构建器。一个 magic-moment 技能有编写卡片和视频的代码，带浏览器捕获脚本、字体和品牌资源。还有大量图标！
镜像中的 Codex
Codex CLI 装在 /opt/hatch-image/bin/codex，版本 0.149.0。我没发现 Muse 把它用作编码代理的证据。
Hatch 确实用了它捆绑的 bubblewrap（Linux 沙箱工具），二进制在 codex-resources/bwrap 下，自称 bubblewrap built for Codex。Muse 用它沙箱化 ffmpeg 和 ffprobe 做视频处理、缩略图生成和文件检查，以用户 nobody 运行，无网络或额外权限，/input 和 /output 暴露给沙箱。缺 bubblewrap 会失败报 failed to prepare ffmpeg sandbox。
我没找到调用 Codex 本身的代码。临时 Codex 文件来自版本检查，Hatch 二进制中的 codex 和 gpt-5.5 字符串是提供商列表项，导出中没显示被选用。据我所知 Meta 发布了 Codex CLI 但只用了捆绑沙箱。
记忆与定时任务
Muse 用纯 Markdown 存记忆。~/MEMORY.md 是简短事实、偏好和承诺表，~/memory/ 下带日期文件留日常细节，代理可在对话中写。
每小时后台任务根据原消息检查新主张，记引用、消息 ID 和主张 ID，决定什么进精选表什么留日志。memory/bank/ 下文件将材料组织为环境、经验和偏好并引回源行。
Postgres 让文件可搜索：memory.entries 存块和行引用，memory.embeddings 存 384 维向量，memory.claims 追踪证据、置信度和状态。较新主张可通过 supersedes_claim_id 替换旧的。代理可用 memory_search 搜索，用 memory_explain 看证据。
其他后台任务维护关系页面、审工作流、准备想法或目标简报，在 workspace/self_improvement/ 留记录，实际更改写相关文件。
夜间“梦境”审查近期对话并为未来写指引。在我的里，它注意到我喜欢短回复、不喜欢重复跟进、没要求主动推 NFL 比分。带日期梦境在 ~/dreams/ 下；单独 ALIGNMENT_SYNTHESIS.md 转观察为常驻指引。梦境文件有 prompt_hoisted: false，散文本身没注入提示。
遗忘不止删笔记。forget 工作流暂存待撤回主张 ID，移除关联材料，重建索引使后续任务无法重建。系统随时间适应靠更新文件、可搜索记录和未来会话可读指令，模型权重不变。
Home Link
硬件文档是最大惊喜。docs/devices/home_link.md 描述实验性集成 Meta Home Link，用带 Wi-Fi 和蓝牙 LE 的 ESP32-C5，涵盖设备配对、本地网络发现和通过带单独批准步骤的代理访问。已有 Brother 打印机（IPP）和 Lutron 桥的集成指南。
这表明在让 Muse 访问家庭网络设备的工作。我不知道是内部原型、有限实验还是 Meta 计划发布的。
披露与回应
我用 Meta 漏洞赏金计划提交报告和发现。Meta 标记报告“Not Applicable”。我也联系几名员工并收到回复。
我轻探容器边界试图让 Muse 逃逸，但测试似乎守住；我开始对找到的 80 个 socket 施压，但因生产系统性质，也老实说缺乏经验，就停了。
想了解更多信息可以联系我。pete at mouse.dev
评论
多数评论认为 AI 代理 Muse 导出自身沙箱文件属于环境可见的正常现象而非安全漏洞，少数人质疑 Meta 漏洞赏金拒付决定并认为系统级外泄应受重视。
认为导出自身沙箱文件不构成安全漏洞
- 每个用户分配独立虚拟机，归档内容仅限于自己会话环境，未涉及其他用户数据，过度兴奋不合理（较多人）
- 代理需要完整访问运行环境才能像开发者一样工作，文件可见是预期功能而非缺陷（较多人） > 代理最好能完全访问其电脑，就像开发者一样，这让我对开放性胜利抱有一丝希望（@nzoschke）
- 多数代理采用类似架构，Meta 内部文档并无特别惊人之处（少数人）
质疑漏洞赏金拒付并认为外泄严重
- 尽管未发现跨用户访问，但能外泄整个系统内容应属严重，未给赏金不合理（少数人） > 泄露了整个系统内容居然没有漏洞赏金？（@rwmj）
指出 Muse 受现有开源方案启发且反映工程现状
- Muse 被指明显受 OpenClaw 启发，可视为 Meta 旗下的对应版本（少数人）
- 归档中的大量文档涵盖浏览器、支付、凭证等，被认为是当前软件工程状态的写照（少数人）
有价值的补充
- 技术疑问：文章称 Postgres 用于存储记忆嵌入和条目，但前文提及 SQLite 数据库，每个实例独立运行 Postgres 被指极度浪费资源（@gavinray）
- 社区玩笑：对 Muse 计划集成预测市场表示讽刺，调侃“能出什么错”（@estetlinus）