2026年9月22日，安全研究者Peter James在其个人博客mouse.dev发文，记录了自己向Meta的AI代理Muse索要文件系统并收到6.8GB完整镜像的经过。他原本只是让Muse把自己会话可见的文件归档并发到他的Google Drive，Muse照办了：压缩包约2.7GB，解压后6.8GB，内容看起来是其会话所分配Linux环境的根文件系统，包括Ubuntu系统文件、Muse内部文档、集成代码、应用模板、内存文件与代理日志，其中还有SSH密钥文件。这篇文章当天登上Hacker News首页，收获94分。
作者在文中反复声明边界：他没有演示沙箱逃逸，也没有获取其他用户的数据，也没有公开镜像、密钥或会话日志。他向Meta的漏洞赏金计划提交了发现并联系了多位员工，报告的核心关切是内部运行时文件与敏感材料能通过一次普通对话和一个已连接的导出目的地离开沙箱环境，而他无法确认这些SSH密钥是否仍然有效、能提供何种访问权限。
内部代号Hatch与代理的自述文件
镜像中最有意思的内容集中在三个路径之下，而Hatch是Meta内部对Muse的称呼，贯穿全部运行时文件。代理的家目录里放着一组自述文件：SOUL.md、IDENTITY.md、USER.md、MEMORY.md、AGENTS.md与TOOLS.md，旁边还有文档、内存、工作区项目、频道、钩子与订阅等目录。一个agents目录里存放了113条子代理记录及其JSONL调用轨迹，约20篇Markdown文档则描述了浏览器使用、连接器、支付、凭据、数据处理、生成文件、语音、目标与排程等机制，并为WhatsApp、配对的Mac、Tailscale以及一个名为Home Link的设备集成各自留有专门指南。
技能体系方面，技能目录下约有68个技能子目录，通常是一个SKILL.md指令文件配一个命令行工具或支撑代码，覆盖Google Workspace、Meta自家社交应用、Outlook、旅行、购物、健康服务、家庭设备与媒体生成。两份配置文件skill-scopes.conf与bin-scopes.conf还暗示了尚未发布的连接器名单，其中包括Slack、Dropbox、Polymarket、Canva、Klaviyo以及一个内部命令行工具。
Spaces框架与未发布的Home Link硬件
镜像中最大的代码工程是Spaces框架，Muse用它构建并托管应用。其TypeScript启动模板包含React客户端、服务端动作、Drizzle编写的SQLite模式与数据库迁移、以及Bun的构建配置，另有worker、sdk、cloudflare与cvm等目录中的运行时代码。导出物里还有面向文档、PDF、演示文稿、电子表格与Markdown的构建器，以及一个负责合成卡片与视频的魔法时刻技能。
容器组装方式也被完整暴露：运行时单元目录下有18个文件，包括构建根文件系统的脚本、用systemd-nspawn启动它的脚本，以及运行启动钩子与守护进程的脚本，另有一份清单文件描述镜像中的软件包与systemd单元。文档目录里还描述了一个实验性质的Meta Home Link集成，基于带Wi-Fi与低功耗蓝牙的ESP32-C5芯片。此外，镜像里装着版本为0.149.0的Codex命令行工具以及为Codex构建的bubblewrap二进制文件，但作者没有找到Muse把它当作编码代理使用的证据。
Meta的赏金团队与多位员工将这一发现裁定为不适用，未认定其为漏洞。Hacker News的讨论也分成两派：一方认为每个用户都有自己独立的虚拟机，沙箱内的内容本就属于用户空间，能拿到自己环境的文件并不构成攻击，就像打开网页的开发者工具；另一方反驳说，暴露的文件与工具版本意味着可以核查已知漏洞、发现未文档化的服务，SSH密钥即便只是公钥也能泄露内部开发机的命名，而这些信息正是向真实入侵迈进的前置情报。截至发文，Meta尚未公开回应这一裁定引发的争议。