Meta「安全を一から作り込んだ」AIに、Macで乗っ取れる欠陥

📑 目次

1. Muse Mac版は何を代行し、何の権限を求めるのか
2. Museのゼロデイ欠陥で何が起きたのか
3. Metaの言い分とWardle氏の反論
4. Muse設計への指摘：Wardle氏とArsが挙げた2つの判断
5. Museのようなエージェントを入れる前に確かめること
6. まとめ
7. 参考・出典

MetaのMark Zuckerberg CEOは、AIエージェント「Muse」を「built from the ground up for privacy and security（プライバシーと安全のために一から作られた）」と説明してきた（Wired転載のArs Technica記事）。そのMuseのMac版に、Mac上のアプリやコマンドが利用者のアカウントの鍵を奪える欠陥が見つかった。欠陥を見つけたのはmacOSのセキュリティ専門家Patrick Wardle氏だ。Metaは公表からおよそ半日〜1日で修正版を出した。参照した報道に、実際に悪用された事例の記載はない。それでも、MacにAIエージェントを入れる人が確かめる点は残った。

Muse Mac版は何を代行し、何の権限を求めるのか

MuseはMetaが9月8日に発表したAIエージェントで、Mac版は9月17日に公開された（VentureBeat）。Arsによると、予約、フォーム入力、購入、文書の作成などを利用者に代わって行う。WhatsApp、メール、カレンダー、SNSのアカウントとも連携する。Metaはこの2週間で、Museの安全性とプライバシーをどう設計したかを説明する記事を2本公開している（Ars）。

動かすには、利用者が先に権限を渡す必要がある。各サービスへのログインを許可し、Mac本体の機能にも許可を出す。ファイルの書き込み、マイクとカメラ、位置情報、カレンダーの監視などだ。

macOSは通常、あとから入れたアプリや、ターミナル（文字でMacに命令する画面）に打ち込んだコマンドが、これらの機能に勝手に触れないよう守っている。Arsは、Museがこの標準の守りを崩したと書いている。

Museのゼロデイ欠陥で何が起きたのか

ゼロデイとは、作った会社が修正版を出す前に見つかった欠陥を指すセキュリティ用語だ。ArsはMuseの今回の欠陥をこう呼んでいる。

Arsによると、Museは多数の「未文書化の設定」を、Mac上のどのアプリやコマンドからでも変更できる設計だった。macOS上の権限の有無は関係ない。大半は暗色表示の切り替えのような無害な設定だ。ただし1つだけ、音声入力の文字起こしを行う送信先を変えられた。この送信先をエンドポイントと呼ぶ。アプリが音声データを送る先のサーバーの住所のことだ。通常はMetaのサーバーだ。

攻撃者がこれを自分のサーバーに書き換えると、Museのアカウントのトークンが攻撃者に届く。トークンとは、一度ログインすると、以降はパスワードなしで本人として扱われるための文字列だ。持っている人は、そのMuseアカウントを完全に操作できる（Ars）。

攻撃の一例はこうだ。攻撃者のサーバーが、利用者とMetaのサーバーの間に入る。利用者が音声で指示を出すと、攻撃者のサーバーが、WhatsAppの全メッセージを攻撃者へ送らせる指示を足す。トークンも同時に届くので、攻撃者はその後もアカウントを操れる。

Wardle氏は、悪意あるファイルの書き込みや写真撮影を行う実証用の攻撃を作った。多くの場合、注意深い利用者にも兆候が出ないという。同氏はArsにこう述べている。

「We can manipulate the agent and leverage its privileges to do whatever we want.（エージェントを操り、その権限を使って何でもできる）」。本格的なMac用マルウェアを書かなくても、AIアシスタント自身を使えばいい、とも話した。

Metaはホットフィックス（緊急の修正版）を出し、本番ビルドから当該の設定を削除した（VentureBeat）。修正までの時間は、Arsが「公表から12時間あまり後」、VentureBeatは「1日以内」と伝えている。

Metaの言い分とWardle氏の反論

Meta Superintelligence LabsのDavid Singleton氏は、こう述べた（Forkastが引用）。

「This was a local privilege escalation attack, not a remote exploit. Using it to do harm therefore requires malicious code already running on the user’s machine under their user account.」

訳すと、「これはローカルの権限昇格攻撃で、リモートからの攻撃ではない。悪用するには、悪意あるコードがすでに利用者のMac上で、利用者のアカウントの権限で動いている必要がある」となる。権限昇格とは、すでにそのMacの中で動いているプログラムが、本来より大きな力を手に入れることだ。

セキュリティ企業Malwarebytesも、何も入っていないMacを外から乗っ取るものではなく、攻撃者はまずMac上でコードを動かす必要があると書いた。ただし、Mac向けの情報窃取マルウェアの実例を踏まえ、最初の侵入は決して不可能ではないとも述べた（Malwarebytes）。

Wardle氏は、遠隔から入る道があると反論した。

「But there was a remote exploit vector: a simple ClickFix attack could deliver the hijack giving a remote attacker complete access then to every victim device running Muse.」

訳すと、「だが遠隔から攻撃する経路はあった。単純なClickFix攻撃でこの乗っ取りを仕掛ければ、遠隔の攻撃者が、Museを使う被害者の全端末に完全にアクセスできる」となる。ClickFixとは、利用者をだまして、自分の端末にコマンドを打ち込ませて感染させる手口だ。Arsによれば、この手口の簡単な変形だけで、Museのアカウントを奪える。

Wardle氏は、端末のコマンドでこっそり指示を送る実演をした。ClickFixで遠隔から乗っ取られた実例が確認されたわけではない。

Muse設計への指摘：Wardle氏とArsが挙げた2つの判断

Wardle氏は、Metaの設計判断が今回の攻撃を可能にしたと指摘する。1つ目は、音声入力の処理をクラウドで行うと決めたことだ。Metaはクラウド側で内容を記録できる。macOSには、音声認識をMacの中だけで済ませる標準の手段が以前からある。Arsは、この安全な手段を選んでいれば攻撃は成り立たなかったと書いている。

2つ目は、どのアプリでも、未文書化の設定をすべて変更できるようにしたことだと、Arsは論評する。Arsは、画面表示の設定を触らせたい事情は理解できるとしつつ、音声の送信先まで変えられるのは別の問題だと書く。Arsによれば、Metaはクラウド型を選んだ理由を、これまでのところ説明していない。

Wardle氏は、この種のアプリに求める安全性の水準は桁違いに高いと述べた。Malwarebytesは、同氏の助言として「Please don’t install.（入れないで）」を伝えている。

Arsの筆者は「多くのAIエージェントと同じく、Museも信用できない。いつか信用できるようになるかも分からない」と評価した。これはArsの見方だ。

Museをめぐっては、公表の約12時間前にAmazonが購入での利用を遮断した。詳しくはAmazonがMuseを遮断した件を参照してほしい。Metaのプライバシーの過去はMuse発表時のプライバシー問題の記事で扱った。

Museのようなエージェントを入れる前に確かめること

まず、何の権限を渡すのかを確かめる。Museの例では、メールやWhatsAppのアカウントと、Macのファイル書き込み、マイク、カメラ、位置情報だ。乗っ取られると、渡した権限がそのまま攻撃者に使われる。渡す権限が少ないほど、乗っ取られたときの被害は狭くなる。Macの許可は「システム設定」の「プライバシーとセキュリティ」で見直せる。

次に、会社の管理者に見えるかを確かめる。VentureBeatによれば、Museは利用者が渡した認証情報でサービスに接続して代行するが、企業のセキュリティチームは、そのアクセスをまとめて把握する手段をほぼ持たない。VentureBeatによれば、Metaの公開資料には、SIEM（会社の端末やサービスの操作記録を集め、不審な動きを探すシステム）への監査記録の出力も、IT管理画面も、DLP（機密情報が社外へ出るのを防ぐ仕組み）との連携も記載がない。また、Museに渡すAPIキー（プログラムがサービスに接続するための鍵）は、外部サービスへの標準的な許可の仕組みであるOAuthの許可を作らない。そのため、OAuthの許可だけを見ている管理策には映らない。

この構造なら、社員が自分で渡した認証情報での接続は、管理者の側から見えにくいと考えられる（本記事の筆者の推測）。

AIエージェントに何を渡すことになるのかは、MCPをつないだあとにAIへ渡すものでも整理した。エージェントが意図しない相手に侵入した例はGeminiが外部3社に侵入したテストでも扱った。

まとめ

Muse Mac版の欠陥は修正され、悪用された事例も確認できていないが、遠隔から入れるかをめぐるMetaとWardle氏の議論は決着していない。「一から作り込んだ」と説明されたエージェントでも、入れるときは機能の便利さより先に、何の権限を渡すのかと、会社の管理者がそれを見られるのかを確かめたい。

参考・出典

• Wired（Ars Technica転載）：Meta’s Muse AI Assistant Rolled Out With a Serious Security Flaw
• VentureBeat：Meta patched Muse’s zero-day, but security teams still lack visibility into what the agent can access
• Malwarebytes：Meta’s Muse AI assistant has a zero-day that can turn it into a Mac backdoor
• Forkast：Meta Patched Its Muse macOS Zero-Day Just Before Connect. The Dispute Over Who Could Exploit It Remains Open.

---