1つの未公開設定が、MetaのMuseをディクテーションのバックドアに変えるのに十分だった

2026年9月21日、セキュリティ研究者のPatrick Wardleはnot-a-musedという概念実証を公開し、macOS向けMetaのMuseアシスタント内にある文書化されていない1つの設定項目が、アプリが音声入力の内容をどこへ送るかを決めていることを示した。鍵となるのはendo_voyager_dictation_endpointであり、ログイン中のユーザーとして実行されているプロセスならどれでも、管理者パスワードやmacOSのプロンプトなしでこれを書き換えられる。攻撃者が管理するアドレスを指定すれば、Museの音声と文字起こしはMetaではなくそこへ送られる。Wardleは、攻撃者がその後、音声入力を読み取り、Museが従う命令を注入し、ユーザーのMuseアカウントにサインインするためのトークンを窃取できることを示した。これにより、そのアカウントがサインインしているすべてのデバイスに到達できる。Metaは翌日にホットフィックスを出荷したと述べている。実際の攻撃は報告されていない。この開示に関するアーカイブ自身の記録は、重大度評価と引用元とともに、AIインシデントアーカイブ内で、このシリーズの他のエージェント脆弱性の項目と並んで掲載されている。

この設定が何をするのか、そしてなぜ鍵1つで十分だったのか

The Registerの報道によると、Wardleは非営利団体Objective-Seeの共同創設者だ。MuseはMetaのパーソナルエージェントで、2026年9月上旬に米国で公開された。The Hacker Newsの報道によると、ユーザーが一度有効にすれば、ユーザーが与えることを選んだアクセス権を利用して、ファイル、メール、メッセージ、カレンダー、ショッピング、スマートホームアプリを横断して動作できる。Wardleの発見は、そのアクセス権リストの中にあるのではない。その下にある基盤部分にある。Macアプリには、ディクテーション音声をデバイス外へルーティングする設定が同梱されており、そのルーティング先アドレスは、オペレーティングシステムが同一ユーザーとして実行される他のプログラムから保護しない場所に保存される。

リポジトリ自身の言葉を借りれば、概念実証（PoC）は「ローカルの攻撃者またはマルウェアが特別な権限なしにこのエンドポイントを変更できる」こと、その後「音声入力されたプロンプトを攻撃者が制御するエンドポイントに送信できる」ことを示している。リポジトリは、それによって潜在的に可能になることとして、音声入力された音声とプロンプトの取得、Museへのプロンプトインジェクション、Museの認証情報の窃取、ユーザーがアプリに付与したあらゆるアクセスの悪用を挙げている。その結果を一行で要約すると、「Museのアクセスは潜在的に攻撃者のアクセスになり得る」となる。この概念実証は、READMEがMuseの公開する50以上のコマンドのサブセットと呼ぶものを実装している。

The Hacker Newsが説明する一連の流れは機械的だ。攻撃者が同じMac上で実行するプログラムが設定を書き換え、その後待機する。ユーザーがマイクをタップして話す。音声と結果のテキストはMetaではなく攻撃者のプログラムに送られる。そこからWardleは3つのことを実証した。ユーザーが口述した内容を読むこと、Museが信頼して実行する追加の指示を挿入すること（この媒体はその効果をプロンプトインジェクションと表現している）、そしてユーザーのMuseアカウントにサインインするためのトークンを取得することだ。

トークン、そしてその背後にあるすべてのデバイス

トークンはMacの外に出ていく部分だ。Hacker Newsは、Museがリダイレクトされたディクテーションとともに認証トークンを送信していると報じている。そのため、文字起こしを取得するのと同じリスナーが認証情報も取得してしまう。Wardleによれば、これを使えば攻撃者はアカウントのチャット履歴を読み、アシスタントに直接指示を出せる。さらに、Museアカウントは複数のデバイスでサインインできるため、その指示は侵害されたマシンに限定されない。

Wardleはその部分を自身のハードウェアで実行した。MacからiPhone上のMuseアプリに指示し、正確な位置を報告させ、近くのデバイスのBluetoothスキャンを実行させ、送信可能なスマートホームコマンドを一覧表示させた。The Hacker Newsはこの実演にひとつの限界を付け加えている。彼のテストでは、アシスタントはメッセージを自ら送信するのではなく、下書きを作成するだけだった。

それが、このバグを単なる音声入力の漏えい以上のものとして扱うべき理由だ。The Registerは、Wardleによる一般的な問題の捉え方を報じている——macOSはあるプログラムが別のプログラムのデータを読むのを防ぐために作られたが、広範なアクセスを与えられたエージェントは、そうした制御における単一障害点になる、というものだ。「悪い隣人が引っ越してきたからといって、その隣人が自動的にすべてのアパートにアクセスできるわけではない」と彼はThe Registerに語った。鍵を渡されたアシスタントは、それとは別の話である。

やらないこと

情報源には3つの限界が示されており、影響を評価する人にとって重要だ。第一に、この脆弱性はそれ自体でMacへの侵入経路になるものではない。ログイン中のユーザーとしてすでに実行されているコードを必要とし、そのためWardleのリポジトリはこれを「ローカル攻撃」と位置づけ、Metaは後にローカル特権昇格と呼んだ。第二に、macOSのアプリケーション分離を破るものではない。The Hacker Newsは、あるアプリが別のアプリの保存済みパスワードやトークンを読むのを防ぐ境界を越えないと報じている。Muse自身のトークンはリダイレクトされたディクテーションに付随して運ばれ、攻撃はMuseにすでに持っているアクセス権で動作させることで成立する。第三に、Metaが各ユーザーのエージェントを他者から隔離するために構築したクラウド設計が破られたことを示すものではない。

それが示しているのは、エンドポイントセキュリティが気づかない可能性がある理由だ。The Hacker Newsは、コマンドがマルウェアのように見えるものからではなく、通常の署名済みアプリケーションであるMuseから届くというWardleの指摘を報じている。The Registerは、EDR製品はコマンドがユーザー、エージェント、攻撃者のいずれから来たのか判別できないという同じ懸念を、彼の言葉で記録している。

ワードルは原因も特定している。The Registerは、Appleがオンデバイスのディクテーションを提供していると報じており、彼の評価では、MetaがそのAPIを使っていればこの脆弱性は存在しなかったという。彼は、Metaがデータを欲しがっているために使わないことを選んだのではないかと示唆し、こう付け加える。「彼らのユーザーデータへの貪欲さが一種の扉を開き、攻撃対象領域を広げていると思う」。これはMetaの動機に関する彼の推測であり、文書化された事実ではなく、ここで確認した報道ではMetaはそれに応答していない。

開示、ホットフィックス、そしてラベルをめぐる議論

WardleはMetaに先に伝えることなく公表した。The Hacker Newsは、ユーザーにリスクを理解してもらうため、またそれがしばしば修正への最速の道であるため、彼が完全開示を選んだと報じている。彼に取材したThe Registerによると、Metaはコメント要請にすぐには応じなかったという。

回答は翌日返ってきて、それにはある性格づけが添えられていた。9月22日のソーシャルメディア投稿で、Meta Superintelligence LabsのDavid Singletonは、Museアプリに修正を加えたと述べた。「これはリモートエクスプロイトではなく、ローカル特権昇格攻撃でした。したがって、これを悪用して害を及ぼすには、ユーザーのマシン上でそのユーザーアカウントの下ですでに悪意あるコードが実行されている必要があり、Muse Macアプリのユーザーにとっての実際のリスクはかなり低いものでした」。投稿はさらにこう付け加えた。「それでもなお、この問題に対処するため、アプリにホットフィックスを配信しました」。

狭い論点が一つだけあり、そこでは双方の見解が分かれているが、その不一致は仕組みではなく分類に関するものだ。Singletonの発言は、既存のローカルコードが存在するという要件に基づいている。WardleはThe Hacker Newsに対し、リモートの攻撃者でもClickFixの手口を通じてそこに到達できると述べた。これは、ダウンロードもインストールも不要で、ユーザーを説得して単一のコマンドをTerminalに貼り付けさせる手口であり、エクスプロイトが必要とするローカル実行を提供することになる。この記事のために確認したどの情報源も、誰かが実際にそうしたとは報告していない。また、ClickFixの経路は観測されたキャンペーンではなく、実証された可能性である。

ホットフィックスが何を変更するのかは公開されていない。Hacker Newsは、その変更が何を行うのか確認できず、Metaがセキュリティアドバイザリを公開していないと報じた。アーカイブの記録も同様に、アドバイザリが発行されていないと注記している。したがってMuseユーザーは、問題に対処済みだというMetaの言葉だけを得ており、その方法を説明する文書は得ていない。

何が確立されており、何が確立されていないのか

アーカイブはこの記録を信頼度Aと評価している。十分に文書化されており、一致する一次資料があるためで、争いがあるともフラグ付けしていない。この評価は被害が発生したという主張ではない。記録は実際の被害を偽と明記しており、確認した報道内容のどこにも、攻撃を受けたユーザー、盗まれたアカウント、失われたファイルについての記述はない。証拠は研究者による概念実証、本人によるデモンストレーション、およびベンダーの声明である。

• 判明：Muse macOSアプリには、endo_voyager_dictation_endpointという文書化されていない設定があり、音声入力の送信先を制御していた。Wardleのリポジトリと両媒体によると、ログイン中のユーザーとして実行されているプロセスが、管理者権限なしでそれを書き換えることができた。

• 確認された点：そのエンドポイントをリダイレクトすると、ディクテーションの音声と文字起こしが攻撃者の管理するアドレスに送信され、Muse の認証トークンもそれに伴って送られていた、と The Hacker News は伝えている。

• 確立：その方法で取得したトークンは、同じアカウントでサインインしている他のデバイス上のMuseを操作できる可能性がある。Wardleは自身のiPhoneで位置情報の報告、Bluetoothスキャン、スマートホームのコマンド一覧を実演したと、The Hacker Newsは報じている。

• 確認済み：この攻撃にはユーザーとしてのコード実行が必要であり、macOSのアプリケーション分離を回避できず、Metaのクラウド分離も侵害していない（The Hacker NewsおよびWardleのリポジトリによる）。

• 判明していること： WardleはMetaに事前通知せずに公開し、Metaは9月22日にホットフィックスを配信したと述べた（The RegisterおよびThe Hacker Newsによる）。

• 未確認：ホットフィックスが何を変更したのか、その設定が現在のビルドにまだ存在するのか、そしてClickFixの経路がそれを回避して成立するのか。レビュー対象の報道には、この修正を説明するアドバイザリ、変更履歴、CVEエントリはいずれも見当たらない。

• 確認されていない：実際の攻撃で誰かが標的になったかどうか、また、この脆弱性がmacOSアプリ以外のプラットフォームで到達可能だったかどうか。記録にある実証はすべて、Wardle自身のマシン上で実行された。

• 未確認：独立した再現。両メディアがこの発見を報じ、The RegisterはWardleに電話でインタビューしたが、第三者がこのリダイレクトについて独自の検証結果を公開したことはなく、MetaもSingletonによる分類以上にこの欠陥を自らの言葉で説明してはいない。

暫定的な助言と、一般化できること

修正が未確認だった間に、The Hacker News は Mac ユーザー向けの短い注意事項リストを公開した。これは露出範囲を正確に対応づけているため、記録しておく価値がある。Muse を終了または削除すれば、この経路は完全に閉ざされる。Muse が保持しているアプリと権限を見直し、不要なものをすべて取り消す。そうすれば、乗っ取られたエージェントが引き継ぐものが少なくなる。Mac がすでに侵害されている可能性がある場合は、Muse アカウントとそれに接続されたアカウントを露出済みとして扱い、それらのパスワードを変更する。Muse の音声入力は避ける。これは実証コードが待ち受ける特定のトリガーである。また、Web サイトやメッセージに指示されて Terminal に貼り付けるコマンドは実行しない。ClickFix の経路はこうして始まる。

応用可能な知見は「AIは安全ではない」より狭く、「アプリにパッチを当てよ」より鋭い。エージェントの有用性とその爆発半径は同じ数値だ。Museにファイルを読ませ、メッセージを送らせる権限は、攻撃者がMuseを操ることで継承する権限であり、Museが通過したどの統制もそれ自体が破られたわけではない。macOSはアプリの境界を保ち、Metaのクラウドは分離を保ち、トークンはキーチェーンから抜き取られなかった。不活性であるべき設定が耐荷重要素になっており、しかもそれは、それが指し示すデータを守るために築かれたあらゆる層の外側にあった。ウォードル本人がThe Registerに語った設計上のトレードオフの要約こそ、パッチより長く残るものだ。「非常に便利で、非常に力を与えてくれます。しかし、便利に設定すればそれだけ多くのアクセス権を持ちます。事実上、コンピューター上で何でもできてしまうのです」