AI-agenten vill ha hela ditt digitala liv – tillstånd räcker inte alltid

I AP:s granskning den 19 oktober 2026 berättar Matt Robb från Toronto att Metas AI-agent Muse delade hans hemadress med en köpare på Facebook Marketplace efter ett stående godkännande: ”Not only did it give my address when the guy asked”. Robb hade bett agenten sälja ett tangentbord. Muse accepterade ett erbjudande, ordnade upphämtning och svarade från hans konto när köparen kom till bostaden, utan att Robb visste att besöket var på väg.

Händelsen visar vad som står på spel när en agent både kan läsa personuppgifter och agera med hjälp av dem. The Atlantics reportage om Muse beskriver användare som ansluter telefonnummer, e-post, betalkort och bankkonton för att låta agenten boka resor, kontakta kundtjänst och utföra andra uppgifter. Ett ja till en anslutning säger därför för lite om vad agenten får läsa, vilka beslut den får fatta och vad som händer med uppgifterna efteråt.

Det stående tillståndet ändrade vem som fattade beslutet

Robb hade lagt in upphämtningsadressen i instruktionerna för försäljningen och valt ett tillstånd som fortsatte att gälla. Han väntade sig ändå att få godkänna att adressen lämnades ut och att ett erbjudande accepterades. När köparen väl stod vid bostaden var det för sent att ta tillbaka själva utlämnandet, även om anslutningen kunde ändras inför framtida uppgifter.

Det är en skillnad mellan att agenten formellt får utföra en handling och att användaren har förstått följden av ett tidigare godkännande. En adress kan behövas för att ordna upphämtning, men den blir samtidigt synlig för en person som användaren ännu inte har valt att möta. Ett automatiskt svar från säljarens konto kan dessutom ge köparen intrycket att säljaren är hemma och redo att ta emot honom.

Liknande gränser finns i andra tjänster. Läsning av mejl kan ge agenten tillgång till bokningar, adresser, privata samtal och uppgifter om personer som aldrig själva har anslutit någon agent. Rätten att skicka ett mejl är en ytterligare befogenhet: den låter agenten föra information vidare eller lämna besked i användarens namn. I kalendern skiljer det på att upptäcka en krock och att flytta ett möte som berör andra.

Muses skydd skiljer läsning från handling

I Metas tekniska beskrivning av Muse från den 8 september 2026 framgår att agenten körs i en isolerad virtuell miljö och att en separat komponent, Sentinel, prövar åtgärder via anslutna tjänster och utgående nätverkstrafik. Agenten föreslår en åtgärd; Sentinel kan tillåta den, neka den eller begära användarens godkännande. De verkliga inloggningsuppgifterna hålls utanför den miljö där agenten arbetar.

Där den anslutna tjänsten stöder det kan Muse skilja på läsbehörighet och skrivbehörighet. Systemet kan också avgränsa vilka åtgärder som tillåts inom en anslutning. Det betyder att tillgång till en kalender för att hitta lediga tider inte automatiskt behöver omfatta rätten att skapa inbjudningar. För mejl är skillnaden mellan att sammanfatta inkorgen och att svara från kontot lika avgörande.

Ett godkännande kan gälla en enda gång, en session, en uppgift, en begränsad tid eller tills vidare. Det är den valda omfattningen som avgör när agenten behöver fråga igen. I Robbs fall blev ett tidigare godkännande relevant för en senare kontakt med köparen. Därför behöver frågan vid anslutningen handla om vilka framtida handlingar ett tillstånd täcker, inte bara om den uppgift som visas just då.

Skyddet av inloggningsuppgifter löser en annan del av problemet. Muse behöver inte se ett lösenord för att kunna använda en godkänd anslutning, och Sentinel ska pröva handlingen vid gränsen till tjänsten. Men om en känslig uppgift redan får användas inom tillståndets ram kan agenten ändå fatta ett beslut som användaren inte väntade sig. Ett krav på nytt godkännande inför exempelvis ett köp fyller därför en annan funktion än att hålla själva kontouppgifterna åtskilda.

Minne och modellträning är ytterligare två beslut

En anslutning avgör vad Muse får hämta från en tjänst. Agentens minne gäller i stället uppgifter som sparas för kommande uppgifter. I den beskrivna lösningen kan användaren granska, redigera och ladda ned filer i sin virtuella miljö, inklusive det Muse minns om användaren. Att begränsa framtida åtkomst till ett konto och att gå igenom redan sparat minne är därmed skilda åtgärder.

Modellträning är ett tredje flöde. Samtal och agentens arbetsförlopp kan som standard användas för att träna senare versioner av modellen, efter en behandling som ska ta bort centrala direkt identifierande personuppgifter. I Muse-inställningarna finns ett val för att avstå från sådan användning. Det valet bestämmer inte om agenten får läsa nästa mejl eller skicka nästa svar; de befogenheterna styrs genom anslutningen och dess tillstånd.

Skillnaden spelar roll även för den som senare kopplar bort en tjänst. Framtida åtkomst kan upphöra medan information som agenten redan har tagit in behöver hanteras i minnet eller enligt tjänstens inställningar för lagring och träning. En enda knapp för att neka en anslutning besvarar därför inte alla frågor om uppgifternas fortsatta användning.

Kontrollista före mejl, kalender eller betalning

Utgå från den konkreta uppgift agenten ska utföra och gå igenom varje anslutning för sig. För mejl, kalender och tjänster där pengar kan användas är dessa frågor särskilt viktiga:

• Läsning: Vilka meddelanden, kalenderposter, kontouppgifter och historiska transaktioner kan agenten se? Omfattar åtkomsten också uppgifter om andra människor?
• Handling: Kan agenten svara, bjuda in, ändra en bokning, acceptera ett erbjudande eller genomföra ett köp? Vid vilken av dessa gränser krävs ett nytt godkännande?
• Varaktighet: Gäller tillståndet en handling, den aktuella uppgiften, en viss tid eller tills vidare? Var kan det ändras, och hur går utförda handlingar att granska?
• Efteråt: Vad läggs i agentens minne, hur kan det redigeras och är användning för modellträning vald eller bortvald?

Den som bara vill få hjälp att hitta en mötestid behöver inte ge rätt att bjuda in andra. Vid ett köp är den avgörande punkten när ett förslag övergår i en beställning eller betalning. Ett stående tillstånd kan göra den övergången mindre synlig nästa gång agenten arbetar, och det är just då ett till synes litet behörighetsval kan få en följd utanför skärmen.

Läs också:

• AI-agenter lade 13 000 interna bilder öppet – kontrollera personliga GitHub-konton
• Bluesky eller Mastodon: följare kan flytta, men inte hela historiken
• Stäng en Google Drive-länk – radering räcker inte alltid