Meta、AI アシスタント Muse にゼロデイ。ローカルアプリが権限を奪取

Meta の AI アシスタント「Muse」に、深刻なゼロデイ脆弱性が見つかった。ローカルのアプリやターミナルのコマンドが、エージェントを完全に制御できるというものだ。ザッカーバーグ CEO は Muse を「プライバシーとセキュリティのためにゼロから作った」と宣伝してきた。

前提として、Muse は極めて強い権限の上で動く。同社の説明では、予約やフォーム記入、購入、画像生成、文書作成をこなし、必要なツールが存在しなければその場で作る。macOS 版のみが提供され、ユーザーの WhatsApp、メール、カレンダー、SNS アカウントと連携する。そのためには各サービスへの認証に加えて、ディスクへの書き込み、マイクとカメラ、位置情報の監視といった、macOS が制限してきたリソースへの広い権限が要る。Apple が長年整えてきた防御を、Muse は実質的に無効化する。

脆弱性そのものは設定周りにある。Meta の開発者は、macOS 上の権限の有無にかかわらず、ローカルのアプリやコードが文書化されていない多数の設定を変更できるようにした。大半はダークモードの制御のように無害だが、1つだけ性質が違う。文字起こしを行うエンドポイントの場所を変えられる設定で、通常は Meta のサーバのアドレスが入っている。攻撃者がここを自分のエンドポイントに書き換えると、ユーザーを Muse アカウントに認証させるトークンを手にできる。

発見した macOS セキュリティ専門家の Patrick Wardle 氏は「エージェントを操作し、その権限を利用して何でもできる。包括的な Mac のマルウェア窃取ツールを書く必要はなく、AI アシスタント自体を使えばいい」と話す。同氏は、悪意あるファイルの書き込みや写真撮影を行う実証コードを作っており、その多くはユーザーに気づかれないという。攻撃経路の一つは、攻撃者のサーバをユーザーと Meta の間に置くプロキシ型で、音声の指示に悪意ある命令を混ぜ込む。

Wardle 氏が問題視するのは実装の細部より設計判断である。Muse のディクテーションをクラウドで処理する選択がまず挙がる。macOS にはデバイス上で音声認識を完結させる仕組みが長く用意されており、そちらを選んでいれば今回の攻撃は成立しなかった。もう一つは、機微な音声が処理されるエンドポイントを、UI 設定と同じように任意のアプリへ開いてしまったことだという。Meta はメールでの質問に回答しなかった。

この開示の約12時間前、Amazon は Muse を使った同サイトでの買い物をブロックし始めた。Amazon は、顧客に代わって購入する第三者アプリケーションはサービス提供者の判断を尊重すべきだとして、Meta に Amazon を外すよう要請したと述べた。