MacStories 创始人实测 Meta Muse：沙箱 VM 里装上 Claude Code，可查看完整的工具调用与浏览器日志

9 月 26 日，MacStories 创始人兼主编 Federico Viticci 在 X 上并附上多张截图：他让 Meta 面向消费者的 agent（智能体）应用 Muse 在沙箱虚拟机（VM）里装上了 Anthropic 的编程 agent Claude Code，并展示了安装路径、登录流程，以及可以逐条查看的工具调用与浏览器操作日志。这是他个人账号里的动手实测，不是 Meta 的官方说明。

截图里有一组可以直接核对的细节：Muse 报告，Claude Code 2.1.283 被装进 VM 的 ~/.local，为的是「在 VM 重启后仍然存在」，并把 ~/.local/bin 加进 PATH。在里，自定义 CLI（命令行工具）pocketctl 被装到 ~/workspace/tools/pocketctl；按 Muse 的说法，这是「venv + 可编辑安装，所以能在 VM 更新后保留」。

接管浏览器登录，然后读一条 Slack 消息

宣布这件事的帖子只有一句话：「我觉得大家没意识到，你可以在 Muse 里装 Claude Code。」随帖的四张截图里，他的 Muse 名叫 Calliope。

其中一张截图记录的是登录环节。Viticci 对 Muse 的要求是：装得持久，同时解决怎么用他的 Claude 账号在 VM 浏览器里登录。Muse 回复说，它已经启动了 claude auth login，命令停在「粘贴代码」提示符上；它在 VM 浏览器里打开了 Anthropic 的授权页面，请用户自己接管这个实时浏览器会话、用 Claude 账号完成登录和授权，理由是「我始终看不到你的密码」。授权完成后页面会显示一次性代码，浏览器把它交给 Muse，Muse 再送进等待中的 CLI，最后验证登录是否成功。

接下来，Viticci 对 Muse 说：「Claude 连着 Slack。告诉我写作频道里 John 最新的消息是什么。」Muse 返回了那条消息的内容，并附上一句解读。

另一条帖子：/workspace/tools 与一次 195 毫秒的策略检查

在 Claude Code 那条帖子之前不到一小时，Viticci 发过一条更概括的帖子。他说 Muse 应用默认「非常简单、非常快」，而「如果你四处翻翻，就能在它的 VM 里（/workspace/tools 文件夹下）装自定义 CLI，并查看它完整的工具调用日志」；「所有浏览器搜索都可以查看，你还能看到浏览器操作做了哪些动作、这些动作是如何被评估的」。在他看来，Muse 是 AI 工具「把复杂度藏起来」的一个有意思的案例；他 @ 了 Alexandr Wang 和他的团队，说他们做对的地方在于：让还不了解 AI「已经能自己动手做事」的普通人用得顺手，同时让高级用户能折腾它、看看底下发生了什么。

他随帖的截图展示了这些日志有多细。安装 Pocket Casts CLI 的任务页里，「MAIN」区域逐条列出执行过的步骤：读取 docs/install.md、读取认证文档、读取 SKILL.md、读取 pyproject.toml 元数据、检查 Python 与 uv/pipx 可用性和工作区 skills 目录。任务说明也交代了过程中的失败：初次 git clone 因认证错误失败，于是改用 Python 3.12 直接从仓库安装，验证通过，但 CLI 尚未登录。

浏览器操作的日志更细。一条「点击 Emma 对比页上的 @e35 元素」的记录里，除了工具名 browser_automation 和动作 click @e35，还列出了浏览器任务 ID、快照包路径、文档 ID，以及一次策略检查：pi_check:clean 在 195 毫秒内完成，policyguard 判定 clean。记录最后写明没有报错，点击成功执行。

Meta 的说法：Muse Secure VM 和一个 Sentinel

Muse 于 9 月 8 日，是 Meta 面向消费者的个人 agent，由 Muse Spark 模型驱动，先在美国上线 iOS、Android 和网页端。

发布公告说，Muse 运行在「Muse Secure VM」上——一台同时容纳 agent 和个人数据的专用虚拟机；同一台机器上还有一个独立的 Sentinel agent，「Muse 的任何操作，不经 Sentinel 批准都到不了互联网」。公告还称，Muse 会向用户展示「它做过什么、计划做什么」的完整审计轨迹。

Meta 的安全博客把隔离讲得更工程化：每台 VM 是一台隔离的 Linux 机器，带浏览器，「有足够的存储、CPU 和内存来做真正的工作，比如编译 agent 写的代码、开发自定义 skill、处理并发的 subagent 和定时任务」；正确的思维模型「是一台机器上两个隔离的安全域，而不是一个拥有 root 权限的 LLM agent」。设计说明则写着：「Muse 有自己的电脑，带文件系统和终端，所以它可以写自己的代码、为任务造工具」；「点开你的 Muse 头像，就能看到它的完整活动日志，以及你批准过的权限」。

Meta AI 负责人 Alexandr Wang 在发布时对说：「在幕后，Muse 可能在运行非常高级的编码工作流，或者构建复杂的集成，做很多繁重的工作，同时让用户端保持简单。」他还说应用运行在「自己独立的隔离环境」里。

把 Claude Code 装进这台 VM 的做法，来自 Viticci 的实测。

回复区里有人跟着装：Muse 当协调者，agent 套 agent

在帖子回复里，有人报告了同类玩法。产品设计师写道，他给 Muse 接上了 Claude Code、Codex、SuperGrok 和一个 30 美元的 Gemini API key，把 Muse 当协调者，「让它借助各家服务里的 agent 建网站、做决策、验证答案」。另一位用户的回复是嵌套式的：在 Muse 里装 Claude Code，在 Claude Code 里装 OpenClaw，在 OpenClaw 里再装 Codex。

截至 9 月 28 日，Viticci 这条帖子在 X 上约有 56 万次浏览、3,400 多次点赞、近 250 条回复。

待解的问题：Anthropic 会怎么处理

回复区里也出现了政策层面的质疑。用户写道，这「违反 Anthropic 的政策」，不能通过 bot 使用 Claude 或 Claude Code；另一条直接问「Anthropic 会不会封」。这两条都来自 X 用户的账号，不是 Anthropic 或 Meta 的官方声明。

Viticci 在更早那条帖子的结尾说，他很好奇 OpenAI 会用即将推出的「o」agent 如何回应这个局面（还有 Grok Bot），以及它能把消费级体验做得多友好。这些能力的长期可用性未知。