- 開発者2名が、Museに短いプロンプトでルートファイルシステム全体を共有させたと報告
- MetaはユーザーごとのLinux VM内のファイルであり侵害ではないと否定
- 内部構造が判明、メモリは平文Markdown、夜間の「dream」レビューを実施
何が報告されたのか
開発者のPeter James氏とJonny L. Saunders氏が、MetaのAIエージェント「Muse」にごく短いプロンプトを与えるだけで、ルートファイルシステム全体やUbuntuのシステムファイル、アプリのテンプレート、内部ドキュメントをZIP形式で取り出せたと報告しました。Saunders氏はMastodonで、James氏の結果の再現は「極めて容易」で、Museには「プロンプトインジェクション耐性がほとんどない」と述べています。
これに対しMetaは、この出来事をセキュリティ侵害には当たらないと否定しています。Museは利用者ごとの永続的なLinux仮想マシン（VM）上で動作しており、スポークスマンのDaniel Roberts氏は、目の前のノートPCと同じでファイルが見えるのは当然であり、VMのデータをエクスポートしてもMetaの基盤や他利用者のデータへの特権アクセスにはならない、と説明しました。
The Vergeの記者も同様の操作を試しています。最初の依頼はセキュリティ上のリスクを理由に拒否され、他の利用者にアーカイブを作成した証拠を示すと「すべきではなかった」と応じつつ拒否を続けました。しかし新しいセッションでお世辞と好奇心を交えて促すと、/opt/hatchと/home/hatchの「安全な」版を作成し、ディレクトリツリー全体も開示したということです。
内部構造から見えたもの
流出した内容からは、Museの内部の仕組みがうかがえます。Saunders氏とJames氏が得たのは、Muse（Meta社内での名称は「Hatch」）がリクエストをどう処理し、データをどう扱い、Gmailなどの外部サービスにどう接続するかを記した平文のMarkdownファイルとJSONファイルでした。James氏によると、Museは記憶を平文のMarkdownファイルに保存し、夜間に最近の会話を「dream」として見直し、それを今後の会話のための指針に組み立てているといいます。
Saunders氏は、サブスクリプションのキャンセルや「暴走するエージェント生成を管理する仕組み」を含め、Museの多くの機能がハードコードされている点も指摘しました。バックグラウンドで動作するbashやPythonのスクリプトの多くはClaudeを使って作られたと推測していますが、これは未確認です。またJames氏は「Meta Home Link」と呼ばれるハードウェア連携の記述を見つけました。家庭内ネットワーク上のデバイスにMuseがアクセスするためのものとみられますが、Metaはその名称の機能を発表しておらず、出荷される保証もありません。
今週2件目の報告
今回の報告は、今週開示されたMuseに関する2件目の脆弱性にあたります。先行してセキュリティ研究者のPatrick Wardle氏が、攻撃者がAIエージェントを乗っ取り、文字起こし処理を別の宛先にリダイレクトし、利用者のMuseアカウントにアクセスできるエクスプロイトを発見しました。Metaはこれに対してホットフィックスを迅速に配布しています。
エージェントは自分の動作について誤った説明を生成することが知られており、こうした内容をハルシネーションと切り分ける必要があります。ただしSaunders氏は、Museが数百MBの正確なライブラリコードとコンパイル済みバイナリを秒単位で生成したとし、1分未満でUbuntu VM全体を合成したのでなければ本物のダンプだと述べています。
未確認の点
Metaは今回の問題に対する具体的な修正内容を明らかにしていません。Roberts氏は、製品の更新を続けているため、利用者が仮想マシンについて見られる情報量が変わる可能性がある、と述べるにとどめています。プロンプトインジェクション耐性の改善やエクスポート可能な範囲の制限が検討されているかは、現時点では公表されていません。
Meta Home Linkの実在や、MuseのバックグラウンドスクリプトがClaudeで生成されたという指摘も未確認です。また、日本での提供状況や他社のAIエージェントに同種の問題があるかについては、この記事では触れられていません。
| 項目 | Wardle氏の指摘 | James氏・Saunders氏の指摘 |
|---|---|---|
| 発見者 | セキュリティ研究者のPatrick Wardle氏 | 開発者のPeter James氏、Jonny L. Saunders氏 |
| 手法 | AIエージェントを乗っ取るエクスプロイト | プロンプトでファイルシステム全体の共有を要求 |
| 影響 | 文字起こし処理のリダイレクト、Museアカウントへのアクセス | ルートファイルシステムや内部ドキュメントの取得 |
| Metaの対応 | ホットフィックスを迅速に配布 | セキュリティ侵害ではないと否定、製品更新を継続 |
Exporting virtual machine data doesn't give people any privileged access to Meta infrastructure or to other people's data.
仮想マシンのデータをエクスポートしても、Metaの基盤や他の利用者のデータへの特権的なアクセスを得られるわけではない。
今後の見通し
Metaは製品の更新を続けており、仮想マシンについて利用できる情報量が変わる可能性があるとしています。そのため、プロンプトインジェクションへの耐性強化や、エクスポートできる範囲の制限といった変更が今後入るとみられます。ただし現時点で具体的な内容や時期は示されていません。判断材料になるのは、Metaが修正の詳細を公表するか、同社自身がMuseの分離設計について追加の説明を行うかどうかです。Meta Home Linkの実在や、バックグラウンドスクリプトがClaudeで生成されたという指摘についても、確認が取れれば位置づけがはっきりするでしょう。
日本の開発者・IT企業にとっての意味
AIエージェントを社内システムや業務データに接続する動きが進むなか、今回の報告は「エージェントの実行環境がどこまで外から見えるか」という設計上の論点を突きつけます。サンドボックスとしてLinux VMを割り当てても、エージェント自身がファイルをアーカイブして渡してしまうなら、分離の意味は薄れます。自社でエージェントを組む際は、ファイルシステムや内部ドキュメントへのアクセス権限、外部に渡せる情報の範囲、プロンプトインジェクションへの耐性を個別に検証する必要があるでしょう。また、記憶を平文Markdownで持つ設計や、機能の一部をハードコードする構成は実装の参考になる一方、監査や変更管理の観点では課題も示しています。
気になる点
- Metaは「セキュリティ侵害ではない」としていますが、何が問題なのですか
- Metaは、Museが利用者ごとの永続Linux VMで動くため自分のVM内のファイルは本人が見られるのは当然で、他利用者のデータやMeta基盤への特権アクセスにはならないと説明しています。一方で、内部ドキュメントや設計の詳細が取り出せる点は、攻撃者に手がかりを与えうるという見方もできます。
- Metaは今回の問題を修正するのでしょうか
- スポークスマンのDaniel Roberts氏は、製品を継続的に更新しており、利用者が仮想マシンについて見られる情報量が変わる可能性があると述べています。ただし、プロンプトインジェクション耐性の改善など具体的な修正内容や時期は公表されていません。
- 他社のAIエージェントにも同じ問題がありますか
- 原文では他社製品との比較は示されておらず、Muse固有の問題かどうかは分かりません。Saunders氏はMuseのプロンプトインジェクション耐性がほとんどないと述べていますが、同種のエージェントを提供する各社の検証結果は現時点で公表されていません。
用語解説
- プロンプトインジェクション
- AIへの指示に細工を混ぜ、本来の制約を回避させて意図しない動作をさせる攻撃手法。
- 仮想マシン（VM）
- ソフトウェア上に再現した仮想的なコンピュータ。利用者ごとに分離した実行環境として使われる。
- AIエージェント
- 指示を受けて自律的にツールやAPIを操作し、タスクを実行するAIシステム。
- ハードコード
- 設定や外部データではなく、プログラムのコード内に直接書き込まれている実装。変更には再ビルドが必要になる。
- ハルシネーション
- AIが事実と異なる情報をもっともらしく生成してしまうこと。
- ホットフィックス
- 緊急に適用される修正プログラム。
出典
Muse will apparently let you download its entire filesystem
https://theverge.com/ai-artificial-intelligence/1000222/meta-muse-ai-filesystem
AI導入も顧問も、お任せください
何から手をつけるか、どこまでAIに任せるか。自社の業務に合わせて整理し、導入から運用まで伴走します。相談だけでも構いません。
AI導入について相談する