- ClarocがMuseの共有リンク6,800件を列挙し、数百件を開いて非公開情報を確認
- 共有URLに会話タイトルが含まれ、パッシブDNSで検索できたことが原因
- Metaは共有機能を一時停止し、リンクの発見方法の見直しを検討中
何が起きたのか
Metaの汎用AIエージェント「Muse」で、ユーザーが会話を共有する際に生成されるWebリンクから、意図しない第三者が内容を閲覧できる状態だったと、セキュリティ企業Clarocの研究者が2026年10月19日（現地時間の月曜日）に報告した。Museは検索結果や会話、画像などをリンクで他人と共有できる機能を持っている。
Clarocの研究者はMuseのユーザーが作成した共有リンク6,800件を列挙し、そのうち数百件を実際に開いた。そこには公開を前提としていない情報が含まれていたという。Ars Technicaがこの研究を報じた数時間後、Metaは共有機能を一時停止し、見直しと変更の検討を進めると明らかにした。
研究者は「こうした情報を集めるには相応の手間がかかると事前なら考えていた。実際にはクエリ1回で済んだ」と述べている。特別な攻撃手法ではなく、公開されている仕組みを使うだけで到達できた点が特徴である。
なぜリンクを発見できたのか
通常、共有リンクには推測困難な長い文字列が含まれ、URLを知っている人だけが開ける設計になっている。Museも同様の長い文字列を付けてはいたが、すべての共有リンクが「cf.metaaiusercontent.com」という同一ドメイン上に作られていた。
さらにURLのなかに会話のタイトルがそのまま含まれていた。Clarocは「home-sale-budget-9f21c8a3.cf.metaaiusercontent.com」のような形を簡略化した例として示している。URLにタイトルが入ることで、ドメイン名の名前解決情報を記録するパッシブDNSのデータベースを検索するだけで、リンクの存在を拾える状態になっていた。
パッシブDNSは、ドメイン名とIPアドレスの対応履歴を蓄積する仕組みで、商用サービスとして広く提供されている。共有リンクが誰かに開かれると、その名前解決の記録が検索可能なデータベースに残る。Clarocは、リンクを渡されていない人でも自力でたどり着けるこうしたページを「GhostShares」と呼んでいる。
実際に露出していた情報
Clarocが確認した内容は、業務文書から個人の生活情報まで幅広い。ある候補者が最先端AI研究所との非公開の幹部採用面談に備えて作成したメモでは、研究所側の内部連絡先と会議時刻が記載されていた。国内のマーケティング企業の社内向け収益レビュー資料や、中小企業オーナーの融資金額を含む借入申請書も含まれていた。
個人に関わるものとしては、銀行の不正利用アラート、口座番号の一部、取引金額と時刻を含むToDoリストがあった。不動産投資家の運用実績レポートでは、2件の物件住所と正確な利回り・収入・住宅ローンの数字が確認された。職場の年間休暇カレンダーでは、数十人の従業員名と休暇週が並んでいた。
いずれも共有リンクを開けば誰でも読める状態だったとみられる。研究者がすべてのリンクを開いたわけではなく、数百件を確認した時点での報告である点には留意が必要だ。
Museの立場と過去の指摘
Museは公開直後からAppleのApp Storeで上位に入る人気を集めている。フォームの自動入力、予約、購買、文書作成などを自律的にこなす一方、意図どおりに動くためにはユーザーのほとんどのアカウントへのアクセス権を必要とする。Metaはこの権限に見合う信頼性を前面に押し出して宣伝してきた。
MetaのCEO、Mark Zuckerberg氏は先月、Museについて「プライバシーとセキュリティのためにゼロから構築した」と説明していた。今回の指摘は、その説明と共有機能の実装のあいだに差があることを示すものといえる。
また、Museの公開から3週間後には、macOSのセキュリティ専門家Patrick Wardle氏が、同一端末上の任意のアプリがMuseのアカウントを完全に掌握できるゼロデイ脆弱性を発見している。Metaは端末がすでに侵害されていない限り悪用は不可能だとして深刻度を低く見積もったが、ClickFix攻撃だけで乗っ取りが可能という指摘は認めていない。
現時点で分かっていないこと
Metaは共有機能を一時停止したが、再開の時期や、リンクの発見方法をどう変更するかは公表していない。すでに発行済みの共有リンクが無効化されたのか、過去にさかのぼってアクセスを遮断したのかも明らかにされていない。
6,800件という数字はClarocが列挙できた範囲であり、実際に存在する共有リンクの総数や、日本のユーザーが作成したリンクの件数は示されていない。漏洩した情報の件数や、影響を受けた組織・個人への通知の有無についても、現時点では公表されていない。
MetaはMuseのバグバウンティ（脆弱性報奨金）プログラムを開設しており、研究者からの報告を受け付ける体制を整えていると説明している。今回の指摘がどのように修正に反映されるかは、今後の発表を待つ必要がある。
| 項目 | 一般的な共有リンク | Museの共有リンク |
|---|---|---|
| URLの構成 | 推測困難な長い文字列 | 会話タイトル＋長い文字列 |
| ドメイン | サービスごとに分散 | すべてcf.metaaiusercontent.com |
| 第三者からの発見 | URLの受け渡しが前提 | パッシブDNS検索で列挙可能 |
We call these GhostShares: pages that open for people who were never handed the link, and that those people can find on their own.
私たちはこれをGhostSharesと呼んでいます。リンクを渡されていない人にも開けてしまい、かつその人たちが自力で見つけられるページのことです。
今後の見通し
Metaが共有機能の再開時にどのような変更を加えるかが次の焦点となる。URLから会話タイトルを外す、共有ごとに異なるサブドメインを割り当てる、といった設計変更が検討されているかは現時点で公表されていない。加えて、すでに発行済みのリンクがどう扱われるかが明らかになれば、過去の露出リスクを評価できる。バグバウンティを通じて同種の報告が今後も出てくる可能性があり、Museが要求する広範なアカウント権限の妥当性をどう検証するかも論点になるとみられる。
日本の開発者・IT企業にとっての意味
AIエージェントは業務システムや個人アカウントへの広い権限を前提に動くため、その補助機能である「共有」の設計が情報漏洩の入口になり得ることを今回の事例は示しています。日本のIT企業が自社サービスや社内ツールにAIエージェントを組み込む場合、共有URLの命名規則、ドメインの持ち方、タイトルなどのメタ情報をURLに含めるかどうかを、リリース前のレビュー項目として明示的に確認する必要があります。また、パッシブDNSのように外部から観測可能なログを通じてURLが発見され得るという前提に立ち、 shared link を「推測不能な文字列」だけで守る設計からの見直しが求められます。社内でMuseのような外部エージェントを業務利用する際は、機密情報を会話に含めたうえで共有機能を使わない運用ルールと、アカウント権限の最小化をあわせて検討することが実務上の対策になります。
気になる点
- 日本からMuseを使っている場合も影響はありますか
- 共有リンクはWebブラウザで開ける形式で作られるため、地域を限定する記載は原文にありません。日本国内のユーザーが作成したリンクも同様の性質を持つと考えられます。ただし国別の影響件数や対象範囲は公表されていません。
- 共有機能はいつ再開されますか
- Metaは報告のレビューと変更の検討のために一時停止すると表明していますが、再開時期は公表されていません。リンクの発見方法をどう変えるかについても、現時点では具体的な内容は示されていません。
- すでに共有したリンクは削除されるのでしょうか
- 既存リンクの無効化や削除については、原文に記載がありません。機能の一時停止が既存ページのアクセス遮断を意味するのかも明らかではなく、Metaの追加発表を待つ必要があります。
用語解説
- AIエージェント
- 指示に基づいてフォーム入力や予約、購買などを自律的に実行するAI。広い権限を必要とすることが多い。
- パッシブDNS
- ドメイン名とIPアドレスの対応履歴を蓄積したデータベース。過去にどのドメインが使われたかを検索できる。
- ゼロデイ脆弱性
- 修正プログラムが提供される前に悪用され得る脆弱性。発見時点では防御策がない。
- ClickFix攻撃
- 偽のエラーメッセージなどでユーザーに特定の操作をさせ、不正なコマンド実行を誘導する手口。
- バグバウンティ
- 外部の研究者が脆弱性を報告した際に報奨金を支払う制度。製品改善と早期発見を目的とする。
出典
Meta Muse exposes users' personal and business secrets when they share conversations
AI導入も顧問も、お任せください
何から手をつけるか、どこまでAIに任せるか。自社の業務に合わせて整理し、導入から運用まで伴走します。相談だけでも構いません。
AI導入について相談する