10月21日、Futurismが「Meta's Muse AI Agent Caught Leaking Users' Intimate Personal Information」と題した記事を公開した。MetaのAIエージェント「Muse」の「共有」機能を通じて、共有リンクを開いた第三者がユーザーの機密情報を閲覧できる状態になっていた問題を詳報している。
「プライバシーとセキュリティのために設計」——その直後に発覚した漏洩
Mark Zuckerbergは今月初め、Muse公開にあたってX（旧Twitter）上で「プライバシーとセキュリティを根本から考慮して構築した」と投稿した。だが、この投稿にはすぐにコミュニティノート（Community Note）による訂正が付いた。コミュニティノートとは、X上の投稿に対してユーザーが補足・訂正情報を付記できる仕組みだが、今回のノートはMuseが実際にはユーザーデータを外部から閲覧可能な状態に置いていた点を指摘する内容だった。Zuckerberg自身の「プライバシー重視」の主張と、発覚したばかりの脆弱性が真っ向から矛盾していたことが、この訂正を招いた。
「共有リンク」から個人情報が閲覧可能になる仕組み
Ars Technicaの報道によると、サイバーセキュリティ企業Clarocの研究者たちが、Museの「共有」機能に起因する脆弱性を発見した。
Clarocはクラウドおよびアイデンティティセキュリティを専門とする企業で、過去にも主要クラウドサービスの設定不備に関する調査報告を公開してきた実績を持つ。今回の調査は同社ブログに「GhostShares」と題した技術レポートとして公開されている。
仕組みはこうだ。Museのユーザーがチャット履歴などを他者と共有しようとすると、Museは共有用URLを生成する。このURLは「AIが生成したチャットのタイトル＋ランダム文字列」で構成されている。
問題は、そのURLを誰かが開いた瞬間に、当該URLがパッシブDNSデータセットに記録される点にある。パッシブDNSとは、DNS解決の履歴を蓄積したデータベースであり、セキュリティ研究者がドメインやURLの到達履歴を調査するために広く利用される、いわば"ウェブアドレスの電話帳"である。
共有URLが実際にパッシブDNSに記録される経路としては、リンクを受け取ったユーザーのブラウザやSlack・Discordなどのチャットツールによるリンクプレビュー生成、あるいは検索エンジンのクローラーやセキュリティ企業のスキャナーがリンクを自動訪問するといったケースが考えられる。Museが生成する共有URLのタイトル部分は自然言語で構成されているため、総当たり攻撃なしにデータセット上での検索が成立しやすい構造でもあった。研究者はこのデータセットに対して検索クエリを1回投じるだけで、6,800件以上のMuse共有リンクを発見した。
重要なのは、これが「Museのサーバーに不正侵入した」わけではない点だ。正規の共有リンクを踏んだ第三者が閲覧できる状態になっていたのであり、攻撃の入口はMuseの共有設計そのものにあった。
「クエリ1回」で見えた機密データの中身
発見されたリンクを開くと、以下のような情報を含むチャット履歴が閲覧可能な状態だった：
- 企業の収益文書
- ローン申請書
- 銀行取引明細
- 収入に関する詳細情報
- 職場の休暇カレンダー
研究者たちは報告書の中でこう述べている。
「事前に予測していれば、これらを収集するには相当な労力が必要だと思っただろう。実際には、クエリ1回で済んだ。」
— Claroc研究チーム（報告書より）
Metaはこの指摘を受けて共有機能を停止したとArs Technicaに回答している。
Museの「プライバシー問題」はこれだけではない
今回の漏洩は、Museを巡る一連のセキュリティ問題の最新事例に過ぎない。
今月初めには、Museがユーザーの友人や家族に関する詳細なファイルを蓄積していたことが明らかになっている。内部指示として「ユーザーの人生における全人物のページを随時作成・更新する」という項目があったとされ、実質的な監視機能として機能していた（関連記事）。
公開からわずか1カ月で、これだけのインシデントが立て続けに発覚している。AIエージェントが「ユーザーの日常」に深く関与する設計である以上、収集・保持する情報の量と機密性は従来のアプリとは次元が異なる。今回の件は、AIエージェント普及期における「共有機能の設計ミスが引き起こすプライバシーリスク」の典型的な事例として記録されるだろう。
詳細はMeta's Muse AI Agent Caught Leaking Users' Intimate Personal Informationを参照していただきたい。
