MetaのAI「Muse」に報告された2つの脆弱性　分かっていること、分かっていないこと

MetaのAIエージェント「Muse」について、利用者ごとのクラウド環境に攻撃者がアクセスできた可能性のある脆弱性が報じられました。環境にはメールやファイルなどが含まれるとされています。Metaはアプリ内の安全警告をより明確にする方針ですが、攻撃の具体的な仕組みや、利用者にどのような操作が必要だったのかは公表情報から確認できません。118

この報告は、別に見つかったMuseのMacアプリの不具合とは異なる問題です。セキュリティ研究者のパトリック・ウォードル氏は、Mac上ですでに動いているプロセスが音声入力の通信先を変更し、認証情報を取得する可能性を示しました。2つの報告をひとつの攻撃手法として扱わないことが重要です。71013

新たに報じられたクラウド環境の問題

ロイターがThe Informationの報道として伝えたところによると、この脆弱性は外部の研究者からMetaのバグ報奨金制度を通じて報告されました。攻撃者が利用者専用の仮想マシン、つまり利用者ごとに用意されたクラウド上の環境にアクセスできた可能性があり、その環境にはメールやファイルなどの情報が含まれるとされています。118

一方、公開された報道では、脆弱性をどのように悪用するのかは説明されていません。悪意あるリンクが攻撃経路だったのか、利用者がリンクをクリックしたり何かを承認したりする必要があったのか、通信内容や進行中のセッションが影響を受けたのかも確認できません。これらを、別件のMacアプリの不具合から推測することはできません。

ロイターによると、MetaはMuse内の安全警告をより分かりやすくする対応を進めています。ただし、警告の変更以外にどのような対策を取ったのか、脆弱性そのものが修正されたのか、影響を受けた利用者がいたのかは、報道では明らかになっていません。1

別件のMacアプリ不具合では何が起きたのか

ウォードル氏が報告したのは、MuseのmacOSアプリに関する問題です。こちらは、利用者のMac上ですでにコードが動いていることが前提でした。報道によると、特別な権限を持たないローカルアプリやコマンドから、音声入力の送信先を指定するMuseの非公開設定を変更できました。その結果、音声入力の通信をMeta以外のサーバーに向け、認証情報を取得できる可能性がありました。1013

つまり、単に被害者へリンクを送るだけで成立する攻撃として説明されたわけではありません。Mac上でローカルプロセスが動いている必要があり、問題となったのはMuseの音声入力機能を使う経路です。報道によると、Metaは製品版から該当設定を取り除き、このMac版の不具合に対処しました。710

AIエージェントの広い権限が意味すること

Museはメールやメッセージングアプリなどのサービスと連携できます。また、Macアプリにはファイル、マイク、カメラ、位置情報、カレンダーなどへのアクセス権が与えられる場合があります。911 こうした連携は便利な一方、エージェントや認証情報が侵害された場合、利用者がすでに許可した範囲を悪用されるおそれがあります。

ウォードル氏が示したMac上の不具合は、広い権限を持つエージェントが侵害された場合のリスクを例示するものです。ただし、それによって今回報じられたクラウド側の脆弱性の影響範囲や攻撃方法まで判明したわけではありません。710

現時点で押さえておきたいのは、確認された仕組みと、まだ公表されていない点を分けることです。Mac版の問題は攻撃経路が説明され、修正されたと報じられています。一方、新たなクラウド環境の報告では、想定される影響とMetaの警告変更は伝えられたものの、攻撃方法、利用者の操作の要否、根本的な修正状況は明らかになっていません。1718