Meta hat den KI-Agenten Muse am 8. September 2026 gestartet, und bereits einen Monat später zählten die Analysten von Jefferies: Etwa ein Drittel der großen amerikanischen Websites blockiert ihn, ein weiteres Drittel führt Überprüfungen durch oder schränkt den Zugang ein, und nur das verbleibende Drittel lässt ihn ohne Probleme durch. Amazon hat Muse in der Nacht zum 21. September den Zugang verwehrt, Beschwerden über Ablehnungen kommen von Nutzern von eBay, Yelp, Zillow und Fluggesellschaften, und der Dienst Fingerprint gab am 6. Oktober bekannt, dass er den Muse-Verkehr mit hoher Sicherheit erkennen kann. Lassen Sie uns untersuchen, warum der Agent von Meta gegen Anti-Bot-Systeme verliert und welche Schlussfolgerungen daraus für alle zu ziehen sind, die die Arbeit im Browser automatisieren.
Was ist Muse und wie bewegt er sich auf Websites
Muse ist ein persönlicher Agent für langwierige Aufgaben und kein Chatbot mit Antworten in einer einzigen Nachricht. Der Nutzer gibt im Chat einen Auftrag, und der Agent öffnet selbstständig Websites, füllt Formulare aus, loggt sich in Konten ein, wendet Promo-Codes an und tätigt Käufe. Wichtige Fakten:
- Start: 8. September 2026, zunächst nur in den USA, auf iOS, Android und im Web, für Nutzer ab 18 Jahren.
- Wo er arbeitet: Jeder Nutzer hat seine eigene virtuelle Maschine in der Cloud von Meta mit einem Browser auf Chromium. Die Arbeit des Agenten kann in Echtzeit beobachtet werden.
- Preise: kostenloses Niveau plus Abonnements für 20 und 100 Dollar pro Monat.
- Bezahlung: Käufe werden von einer Person bestätigt, während der Agent über Link — eine Stripe-Wallet für Agenten — bezahlt, die eine Einmal-Kartennummer ausgibt.
- Reichweite: Laut Sensor Tower, das von Inc. zitiert wird, wurde die App über 2,5 Millionen Mal heruntergeladen.
Meta nannte Stripe, Shopify, Best Buy, Gap, Sephora, Walmart, Wayfair, Expedia, Instacart, GitHub und Notion als Partner. Aber das Wichtigste ist, dass Muse auch dort arbeiten soll, wo es keine Partnerschaft gibt: Meta sagt direkt, dass der Agent Dienste ohne API über den Browser nutzt, „wie es ein Mensch tun würde“.
Warum Muse blockiert wird: ein Agent ohne Identität
Die kurze Antwort: Muse tarnt sich als gewöhnlicher Besucher und identifiziert sich dabei nicht. Für Anti-Bot-Systeme ist dies die schlechteste Kombination.
Eine Tarnung, die sichtbar ist
Der Journalist von Inc., Jason Aten, beschrieb, dass Muse Chrome mit deaktivierten Automatisierungsmerkmalen startet: er verbirgt die Eigenschaft navigator.webdriver, setzt gefälschte Werte für Browser-Plugins ein und überprüft Seiten auf Captchas und Cloudflare-Fehlercodes. Dies ist ein klassisches Set von „Stealth“-Techniken aus der Welt der headless-Browser. Das Problem ist, dass solche Techniken nur so lange funktionieren, bis die Anbieter von Erkennungssystemen sich anpassen — und das haben sie in wenigen Wochen getan.
Fingerprint formuliert in seiner Analyse vom 6. Oktober so: Viele KI-Agenten identifizieren sich über den User-Agent oder die Signatur Web Bot Auth, während Muse keine überprüfbare Identität bereitstellt, den Fingerabdruck des Browsers ändert und Automatisierungsflags unterdrückt. In der Antwort ihres API wird solcher Verkehr jetzt als bot_type: "meta_muse" markiert, Kategorie ai_agent, Vertrauen hoch. Ein wichtiger Punkt: Fingerprint vergibt das Label „schlecht“ nicht wegen nachgewiesenen Schadens, sondern wegen des Fehlens einer angegebenen Identität.
Die Position von Amazon
Amazon erklärte die Blockierung mit drei Gründen: Meta hat nicht gewarnt, dass der Agent die Website besuchen wird; Muse identifiziert sich beim Browsen nicht; der Agent könnte anscheinend die Anmeldedaten der Käufer abfangen und speichern. Meta antwortete, dass Muse keine Passwörter und Zahlungsdaten sieht und dass die Konten in einem sicheren Speicher liegen. Nutzer von Muse auf Amazon sehen jetzt ein Fenster mit der Warnung, dass der Zugriff eines nicht autorisierten KI-Agenten gegen die Nutzungsbedingungen verstößt. Laut The State of AI verlangen die Bedingungen von Amazon seit August, dass Agenten sich in jeder Anfrage identifizieren.
Amazon hat eine lange Geschichte mit Agenten: Das Unternehmen verklagt Perplexity wegen des Agenten Comet, und dieser Streit hat bereits die Berufungsebene erreicht. Die rechtliche Seite — was als „Zugriff“ gemäß CFAA gilt — haben wir ausführlich in dem Artikel Amazon v. Perplexity: wer „erhält Zugriff“ auf eine Website behandelt.
Wer hat sonst noch die Tür geschlossen
TechCrunch hat am 6. Oktober die Positionen der Unternehmen gesammelt, über die Nutzer von Muse sich beschweren:
- Yelp lässt keinen nicht-menschlichen Verkehr zu, es sei denn, der Agent bezahlt für den Zugang über ein Datenlizenzierungsprogramm.
- eBay verbietet nicht allen Shopping-Agenten, schränkt jedoch nicht autorisierte Agenten, Scraping und das Training von Modellen ein. Zwei Nutzer berichteten, dass eBay ihre Konten wegen der Nutzung von Agenten-KI gesperrt hat.
- Zillow erlaubt Agenten, die im Namen von Verbrauchern handeln, erkennt jedoch an, dass die Anti-Bot-Schutzmaßnahmen sie manchmal ausschließen.
- Delta hat keine Partnerschaft für Buchungen durch Drittanbieter-Agenten, United verweist auf Bedingungen, die Roboter ohne schriftliche Genehmigung verbieten.
- Walmart — offizieller Partner von Muse — erklärte, dass die Blockierungen unbeabsichtigt waren: der Agent stolperte über die Schaltfläche zur Überprüfung „Ich bin ein Mensch“.
Die Gründerin von The Information, Jessica Lessin, schrieb, dass in zwei Tagen „die Hälfte der Nutzungsszenarien“ von Muse verschwunden sei. Jefferies, die Hunderte von E-Commerce-Websites, Fluggesellschaften, Reisebüros, Hotels und Buchungsdienste überprüfte, stellte fest, dass neue Einschränkungen „fast täglich“ auftauchten und kam zu dem Schluss: Der Engpass der Agenten-Kommerzialisierung ist der Zugang zu Websites, nicht die Qualität des Modells.
Die Rolle von Cloudflare
Ein Teil der Ablehnungen könnte überhaupt nicht die Entscheidung eines bestimmten Shops sein. Seit dem 15. September blockiert Cloudflare standardmäßig Agentenverkehr auf Seiten mit Werbung für neue Domains, und Websites mit der alten Einstellung „Bots blockieren“ wurden auf dieselbe Politik umgestellt. Detaillierte Informationen zu dieser Änderung finden Sie in unserem Artikel Cloudflare blockiert AI-Crawler auf Werbesites. Laut The State of AI gab es im Oktober einen separaten Eintrag für Meta Muse im Katalog der KI-Bots von Cloudflare. Cloudflare selbst sagte gegenüber TechCrunch, dass sie keine spezifischen Daten über die Blockierung persönlicher Agenten hat, sodass bisher niemand eine direkte Verbindung bestätigt hat — aber die zeitliche Übereinstimmung ist offensichtlich.
Wie es enden wird: eine Signatur statt Tarnung
Die Branche bewegt sich in Richtung, dass „gute“ Agenten sich präsentieren, anstatt sich zu verstecken:
- Web Bot Auth — ein Entwurfstandard der IETF, bei dem der Agent jede Anfrage kryptografisch signiert und beweist, welchem Betreiber sie gehört. Eine solche Signatur kann im Gegensatz zu einer User-Agent-Zeile nicht gefälscht werden.
- Branchenspezifisches Protokoll Agent — Geschäft: Laut TechCrunch entwickeln Meta, Walmart, Stripe, Sierra, Genesys, Rocket, NiCE und Decagon einen offenen Standard für die Kommunikation von Agenten mit Geschäften, um gute Bots von schlechten zu unterscheiden.
- Direkte Verbindungen: Meta verhandelt einzeln mit Marken — Walmart, Best Buy, Wayfair, Sephora, Dick's Sporting Goods — aber viele Integrationen sind noch nicht gestartet. Shopify hat Muse die Bestellung über Shop Pay ermöglicht.
Die Position von Meta ist so formuliert: Einem persönlichen Agenten zu verweigern, bedeutet, dem Kunden, der dahinter steht, zu verweigern. Die Geschäfte antworten bisher, dass der Kunde selbst kommen kann.
Was das für diejenigen bedeutet, die den Browser automatisieren
Die Geschichte von Muse ist ein anschaulicher Test für alle, die Playwright, Puppeteer, browser-use oder Anti-Detect-Browser verwenden. Wenn es Meta mit ihren Ressourcen gelungen ist, sich einige Wochen zu tarnen, hat ein selbstgeschriebenes Skript nicht viel mehr Chancen. Praktische Schlussfolgerungen:
1. Tarnung von Flags ist keine Strategie
Das Verändern von navigator.webdriver und Plugins wird durch Inkonsistenzen erkannt: Der Fingerabdruck des Browsers, das TLS-Handschlag und das Verhalten müssen dieselbe Geschichte erzählen. Wenn Sie einzelne Eigenschaften ändern und der Rest „maschinell“ bleibt, sieht der Detektor einen Widerspruch. Es bedarf der Konsistenz des gesamten Profils und nicht nur einer Ansammlung von Flickwerk.
2. Cloud-VM ist über die IP sichtbar
Muse arbeitet aus der Cloud von Meta, also aus den Bereichen des Rechenzentrums, in denen gewöhnliche Käufer nicht sitzen. Anti-Bot-Systeme bewerten den Ruf der Adresse, bevor sie den Fingerabdruck des Browsers bewerten. Für Aufgaben, bei denen Sie im Namen eines echten Nutzers handeln — eigene Konten, Preisüberwachung im persönlichen Bereich, Testen Ihrer Website — sollten die Anfragen von einer Adresse kommen, die typisch für dieses Publikum ist. Dafür werden residential Proxys mit Heim-IP der gewünschten Länder oder mobilen Proxys von Mobilfunkanbietern verwendet, wenn das Szenario mobil ist.
3. Ein Konto ist teurer als eine Anfrage
Der Fall mit eBay zeigt: Es wird nicht nur die Anfrage bestraft, sondern auch das Konto. Wenn der Agent sich in ein Konto einloggt, halten Sie für ihn ein stabiles Paar „Profil + IP“ — eine sticky-Sitzung mit einer Adresse, nicht eine Rotation bei jeder Anfrage. Ein Wechsel des Landes und des Anbieters mitten in der Sitzung ist eines der stärksten Signale für einen Kontozugriff.
4. Die Regeln der Plattform sind wichtiger als die Technik
Amazon, United und Yelp verbieten ausdrücklich nicht autorisierte Agenten in den Nutzungsbedingungen. Kein Proxy macht einen Verstoß gegen die Bedingungen legal, und die Rechtsprechung zu Agenten bildet sich gerade erst. Wenn die Plattform eine offizielle API, ein Partnerprogramm oder eine Datenlizenzierung hat — ist das zuverlässiger als ein Wettlauf mit dem Detektor.
5. Bereiten Sie sich darauf vor, sich zu identifizieren
Für öffentliche Agenten und Crawler, die langfristigen Zugang wünschen, verschiebt sich der Fokus in Richtung signierter Anfragen. Wie dies technisch funktioniert, haben wir in dem Artikel über Web Bot Auth und signierte Agenten beschrieben.
Fazit
Muse ist der erste massenhaft konsumierte Agent, der nicht an den Möglichkeiten des Modells scheitert, sondern an den Türen der Websites: Amazon blockiert, eBay sperrt Konten, Fingerprint und Cloudflare führen separate Labels für ihn ein. Die Lektion ist universell. Ein Agent, der sich als Mensch ausgibt, aber über eine Cloud-IP und einen manipulierten Browser verfügt, verliert. Gewinnen wird derjenige, der entweder ehrlich auftritt und mit der Plattform verhandelt oder im Namen eines echten Nutzers mit einem konsistenten Profil, einer Adresse aus dem richtigen Netzwerk und im Rahmen der Regeln der Website handelt.