Meta「Muse」日本上陸！実践ガイド：AIエージェントへの「任せ方・守り方・迎え方」

2026年9月8日（米国時間）、Metaはパーソナル AIエージェントMuse（ミューズ）を公開しました。質問に答えて終わるチャットボットではなく、目標を渡すとメール送信、旅行の予約、フォーム入力、買い物までを自分で進めてくれる「代理人」型のAIです。米国では公開から40日でダウンロード数が1,000万件を超え、Threads以来の勢いと話題になっています。そして2026年10月23日には日本でも提供が始まりました。北米以外では初めての提供地域です。

ネット上にはすでに「Museの使い方」記事がたくさんありますが、その多くは機能紹介と始め方の解説です。日本で誰でも使えるようになった今だからこそ、本記事では少し視点を変えて、次の3つの「実践」を整理してみます。

使う側：Museに仕事をどう任せるか（目標の渡し方、権限の広げ方）
守る側：Metaが公開した安全設計から、エージェント選びの物差しを学ぶ
受ける側：自社のサービスにエージェントが「客として」やって来たらどうするか

どれもMuseに限らず、OpenAIのdotsやGoogleのGemini Sparkなど、他のパーソナルエージェントにもそのまま応用できる内容です。

Museの現在地（2026年10月時点）

項目	内容
提供元	Meta（Meta Superintelligence Labs）
公開日	2026年9月8日（米国時間）
動いているモデル	Muse Spark 1.3（10月発表の上位モデルMuse Wonderは、今後サブスクリプション利用者から順次対応予定）
提供地域	米国・カナダ（2026年9月〜）、日本（2026年10月23日〜）
使える場所	日本：iOS／Androidアプリ、Web（muse.ai）米国：上記に加えてWhatsApp、Macアプリ。AIグラスにも今後対応予定
料金	多くの基本機能は無料（週ごとの利用上限あり、上限値は非公開）。日本の有料プランは月2,799円から（Impress Watch報道）。米国ではPower：月20ドル（週5億Museトークン）／Max：月100ドル（週30億Museトークン）で、機能はどのプランも同じ、違いは利用量のみ
作業環境	ユーザーごとの専用クラウドPC「Muse Secure VM」（ブラウザ付きのLinux環境）
決済	Stripeの「Link」で使い捨てカード番号を発行。Shop Payと1Password対応は「近日対応」

公開後のアップデートもかなりのハイペースです。

9月20日：Amazonが、Museによる自社サイトでの買い物をブロック（詳しくは後述）
9月23日（Meta Connect 2026）：AIグラス対応の予告、Walmart・Best Buy・Sephoraなど小売系や、Notion・GitHub・Boxなど仕事系のコネクタ追加、ポケットサイズの専用デバイス「Muse Charm」を発表
9月29日：「Muse for Small Business」を発表。Shopify、QuickBooks、Canva、Slack、Stripeなど業務ツールとの連携や、Facebook・Instagramのビジネスアカウント分析に対応
10月12日：新モデル「Muse Wonder」「Muse Wonder Full」を発表。会話をまたいで関連情報を引き出す「Active Memory」と、行き詰まっても別のやり方を試して粘る「Active Focus」が特徴。まずは開発者向けのMeta Model APIとコーディングツールMuse Codeで提供
10月23日：日本で提供開始。北米以外では初めての提供地域

日本版Museで使えるもの・まだのもの

Metaは2026年10月23日、日本でのMuseの提供開始を発表しました。日本では、iOS／Androidアプリと、Web版のmuse.aiから使えます。日本語で会話でき、セキュリティ基盤のMuse Secure VM、Sentinel、重要な操作の前の確認、学習利用のオプトアウトといった仕組みは米国版と同じと説明されています。

区分	内容
提供開始時点で使える連携	Gmail、Googleカレンダー、Instagram、Stripe、Shopify、Trip.com、Agoda、Klook
連携を準備中の国内サービス	メルカリ、マネーフォワード ME、チケットぴあ（Metaは「連携を進めて参ります」としており、提供開始時期は未発表）
日本での提供が「別途案内」の機能	高度な音声モード、Muse Realtime Avatar（英語のみ）、Muse専用のメールアドレス
日本での発表に記載がないもの	WhatsApp、Macアプリでの利用、年齢条件、円建ての決済手段（Linkの使い捨てカードの扱いなど）

日本向けの連携先に、旅行（Trip.com、Agoda、Klook）、フリマ（メルカリ）、家計簿（マネーフォワード ME）、チケット（チケットぴあ）が並んでいる点からは、日本では「旅行・買い物・お金」まわりの用事から使い始めてほしい、というMetaの狙いが読み取れます。どれも、後で説明する「承認」と「権限」の設計がものを言う領域です。

企業として気にしたいのは、シャドーAIの側面です。無料で、しかも日本語でいきなり使えるようになったため、社員が個人のMuseに業務のGmailやGoogleカレンダーをつないでしまうケースは、もう現実の話です。後半の「社内ルールのたたき台」は、早めに検討しておくことをおすすめします。

実践1：Museに仕事を任せる

Metaは、Museには細かい手順ではなく「目標」を渡せばよいと説明しています。目標を受け取ったMuseは計画を立て、時間とリソースを調整しながら自分で作業を進め、アプリを閉じた後も動き続けます。メール送信や購入など承認が必要な場面や、状況が変わったときにだけ人に戻ってくる設計です。

裏を返すと、任せる側の腕の見せどころは「目標の書き方」になります。

「目標＋制約＋承認ポイント」をセットで渡す

人間の部下に頼むときと同じで、ゴールだけでなく「守ってほしい条件」と「どこで確認してほしいか」を最初に伝えておくと、手戻りが減ります。次のような型がおすすめです。

【目標】来月の出張（2日間）の移動と宿泊を手配したい
【制約】ホテルは会場から徒歩10分以内、1泊あたりの予算上限あり
【判断基準】迷ったら、価格より移動時間の短さを優先
【確認ポイント】予約・支払いの前に候補を3つまで示して、私の承認を取る
【やらないこと】新規の会員登録が必要なサイトは使わない／キャンセル不可のプランは選ばない
【報告】手配が終わったら、予約内容と合計金額を1通にまとめて送る

特に効くのは「やらないこと」の一行です。エージェントは目標達成のために粘る方向に作られています（Muse WonderのActive Focusはまさにその強化です）。粘り強さは長所ですが、こちらが想定していない手段で目標を達成しにいくこともあるので、越えてほしくない線は先に言葉にしておきましょう。

参考までに、Metaがスモールビジネス向けに紹介している「試してほしい依頼文」を日本語にすると、次のようなものです。

今年の売上・キャンペーン・SNSを分析して、来年の目標に向けた成長プランを作って
手が回らない。メール・カレンダー・ニュースから注意すべきことを洗い出して、引き取れるものは引き取って
広告とコンテンツの何が効いていて何がダメかを分析して、トレンドも踏まえて来週のキャンペーン案を下書きして
今月の業績はどうだった？おかしな支出があれば見つけて

よく見ると、どれも「分析→提案→下書き」までで止まっていて、公開・送信・支払いはその後の承認に委ねる形になっています。最初の依頼はこのくらいの範囲から始めるのが無難です。

権限は「読む→下書き→承認付きで実行」の順に広げる

Meta自身も技術ブログで、利用者はまず「カレンダーを読んで予定の衝突を教えて」のような読み取り権限から渡し、実際の働きぶりを見てから書き込み権限（予定を入れる、メールを送る）を渡したがる、と書いています。そのためMuseは、サービス側が対応していれば読み取りと書き込みを分けて許可でき、さらにOAuthの大まかな権限よりも細かく、個別の操作単位で可否を設定できるようになっています（例：Gmailの読み取り権限は渡すが、それに付随するGmailの設定変更はできないようにする）。

これを踏まえて、権限を段階的に広げる「はしご」を作っておくと運用が楽になります。

段階	任せる範囲	メールの例	買い物の例
1. 読むだけ	情報を集めて要約・提案する	受信箱を読み、返信が必要なものを教えてもらう	価格比較と候補リストの作成
2. 下書きまで	成果物は作るが、外には出さない	返信文を下書きしてもらい、送信は自分で	カートに入れるところまで
3. 承認付きで実行	外に出す操作は毎回確認してから	送信前に毎回承認	決済前に毎回承認（使い捨てカード）
4. 範囲を絞った自動化	条件を限って確認を省く	特定の相手への定型連絡だけ期限付きで許可	決まった日用品の定期購入だけ

各段階で後述の監査ログを確認し、問題がなければ次の段階へ、というのが基本の進め方です。いきなり4に飛ばないことが、結果的に一番早く「本当に任せられる状態」にたどり着く近道だと思います。

承認には「有効期間」がある

意外と知られていないのが、Museの承認には種類があることです。Metaの説明によると、承認は「1回限り」「セッション中」「タスク中」「期限付き」「無期限」から選べ（どれを提示するかは状況に応じて後述のSentinelが決めます）、許可した範囲を超える操作は改めて確認されます。目安としては次のように使い分けるとよいでしょう。

承認の種類	向いている場面
1回限り	購入、送金に関わる操作、初めての相手へのメール送信
タスク中／セッション中	出張手配など、1つの仕事の間だけ同じサイトやサービスを使い続けるとき
期限付き	繁忙期の数日間だけ、定型の返信を任せるとき
無期限	読み取り専用や、間違えても影響の小さい操作だけ

もう一つ覚えておきたいのが、本物の承認依頼はチャットの中ではなく、アプリの専用ダイアログで表示されるという点です。Museとの会話を経由せず、承認の判断が直接Sentinelに返る作りになっています。会話の中で「承認してください」と言われても、それ自体は承認ではありません。この仕組みを知っておくと、だまされにくくなります。

監査ログと「記憶」を定期的に点検する

Museは、やったことと「これからやる予定のこと」の両方を監査ログとして見せてくれます。また、会話から好みや事情を覚えて先回りの提案をしてくれる一方、覚えた内容は「忘れて」と言えば消せます。VM内のファイル（Museの記憶を含む）は閲覧・編集・ダウンロードできるとされています。

週に一度くらいは、次の点をチェックする習慣をつけておくと安心です。

覚え違いがないか：あるレビューでは、Museが利用者のWordPressブログについて誤った結論を覚えてしまい、それを見つけて直すのが難しかったと報告されています
情報が古くないか：別の実機テストでは、すでに終了した割引価格の商品を候補に挙げた例がありました。価格、電話番号、営業時間などは必ず自分でも確認しましょう
利用量：無料プランは週ごとの上限に達すると、リセットまで停止します。普通に使っているだけで1日に週の上限の8割を使ったというレビューもあり、裏で動き続けるタスクほど消費は大きくなります
学習への利用：会話や作業の記録は、個人を特定する情報を取り除いたうえでモデルの学習に使われるのが初期設定です。望まない場合は設定からオプトアウトできます

実践2：Museの安全設計から「エージェント選びの物差し」を学ぶ

Museで個人的に一番価値があると感じているのは、実は機能よりも、Metaが公開した技術ブログ「How We Built Safety Into Muse」です。読むのに20分ほどかかる長文ですが、「エージェントは必ずミスをするし、読み込んだデータを通じて攻撃もされる。だから被害を小さく抑える前提で設計した」という立場から、仕組みがかなり具体的に書かれています。

出発点になっているのは、セキュリティ研究者のSimon Willison氏が提唱した「致命的な三要素（lethal trifecta）」という考え方です。エージェントが①個人データにアクセスでき、②信用できない外部コンテンツを読み、③外部にデータを送れる、の3つを同時に満たすと、Webページやメールに仕込まれた指示（プロンプトインジェクション）によってデータを盗み出されうる、というものです。パーソナルエージェントは、まさにこの3つをすべて備えた存在です。

Museがこれにどう対処しているかを整理すると、そのまま他のエージェントを評価するときのチェックリストとして使えます。

Museの仕組み	何をしているか	他のエージェントで確認したいこと
隔離された実行環境	エージェントとその道具は隔離されたコンテナ内で動き、安全機能や認証情報はその外側に置かれている	エージェント自身が安全機能を止めたり書き換えたりできない構造か
Sentinel（見張り役のエージェント）	外部サービスへの操作とすべての通信を、Museとは別の仕組みが「許可・拒否・利用者に確認」で判定する	外部への送信を判断する仕組みが、モデルの外にあるか
認証情報の身代わり	エージェントが扱うのは偽のトークンだけで、本物は通信の出口で差し替えられる	パスワードやAPIキーがモデルの目に触れない仕組みか
汚染された通信の追跡	ユーザーデータを読んだ処理は「自動許可」の対象から外れ、確認が必要になる	承認が「全部聞く」か「何も聞かない」かの二択でなく、リスクに応じて変わるか
メールの危険物フィルタ	ワンタイムコード、パスワード再設定リンク、ログイン用リンクをエージェントに見せない	メール連携が、他サービスのアカウント乗っ取りの踏み台にならないか
使い捨てカード	決済のたびに、特定の店・金額・期限に限定したカード番号を発行し、毎回承認を求める	本物のカード番号をエージェントに渡していないか
ブラウザの制限	ページはアクセシビリティ情報として読むだけで、JavaScriptは実行できない。利用者はいつでも操作を引き取れる	作業中の画面を見て、途中で介入できるか

中でも、メール連携でワンタイムコードやパスワード再設定リンクを除外している点は、地味ですが非常に実践的です。メールアカウントは、ほとんどのWebサービスの「合鍵」だからです。社内でエージェント導入を検討する際は、この観点を持っているかどうかを、ベンダーに質問してみる価値があります。

Metaも認めている「限界」

一方で、Meta自身が率直に認めている限界もあります。ここを押さえておくと、どこまで任せるかの線引きがしやすくなります。

プロンプトインジェクションは未解決：Metaは、業界全体でまだ解決されていない問題であり、Museもミスをすると明言しています。バグバウンティでは最大30万ドル、うちプロンプトインジェクションの成功に最大13万ドルを支払うとしており、「破られうる」前提で動いていることがわかります
Metaが中を見られないわけではない：現在のSecure VMは、ユーザーデータへの社員のアクセスを「運用ポリシー」で制限しているもので、技術的にアクセスできなくなっているわけではありません。Meta自身もそう説明しています。Metaでさえ暗号的にアクセスできない「Muse Confidential VM」は年内提供予定とされていますが、当初は有料プラン限定で、音声モードなどが使えない可能性があると報じられています
広告と完全に無関係ではない：会話やVM内のデータは広告システムに渡さないとしています。ただし、Museがブラウズした記録は「本人のアクセス」として相手サイトに見えるため、訪問先の企業がInstagramで広告を出すなど、間接的に影響することはあるとMeta自身が書いています
自作コネクタの扱い：Museは、APIのあるサービスであれば自分でコネクタを作れます。ただし、上記の隔離された実行の仕組みについて、技術ブログが明記しているのは組み込みコネクタの場合です。自作コネクタに同等の保護があるかは、公式の説明でははっきりしません

「完璧に安全です」と言うのではなく、「破られる前提で、被害の範囲をここまでに抑える」と構造で説明している点は、エージェント製品の情報開示として一つの基準になりそうです。

実践3：自社サービスに「エージェントが来る」側の備え

Museは、APIのないサービスでも、人間と同じようにブラウザで操作して用事を済ませます。つまり企業側から見ると、ある日から顧客の代わりにAIがログインしてくるということです。米国ではこれがすでに摩擦を生んでいます。

Amazon（9月20日）：Museによる買い物をブロックし、「許可されていないAIエージェントのアクセスは利用規約違反」と表示。事前の連絡がなかったこと、エージェントが自分の正体を名乗らずに閲覧していること、顧客の認証情報の扱いへの懸念を理由に挙げています。Metaは、Museがパスワードや決済情報を見ることはないと反論しています
JPMorgan Chase（10月13日）：ジェイミー・ダイモンCEOが、Museなど外部のAIエージェントが顧客口座にログインして操作することを認めないと表明。顧客がログイン情報をエージェントに渡し、望まない操作が行われた場合の責任は顧客側にある、という立場も示しました
その他の金融機関：CitigroupやBank of Americaも同様の制限をかけていると報じられ、証券会社のCharles Schwabも、Museによる資金移動をブロックしていると明かしています

これを受けてMetaは、AIカスタマーサービス企業のSierraと共同で、「個人のエージェントが顧客の代理として動いていること」を相手企業に明示するためのプロトコル「Poppy」を開発中だと明らかにしています。逆に、Shopifyのように連携を選ぶ企業もあり、Metaはパートナー申請の窓口（muse.ai/platform）も用意しています。

日本でもMuseが使えるようになったことで、同じことはもう国内でも起こりえます。Museが日本で連携を進めているメルカリやマネーフォワード MEのように公式に迎える企業がある一方、連携していないサービスにもMuseはブラウザ経由でやって来ます。EC、SaaS、金融などのサービスを運営している企業は、次の点を今のうちに決めておくとよいでしょう。

方針：エージェント経由の利用を歓迎するのか、条件付きで認めるのか、拒否するのか
利用規約：顧客がエージェントにログイン情報を渡した場合の責任分担を明文化する
検知とログ：自動化された操作を見分けられるか、不審な操作を後から追えるか
正面玄関の用意：歓迎するなら、画面操作されるより、APIや公式コネクタで迎えたほうが安全で、管理もしやすい
顧客への案内：パスワードを第三者のサービスに預けるリスクを、わかりやすく伝える

社内ルールのたたき台

最後に、ここまでの内容を、パーソナルエージェント全般に使える社内ルールのたたき台としてまとめておきます。Museに限らず、dotsやGemini Sparkを社員が使い始める前に、一度検討してみてください。

業務アカウント（メール・カレンダー・ストレージ）を個人のエージェントにつなぐ場合は、事前申請制にする
最初は読み取り専用で始め、送信・公開・購入は「毎回承認」を原則にする
無期限の許可は、読み取りや影響の小さい操作に限る
メール連携では、ワンタイムコードやパスワード再設定メールがエージェントからどう扱われるかを確認する
決済には、使い捨てカード番号や利用上限のある手段を使う
監査ログを週に一度確認し、エージェントの記憶に誤りがあれば修正・削除する
会話データの学習利用の設定を確認し、業務利用ではオプトアウトを基本にする
退職・異動時は、接続済みサービスの解除とエージェント内データの扱いを手続きに含める

まとめ

Museは、「AIに目標を渡し、生活や仕事の一部を預ける」という使い方を、一般の人が無料で始められるところまで持ってきた製品です。米国での爆発的な普及を見ると、日本語で無料で使えるようになった今、国内でも一気に広がる可能性は十分にあります。

ただ、Museで本当に学ぶべきなのは「何ができるか」よりも、どう任せ、どう守り、どう迎えるかです。目標の渡し方、権限のはしご、承認の有効期間、そして「破られる前提」の安全設計は、どのエージェントにも通じる考え方です。AmazonやJPMorganの対応が示すように、エージェントを受け入れる側のルールづくりも始まったばかりです。日本での提供はまだ始まったばかりで、国内サービスとの連携もこれからです。使う側としては小さく試して権限を少しずつ広げ、受ける側としては方針を決めておく。この両方を、今のうちに進めておくのが得策だと思います。

本記事は、Metaの公式発表・技術ブログおよび各種報道（2026年10月28日時点の情報）をもとに整理したものです。ダウンロード数、無料プランの利用量、各社の対応などの一部は第三者の調査・報道に基づきます。提供地域、料金体系、機能、安全対策は今後変更される可能性があるため、実際の利用や社内ルールの検討にあたっては必ず公式情報をご確認ください。