메타 뮤즈: 에이전트마다 컴퓨터를 한 대씩 준 이유

effidev·2026년 9월 9일

AI한테 “항공권 좀 끊어줘”라고 시키는 서비스는 이미 여럿 있다. 그런데 그걸 진짜로 시키려면, 그 AI에게 내 메일함과 내 카드가 열려 있어야 한다.

2026년 9월 8일 공개된 메타 뮤즈(Meta Muse) 는 그 문제를 이렇게 풀었다. 사람마다 클라우드에 컴퓨터를 한 대씩 따로 띄우고, 그 안에 에이전트와 그 사람의 데이터를 같이 넣었다.

이 글은 두 사람을 위한 것이다. 하나는 “메타가 또 AI 뭘 냈다는데 이게 나랑 무슨 상관인가” 싶은 사람. 다른 하나는 에이전트에 권한을 붙이는 일을 실제로 만들고 있어서, 남들이 어떤 경계선을 그었는지 보고 싶은 개발자다.

앞쪽에는 뭐가 나왔고 얼마인지를 두고, 뒤쪽에 구조 얘기를 뒀다. 수치와 인용은 전부 메타 공식 발표문과 발표 당일 보도에서 확인한 것만 적는다.

심부름꾼 하나에 컴퓨터 한 대를 통째로 붙였다

가장 먼저 눈에 띄는 건 요금제도 기능 목록도 아니다. 인프라 설계다.

공식 발표문의 표현은 이렇다. “뮤즈는 클라우드에 있는 자기 전용 컴퓨터에서 돌아가며, 다른 사람의 에이전트가 닿을 수 없도록 격리돼 있다.”

이걸 메타는 뮤즈 시큐어 VM(Muse Secure VM) 이라고 부른다. VM은 가상 머신(virtual machine)의 줄임말인데, 물리적인 컴퓨터 한 대 안에 소프트웨어로 만들어 낸 또 다른 컴퓨터를 말한다. 클라우드 서버들이 오래전부터 쓰던 방식이다.

여기서 새로운 건 기술이 아니라 단위다. 보통 서비스는 서버 한 대에 사용자 수천 명을 태운다. 뮤즈는 반대로 갔다. 사용자 한 명당 한 대다.

왜 이렇게까지 했을까. 에이전트가 하는 일의 성격 때문이다. 챗봇은 문장을 만들어 주고 끝나지만, 에이전트는 브라우저를 열고 폼을 채우고 메일을 보내고 결제를 한다. 그러려면 로그인 세션이 살아 있어야 하고, 그건 곧 그 세션이 어딘가에 계속 떠 있어야 한다는 뜻이다.

그 “어딘가”를 여러 사용자가 공유하면, 한 명의 세션이 다른 사람 쪽으로 새는 순간 사고의 크기가 달라진다. 대화 내용이 새는 것과 로그인된 브라우저가 새는 것은 급이 다르다.

바로 어제 이 블로그에서 다룬 AI에 사업을 맡겼더니 낯선 사람에게 청구서를 보낸 실험이 보여 준 게 정확히 그 지점이다. 목표만 주고 권한을 열어 두면, 막혔을 때 모델이 알아서 우회로를 찾는다. 뮤즈의 VM 격리는 그 우회로가 적어도 남의 데이터로는 못 뻗게 벽을 세운 것이다.

센티널이 허락해야 인터넷으로 나간다

격리만으로는 반쪽이다. 방을 따로 줬어도 그 방에서 밖으로 나가는 문이 열려 있으면 똑같다.

그래서 메타는 같은 VM 안에 감시자를 하나 더 넣었다. 공식 발표문은 이렇게 적었다. “별도의 센티널(Sentinel) 에이전트가 같은 머신에서 돌아가되, 시스템 수준에서 뮤즈와 분리돼 있다. 센티널이 승인하지 않으면 뮤즈가 하는 어떤 일도 인터넷에 닿지 않는다.”

문장 하나에 설계 의도가 다 들어 있다. 정리하면 세 가지다.

첫째, 같은 머신 안에 둔다. 네트워크 너머의 다른 서비스로 검사를 보내면 지연이 붙고, 그 통로 자체가 새 공격면이 된다.

둘째, 시스템 수준에서 분리한다. 같은 프로세스 안의 함수 호출이면 뮤즈가 자기를 검사하는 코드를 설득하거나 우회할 여지가 남는다. OS가 갈라 둔 경계는 프롬프트로 넘을 수 있는 종류의 벽이 아니다.

셋째, 기본값이 차단이다. “승인하지 않으면 닿지 않는다”는 건 화이트리스트 방식이라는 뜻이다. 막을 것을 나열하는 블랙리스트는 새 우회로가 생길 때마다 뚫리지만, 허용할 것을 나열하는 쪽은 모르는 통로가 생겨도 기본이 닫힘이다.

이 구도는 프롬프트 인젝션 대응의 최근 흐름과도 맞물린다. 모델에게 “나쁜 지시는 따르지 마”라고 가르치는 접근은 코딩 에이전트 7종이 폴더 하나로 뚫린 사고에서 보듯 계속 뚫린다. 모델을 설득해서 막는 대신, 모델 밖에서 행동 자체를 게이트로 통과시키는 쪽이 지금까지는 더 잘 버텼다.

다만 공식 발표문은 센티널이 무엇을 근거로 승인·거부를 판단하는지, 그 판단이 규칙 기반인지 별도 모델인지는 밝히지 않았다. 이 부분은 확인되지 않았다.

뮤즈가 못 보는 것 — 비밀번호와 카드번호

에이전트에 결제를 맡긴다는 말이 불편한 이유는 단순하다. 그럼 내 카드번호를 AI가 보고 있다는 뜻인가.

메타의 답은 아니다. 공식 발표문의 문장은 이렇다. “뮤즈는 사람들의 비밀번호나 결제 수단을 볼 수 없다.”

구현은 외부 결제·인증 서비스에 넘기는 방식이다. 출시 시점에 붙은 건 링크(Link by Stripe) 하나다. 스트라이프가 운영하는 간편결제로, 카드 정보는 스트라이프가 들고 있고 결제 승인만 오간다. 여기에 구매 보호가 함께 걸린다고 밝혔다.

앞으로 붙을 것으로 예고된 건 두 개다. 쇼피파이의 숍페이(Shop Pay), 그리고 비밀번호 관리자 1패스워드(1Password) 다. 1패스워드가 들어오면 로그인이 필요한 사이트에서 뮤즈가 비밀번호를 직접 읽지 않고도 로그인을 통과할 수 있게 된다.

여기에 승인 절차가 하나 더 붙는다. “뮤즈는 메일을 보내거나 구매를 하는 것 같은 민감한 행동 전에 사람에게 확인한다”는 것이 공식 문장이다.

실무 관점에서 이게 왜 중요하냐면, 되돌릴 수 없는 행동에 사람을 남겼기 때문이다. 브라우저를 열어 검색하는 일은 실패해도 다시 하면 되지만, 메일 발송과 결제는 실행되는 순간 끝난다. 그 두 개를 골라 사람 확인을 붙인 선택은 어제 다룬 실험의 결론과 정확히 같은 지점이다.

그리고 감사 기록이 있다. “뮤즈는 자신이 한 일과 앞으로 할 일 전부에 대한 완전한 감사 기록(audit trail)을 사람에게 보여 준다.” 사후에 무슨 일이 있었는지 볼 수 있느냐는, 자동화에 권한을 붙일 때 가장 늦게 챙기고 가장 먼저 아쉬워지는 항목이다.

무료가 기본이라고 말하면서 100달러 칸을 열어 뒀다

돈 얘기가 재밌다. 공식 발표문은 가격을 숫자로 적지 않았다. 대신 이렇게만 썼다. “사람들에게 필요한 대부분은 무료이고, 더 많이 쓰고 싶은 사람을 위한 구독 요금제가 있다.”

숫자는 발표 당일 보도에서 나왔다. 세 갈래다.

한국 돈으로 대략 감을 잡자면 월 20달러는 커피 몇 잔, 월 100달러는 웬만한 통신 요금제 하나 값이다. 개인이 심부름을 맡기는 데 매달 100달러를 쓰는 그림은 아직 낯설다.

그런데 이 가격표를 뒤집어 보면 다른 게 읽힌다. 100달러 칸이 존재한다는 것 자체가, 에이전트를 오래 돌리는 일이 비싸다는 자백이다.

이유는 구조에 있다. 앞에서 본 대로 뮤즈는 사용자마다 VM을 한 대씩 쓴다. 대화형 챗봇은 질문이 올 때만 계산하면 되지만, VM은 떠 있는 동안 계속 자원을 먹는다. 게다가 뮤즈는 “장기 목표를 세워 두면 알아서 진행한다”고 홍보된 제품이다. 오래 떠 있으라고 만든 물건이라는 뜻이다.

어제 실험에서 나온 숫자가 여기에 참고가 된다. 그 실험은 손실의 대부분이 행동이 아니라 판단 루프에서 나왔다고 적었다. 아무것도 안 하고 대기하는 동안에도, 깨어나 다음 할 일을 정하는 순간마다 비용이 쌓인다.

메타가 “대부분은 무료로 충분하다”고 먼저 말한 것도 같은 맥락으로 읽힌다. 대부분의 사용자가 유료로 넘어가면 감당이 안 되는 구조일 수 있다.

시킬 수 있다고 공식 발표문에 적힌 일들

기능 목록은 이럴 때 지루해지기 쉬운데, 뮤즈는 목록 자체가 성격을 말해 준다. 공식 발표문에 적힌 예시를 그대로 옮기면 이렇다.

• 메일 보내기
• 여행 예약
• 차량 판매
• 요금 협상(bill negotiation)
• 운동 계획 조정
• 각종 서식 작성
• 장보기 목록 만들기
• 식단 짜기
• 결제까지 포함한 구매 완료
• 장기 목표를 세워 두고 스스로 진행

발표 당일 보도에는 더 구체적인 예도 나왔다. 인스타그램에 저장해 둔 요리 릴스를 장보기 목록으로 바꿔 준다거나, 아이 현장학습 동의서를 대신 채운다거나, 테니스 레슨 일정을 잡는 식이다.

이 목록의 공통점을 한 줄로 줄이면 “귀찮은데 남한테 맡기기도 애매한 일” 이다. 대단히 어려운 판단이 필요한 일은 없다. 대신 전부 내 계정, 내 일정, 내 카드에 손이 닿아야 가능한 일이다.

붙는 연결 통로도 폭이 넓다. 보도에 정리된 범주는 메일, 캘린더, 결제, 건강·피트니스 앱, 스마트홈, 외식, 쇼핑, 음악, 이벤트다. 여기에 없는 서비스는 공개 API를 쓰거나, 그것도 없으면 뮤즈가 브라우저를 직접 열어 사람처럼 조작한다.

마지막 항목이 이 제품의 핵심이자 위험 지점이다. API 연동은 서비스 제공자가 허용한 범위 안에서만 움직이지만, 브라우저 조작은 화면에 보이는 건 다 할 수 있다. 센티널을 그렇게까지 갈라 둔 이유가 여기 있다.

기억은 쌓이고, “잊어”는 사용자가 말한다

뮤즈는 챗봇처럼 대화가 끝나면 리셋되는 물건이 아니다. 공식 발표문은 “뮤즈는 그 사람에게 중요한 것을 기억한다”고 적었다.

기억은 유용함의 조건이다. 매번 “나 채식이야”, “출장은 아침 비행기 말고”를 다시 말해야 하면 심부름을 시키는 의미가 없다.

동시에 기억은 위험이다. 그래서 붙은 게 이 한 줄이다. “사람들은 언제든 뮤즈가 학습한 특정 항목을 ’잊어’라고 말할 수 있다.”

권한 쪽도 세분화돼 있다. “사람들이 뮤즈가 어떤 앱에 연결될지, 그리고 정확히 얼마만큼의 접근 권한을 갖는지 고른다.” 그리고 “언제든 접근 범위를 바꾸거나 서비스 연결을 끊을 수 있다.”

여기에 두 개가 더 있다. 하나는 학습 거부다. “사람들은 자신의 상호작용이 메타의 AI 모델 학습에 쓰이는 것을 거부(opt out)할 수 있다.”

다른 하나가 이 발표에서 메타가 가장 힘줘 말한 문장이다. “뮤즈는 사람의 대화나 그 사람 VM 안의 데이터를 메타의 광고 시스템과 공유하지 않는다.”

메타가 이 문장을 굳이 발표문에 박아 넣은 이유는 설명이 필요 없다. 광고로 돈을 버는 회사가 내 메일함과 결제 내역에 손이 닿는 에이전트를 내놨을 때, 사람들이 첫 번째로 떠올릴 질문이 그것이기 때문이다.

아직 오지 않은 두 가지 — 컨피덴셜 VM과 안경

발표문에는 “지금은 아니고 나중에”라고 명시된 항목이 두 개 있다. 이걸 지금 있는 기능으로 착각하면 안 된다.

첫째는 뮤즈 컨피덴셜 VM(Muse Confidential VM) 이다. 원문은 이렇다. “올해 안에 메타는 뮤즈 컨피덴셜 VM을 도입할 예정이며, 여기서는 사람의 데이터와 뮤즈와의 대화를 포함한 VM 전체가 그 사람만 가진 키로 암호화된다.”

지금의 시큐어 VM과 뭐가 다른가. 시큐어 VM은 다른 사용자로부터 격리한다. 컨피덴셜 VM은 한 단계 더 가서 운영자, 즉 메타 자신으로부터도 내용을 못 보게 하겠다는 얘기다. “그 사람만 가진 키”라는 표현이 그 뜻이다.

바꿔 말하면 현재 시점의 뮤즈는 그 수준이 아니다. 메타가 광고 시스템과 공유하지 않겠다고 약속한 것과, 기술적으로 볼 수 없는 것은 다른 층위의 얘기다. 지금은 앞쪽만 있다.

둘째는 AI 안경이다. 발표문은 “곧 AI 안경에도 온다(coming soon to AI glasses)“고만 적었다. 현재 사용할 수 있는 경로는 iOS, 안드로이드, 그리고 muse.ai 웹이다. 보도에 따르면 왓츠앱으로 말을 걸 수도 있다.

그리고 지역이 하나 더 있다. 미국만이다. 한국에서 지금 열어 볼 수 있는 물건이 아니다.

이 구조가 개발자에게 주는 힌트 세 가지

제품을 쓸 수 없는 지역에 있어도, 설계는 읽을 수 있다. 에이전트에 권한을 붙이는 일을 하고 있다면 가져갈 게 세 가지 있다.

하나, 격리 단위를 사용자당으로 내린다. 지금 만드는 에이전트가 로그인 세션이나 파일 시스템을 건드린다면, 사용자끼리 그 자원을 공유하는 구조인지부터 본다. 문장만 오가는 서비스에선 문제가 안 되던 설계가, 브라우저와 계정이 얹히는 순간 사고 규모를 키운다.

둘, 나가는 길에 게이트를 하나 세운다. 모델에게 “이건 하지 마”를 학습시키는 방향은 계속 뚫려 왔다. 센티널 방식의 요점은 판단하는 놈과 실행을 허가하는 놈을 다른 프로세스로 갈라 두는 것이다. 그리고 기본값을 차단으로 둔다. 허용 목록이 짧아 불편한 편이, 차단 목록이 길어 안심되는 쪽보다 낫다.

셋, 되돌릴 수 없는 행동만 골라 사람을 남긴다. 모든 행동에 확인을 붙이면 자동화의 의미가 없어지고, 아무 데도 안 붙이면 사고가 난다. 메타가 고른 기준은 명확하다. 메일 발송과 결제. 밖으로 나가면 취소가 안 되는 것들이다. 여기에 감사 기록을 붙여, 사후에 무슨 일이 있었는지 볼 수 있게 한다.

참고로 뮤즈를 돌리는 모델은 뮤즈 스파크(Muse Spark) 계열이고, 보도에 따르면 이번 제품에 쓰인 버전은 1.3이다. 메타는 공식 발표문에서 이 모델을 “실제 세계의 에이전트 작업을 위해 만든, 메타의 가장 강력한 모델”이라고 소개했다. 같은 이름을 쓰는 오픈웨이트 계열은 지난달 다룬 뮤즈 글리머 30B처럼 별개 라인으로 계속 나오고 있다.

남는 변수는 기술이 아니라 기록이다

설계 얘기만 하면 잘 만든 물건처럼 읽힌다. 그런데 발표 당일 보도들이 공통으로 짚은 건 기술이 아니었다.

정리하면 이렇다. 메타는 2011년 미국 연방거래위원회(FTC)와 프라이버시 문제로 합의했고, 2019년에는 같은 사안으로 50억 달러를 물었다. 같은 해 비밀번호가 평문으로 저장돼 있던 사고가 드러났고, 케임브리지 애널리티카 건이 있었다. 그리고 2026년 8월에는 아동에 대한 소셜미디어 피해를 두고 여러 주와 180억 달러 규모의 합의를 했다.

이 목록이 뮤즈의 설계가 나쁘다는 뜻은 아니다. 오히려 반대에 가깝다. 이 기록을 가진 회사이기 때문에 VM 격리, 시스템 수준 분리, 광고 시스템 비공유, 학습 거부, 감사 기록까지 발표문 한 편에 몰아 넣어야 했다고 읽는 쪽이 자연스럽다.

메타 뮤즈의 경쟁 구도도 이미 잡혀 있다. 보도는 구글의 제미나이 스파크, 앤트로픽의 클로드 코워크를 같은 시장의 이름으로 들었다. 개인 에이전트는 올해 들어 한 회사의 실험이 아니라 여러 곳이 동시에 미는 형태가 됐다.

그래서 이 제품의 성패를 가를 변수는 성능표가 아닐 가능성이 높다. 사람들이 자기 메일함과 카드를 열어 줄 만큼 믿느냐, 그 하나다.

오늘 확인할 수 있는 것과 없는 것

마지막으로 사실과 추정을 갈라 둔다. 핫이슈일수록 이 구분이 며칠 뒤에 값을 한다.

공식 발표문에서 확인된 것은 이렇다. 2026년 9월 8일 공개, 미국에서 iOS·안드로이드·muse.ai로 순차 배포, AI 안경은 예정. 뮤즈 시큐어 VM으로 사용자별 격리, 별도 센티널 에이전트가 시스템 수준으로 분리돼 인터넷 접근을 승인. 비밀번호·결제 수단 비가시, 민감 행동 사전 확인, 완전한 감사 기록, 앱별 권한 선택과 연결 해제, 학습 거부, 광고 시스템 비공유, 기억 항목 삭제. 결제는 링크(스트라이프), 숍페이와 1패스워드는 예정. 컨피덴셜 VM은 올해 안 도입 예정. 요금은 “대부분 무료 + 구독 요금제”라고만 서술.

보도에서 나온 것은 요금제 숫자(무료·월 20달러 파워·월 100달러 맥시멈), 왓츠앱 연동, 모델 버전 1.3, 연결 가능한 서비스 범주, 그리고 경쟁 제품 이름이다.

확인되지 않은 것도 분명히 해 둔다. 센티널이 승인·거부를 어떤 기준으로 판단하는지, 각 요금제의 구체적인 사용량 한도가 얼마인지, 미국 밖 출시 일정이 언제인지는 공개된 자료에서 찾을 수 없었다. 브라우저 조작 방식의 실제 성공률에 대한 수치도 공개되지 않았다.

메타 뮤즈를 놓고 지금 당장 할 수 있는 일은 하나다. 미국 계정이 있다면 muse.ai를 열어 감사 기록 화면부터 본다. 에이전트 제품에서 가장 빨리 품질이 드러나는 곳이 거기다. 무엇을 했는지 사람이 읽을 수 있게 적혀 있는지, 아니면 로그가 기계 언어로만 남는지가 그 팀이 사고를 얼마나 진지하게 준비했는지를 보여 준다.

미국 밖이라면, 지금 만들고 있는 에이전트에 위 세 가지 힌트를 대 보는 편이 낫다. 격리 단위, 나가는 길의 게이트, 되돌릴 수 없는 행동의 확인. 이 셋은 뮤즈를 못 써도 오늘 적용할 수 있다.