Muse trên Mac: cấp quyền cho agent sửa file và gửi mail

Meta vừa đặt một agent vào bên trong macOS của bạn, với quyền sửa file, gửi mail và gọi thoại. Trước khi bấm nút cấp quyền, bạn cần biết chính xác nó chạm được tới đâu.

Bài này bóc tách mô hình quyền của Muse, đặt cạnh cách Google khóa cứng năng lực trong Home MCP, và rút ra checklist bạn nên chạy trước khi cho bất kỳ agent nào thao tác trên máy làm việc.

Muse chạm được tới đâu trên máy bạn

Theo bài viết về sản phẩm, Muse ra mắt ngày 18/9/2026 dưới dạng "a native Mac application" cho phép agent chỉnh sửa file, gửi tin nhắn, đặt lịch và thậm chí gọi thoại — trực tiếp bên trong hệ điều hành. Ứng dụng có cả trên mobile và web, nhưng nguồn đánh giá bản Mac là tham vọng nhất.

Bề mặt tích hợp là các ứng dụng gốc của macOS. Nguồn liệt kê Finder, Mail, Calendar, Notes và Messages, với quyền đọc, ghi và sửa nội dung chỉ khi có "explicit user permission". Tính năng gọi thoại được triển khai trong tuần ra mắt.

Khác biệt so với một chatbot nằm trong cửa sổ riêng nằm ở chỗ này: agent không trả lời về file của bạn, nó sửa file của bạn. Mọi đánh giá rủi ro phải bắt đầu từ đó.

Mô hình quyền: opt-in, hỏi trước, ghi log

Nguồn mô tả Muse được dựng quanh nguyên tắc quyền tối thiểu, với một hộp thoại phân quyền chi tiết ngay lần cài đầu tiên. Năm nhóm quyền được liệt kê:

• Files — đọc/ghi trên các thư mục bạn chọn
• Messages — gửi/nhận qua Messages và Mail
• Calendar — tạo và sửa sự kiện
• Notes — đọc/ghi ghi chú
• Voice Calls — quyền khởi tạo cuộc gọi qua telephony stack của hệ thống

Mỗi quyền bật/tắt được bất cứ lúc nào trong system settings. Nguồn cũng mô tả một "Permission Manager" hỏi người dùng trước mỗi thao tác nhạy cảm như di chuyển file hay gửi email, và ghi nhận release notes của Meta nhấn mạnh Muse yêu cầu "opt-in access" cùng phê duyệt trước các "sensitive actions".

Lớp còn lại là truy vết. Theo nguồn, Muse ghi log mọi hành động và cung cấp "history" view để người dùng xem lại hoặc thu hồi lệnh đã chạy. Với một agent có quyền ghi, nhật ký không phải tính năng phụ — nó là cách duy nhất bạn biết chuyện gì đã xảy ra lúc mình không nhìn màn hình.

Google chọn cách khác: gỡ hẳn năng lực

Đặt cạnh Home MCP mà Google mở hôm 16/9, mô hình của Muse lộ ra một điểm yếu. Cả hai đều dựa vào phê duyệt của người dùng, nhưng Google còn làm thêm một việc: xóa hẳn một năng lực khỏi bề mặt API.

Nguồn viết về Home MCP: "Home MCP will not unlock your doors. Full stop. No permission flow, no override, no 'advanced mode.'" Không có luồng xin quyền, nghĩa là không có gì để một prompt độc hại thuyết phục.

Tác giả nguồn cũng chỉ ra đúng giới hạn của rate limit — cơ chế an toàn phổ biến nhất trong hệ sinh thái MCP: "Rate limits stop a runaway loop. They don't stop a legitimate, authenticated agent doing exactly what a bad prompt told it to do." Áp vào Muse: một hộp thoại xác nhận cũng vậy. Nó chặn được thao tác ngoài ý muốn, nhưng không chặn được người dùng bấm "Approve" lần thứ hai mươi trong ngày mà không đọc.

Checklist trước khi cấp quyền cho Muse

Phần này là phân tích, không phải hướng dẫn của nhà cung cấp:

1. Bật từng nhóm quyền một, không bật cả năm. Files và Messages là hai nhóm có hậu quả không hoàn tác được; để lại sau cùng.
2. Giới hạn Files ở một thư mục làm việc. Quyền đọc/ghi theo thư mục bạn chọn là điểm kiểm soát mạnh nhất trong danh sách — dùng nó thay vì cấp toàn bộ home directory.
3. Đọc history view trong tuần đầu. Một tính năng thu hồi chỉ có giá trị nếu bạn phát hiện kịp thứ cần thu hồi.
4. Giả định prompt injection sẽ tới qua Mail. Nội dung agent đọc là input do người khác soạn; một email có thể chứa chỉ thị nhắm vào chính agent của bạn.
5. Kiểm tra lại quyền sau mỗi bản cập nhật. Mô hình quyền của sản phẩm mới thường đổi vài lần trước khi ổn định.

Bài học nếu bạn đang dựng agent nội bộ

Với dev đang viết MCP server hay agent nội bộ cho công ty, câu đáng nhớ nhất từ phân tích Home MCP là: "decide what your integration will categorically never do, before an agent finds a clever way to ask for it."

Trong thực tế, danh sách từ chối phải nằm ở tầng tool definition, không phải trong system prompt. Một tool không tồn tại thì không thể bị thuyết phục để gọi. Rate limit, log và hộp thoại xác nhận là các lớp bổ sung — chúng không thay thế được việc gỡ hẳn một năng lực nguy hiểm khỏi bề mặt API. Hãy viết danh sách đó ra trước khi viết tool đầu tiên.

Điều cần theo dõi

Thị trường agent thao tác máy tính đang đông lên nhanh. Nguồn nhắc tới hai đối thủ: Instinct, vừa triển khai gọi thoại và theo bài viết được cho là đã gọi vốn ở mức định giá 10 tỷ USD, tập trung vào doanh nghiệp với tích hợp Microsoft 365 và Google Workspace; và Poke, bị Cognition mua lại hồi tháng 7.

Ba thứ đáng theo dõi: Muse có công bố danh sách hành động bị từ chối cứng như Google đã làm hay không; hộp thoại phê duyệt có gom nhóm lại thành "luôn cho phép" hay không — đó là lúc mô hình quyền mất giá trị; và liệu các đối thủ có sao chép history view kèm quyền thu hồi, thứ hiện là điểm mạnh rõ nhất của Muse.