MetaのAIアシスタント「Muse」にゼロデイ脆弱性が発覚——Macが完全乗っ取りの危険に

Metaが新たに公開したAIアシスタント「Muse」は、一般向けに公開されて間もなく、深刻なゼロデイ脆弱性を露呈した。WIREDの報道（原著者：Dan Goodin、Ars Technica）によると、この脆弱性を悪用することで、攻撃者は被害者のmacOS搭載Macに対してローカルファイルの読み取りやアカウント認証情報の窃取、持続的なバックドアのインストールなど、ほぼあらゆる操作を制限なく実行できる状態にあったという。Metaはすでに修正プログラムをリリースしたと発表したが、この事件は改めて古くて根深い問いを突きつけている——私たちがAIアシスタントにシステム権限を与えるとき、いったい何を手渡しているのか、と。

脆弱性の核心：AIアシスタントに「手足」が与えられた

過去10年、チャットボットの主なリスクは「誤った発言」にあった——偏ったコンテンツの生成、学習データの漏洩、プロンプト攻撃によるジェイルブレイクなどだ。しかし新世代のAIアシスタントには実行能力が付与されている。ファイルの読み書き、ターミナルの操作、ローカルAPIの呼び出し、ユーザーに代わったUI操作などがそれにあたる。Museもまさにこの種の製品であり、自然言語による指示を解釈し、OSレベルでユーザーの代わりにタスクを実行するよう設計されている。

利便性の裏には権限がある。セキュリティ研究者たちは以前から、こうした「エージェント型（agentic）」AIが攻撃面となった場合、脆弱性の危険度が「情報漏洩」から「リモートコード実行」へと一気に跳ね上がると警告してきた。Museのゼロデイ脆弱性はまさにその通りで、攻撃者はデバイスに物理的に触れることなく、アシスタントの命令解析や権限検証における欠陥を突いてサンドボックス制限を回避し、正規ユーザーと同等の制御権を手にする可能性があった。

Metaは、攻撃者が被害者のMac上で「何でも好き放題できた」このゼロデイ脆弱性に対して修正プログラムを公開したと発表した。

なぜAIアシスタントが新たな高リスクの攻撃面になったのか

従来のデスクトップソフトウェアは権限の境界が比較的明確だった。ブラウザがドキュメントフォルダを読み書きするべきではなく、画像編集ソフトが連絡先をネットワーク経由でアップロードするべきではない。しかしAIアシスタントは、まさにそうした境界を取り払うことを目的として設計されている——文書を要約するためにファイルへのアクセスが必要であり、スケジュール管理を手伝うためにシステムインターフェースの呼び出しが必要であり、命令を理解するためにクラウドモデルとの接続が必要だ。その結果、一つの製品がローカル権限・ネットワーク経路・自然言語インターフェースを同時に握ることになり、三者が重なることで攻撃者にとって理想的な組み合わせが生まれてしまう。

さらに厄介なのが「プロンプトインジェクション（prompt injection）」という新たな攻撃手法だ。攻撃者はアシスタント自体を直接攻撃する必要はなく、アシスタントが読み取るコンテンツ——メール、Webページ、PDFなど——に悪意ある命令を埋め込むだけで、本来実行すべきでない操作をアシスタントに誘導できる可能性がある。アシスタントがシステムレベルの権限を持つ場合、こうした攻撃の影響は劇的に拡大する。今回のMuseの脆弱性はMetaによってゼロデイ欠陥と定義されているが、この件はAIアシスタントのセキュリティモデルがいまだ成熟していないことを改めて示している。

修正後に残る三つの本質的問題

第一に、対応速度と開示のタイミングについて。Metaが迅速に修正プログラムを公開したことは評価に値するが、ゼロデイ脆弱性とはパッチが公開される前から、攻撃の窓口が現実に存在していたことを意味する。ユーザーは往々にして、自分がリスクにさらされていたことを事後になって初めて知る。

第二に、最小権限の原則が無視されていること。業界全体に共通する問題として、AIアシスタントはインストール時に過度に広範な権限を要求し、ユーザーはすでに「すべてに同意する」ことに慣れきっている。アシスタントが特定のフォルダの読み取りだけを必要とするなら、ディスク全体へのアクセス権を持つべきではないし、タスクがネットワーク接続を必要としないなら、デフォルトで外部接続を維持すべきではない。

第三に、責任の帰属について。AIアシスタントが侵害されて損害が生じた場合、責任はモデル提供者にあるのか、OSベンダーにあるのか、それともユーザー自身にあるのか。現時点では多くの司法管轄区においてこの責任の連鎖が不明確なままであり、責任の曖昧さはベンダーがセキュリティを強化する動機を弱めることになりかねない。

編集後記：AIアシスタントの「能力配当」と「セキュリティ負債」

Museの事件は、孤立した製品上の事故として単純に捉えるべきではない。業界全体が「AIエージェント時代」に突入したことによって必然的に直面する構造的リスクだ。過去2年間、大手企業のほぼすべてがアシスタントを「対話ボックス」から「OSの実行レイヤー」へと押し上げてきた——それが確かにユーザーにとっての実質的な価値を生み出すからだ。しかし能力とリスクは常に同じコインの表裏をなしている。アシスタントに与える権限の大きさは、潜在的な攻撃者に与える権限の大きさに等しい。

一般ユーザーへの現実的なアドバイスとしては、AIアシスタントへのシステムレベルの権限付与を慎重に行い、必要に応じた承認を行うサンドボックスモードを優先的に選択し、セキュリティアップデートを速やかに適用し、「アシスタントにすべてを自動処理させる」ことへの一定の節制を保つことが挙げられる。ベンダーにとっての真の試練は、危機管理対応の速さではなく、製品設計の初日から「最小権限」と「セキュア・バイ・デフォルト」をアーキテクチャに組み込めるかどうかにある。そうでなければ、今日修正されたゼロデイ脆弱性は、明日の別の事故への序章に過ぎない。

本稿はWIREDより編集翻訳したものです。