Meta、攻撃者がAIエージェントをハイジャックできるゼロデイをホットフィックス

セキュリティ研究者Patrick Wardleは、2026年9月22日、Metaが新たにリリースされた個人向けAIエージェントMuseにおけるゼロデイ脆弱性をホットフィックスしたと述べた。これは、2026年9月21日の公開開示で、特権のないローカルプロセスがMacアプリの音声入力トラフィックを攻撃者が制御するエンドポイントにリダイレクトし、エージェントを目に見えずにハイジャックできることを明らかにしたことを受けての対応である。

公開開示とパッチの確認

Wardleは、2026年9月21日14:42 UTCに開始されたXスレッドで調査結果を公開し、ユーザーにMuseのインストールを控えるよう警告し、深刻なゼロデイ欠陥がローカルマルウェアや攻撃者にエージェントを目に見えずハイジャックさせ得ると記述した。彼はこのスレッドに、GitHub上の「not-a-mused」というタイトルの概念実証リポジトリを添付し、リポジトリのコミット履歴には、プロジェクト名と説明の追加、notamused.pyスクリプトの作成、READMEの更新という3つのコミットがすべて2026年9月21日付であることが示されている。

2026年9月22日06:36 UTCにXプロフィール上の投稿で、Wardleは「やった、ホットフィックス完了！」と書き、パッチの速さを称賛した。その日の後の投稿で、彼はフルディスクロージャーの支持者であり、バグ修正が速くなると述べた。彼の開示スレッドでは、Objective by the Sea第9回セキュリティカンファレンスでさらなる詳細と追加のバグ情報を共有すると述べていた。

音声入力エンドポイントの欠陥

概念実証のドキュメントによれば、Museは未文書化の設定として以下を公開している endo_voyager_dictation_endpoint 特権なしでローカル攻撃者やマルウェアが変更できる。ユーザーがMuseのマイクロフォンボタンをクリックして音声入力を行うと、Wardleのスレッドによれば、アプリはその音声入力を攻撃者が制御するエンドポイントに送信する。READMEには、想定される影響として、音声入力とプロンプトの取得、Museへのプロンプト注入、Muse認証情報の窃取、そしてエージェントに付与されたすべてのアクセス権の悪用が列挙されている。リポジトリのドキュメントは影響を一文で要約している：「Museのアクセスは攻撃者のアクセスになる可能性がある」

概念実証は、Museが提供する50以上のコマンドのうちの一部を実装しており、マイクロフォンボタンの音声入力フローを通じてトリガーされるとREADMEは述べている。READMEは、この攻撃がローカルであること、すなわち攻撃者は既にローカルユーザーとしてコードを実行できる必要があると指摘している。リスクは増幅の観点から説明され、Museは通常のローカルマルウェアよりもはるかに広範なアクセス権を持つ可能性があり、特権とアクセスの増幅に対して特に有用な標的になるとされている。

彼のスレッドでWardleは、ハイジャックが成功した場合の実際的な影響として、ユーザーの音声入力の盗聴、Museが信頼して実行するプロンプトの注入、そしてユーザーの認証トークンを盗んでMuseを直接かつ目に見えずに制御することを挙げた。ユーザーがMuseに付与したすべてのアクセス権、たとえばメッセージ、メール、財務情報もローカル攻撃者に露出すると彼は述べた。2026年9月21日の別の投稿で、彼はこの欠陥は悪用が容易であるとし、修正を求めた。

接続デバイスとリモートベクター

Wardleが説明した影響は単一のMacに留まらない。2026年9月21日20:30 UTCの投稿で、Macが侵害されると、攻撃者はMuseを実行しているユーザーの他の接続デバイスすべてとやり取りでき、モバイルiOSのMuseクライアントに対してもリモートで目に見えないタスクを実行できると述べた。

Wardleは2026年9月22日に、リモートベクターも存在すると書いた。ユーザーが実行する単一のコマンドだけでハイジャックを実行でき、リモート攻撃者に被害者のMuse対応デバイスすべて（iOSを含む）に対するMuseスコープの制御権を与えるClickFix様式の攻撃であると指摘した。この点はパッチ確認の投稿でも、開示スレッドでの追随返信でも強調された。

Metaの文書化されたセキュリティ設計

Metaは2026年9月8日にMuseをリリースし、システムのセキュリティアーキテクチャを詳述した研究ブログ投稿で同社の個人エージェントとして紹介した。Metaは、エージェントが攻撃下にあることを想定し、潜在的な被害を抑えるように設計したと述べている。その設計の下、エージェントのデーモンと実行するツールは、ホストシステムから隔離されたsystemd-nspawnランタイムセル内で動作し、Sentinelと呼ばれる別個のホスト側エージェントがコネクタ操作およびすべてのネットワーク外部送信に対する唯一の権限機関として機能する。接続サービスの認証情報はユーザーの仮想マシンに保存され、Sentinelはネットワーク境界でジャストインタイムに認証情報を挿入するため、エージェントは実際のトークンを見ることはない、と投稿は述べている。

同じ投稿で、MetaはMuseのバグバウンティプログラムを誰でも参加できるようにし、正当な報告に対して最大30万ドル、1ユーザーに影響を与える成功したプロンプト注入試行には最大13万ドルの報酬を提供すると述べた。

Metaのヘルプセンターは追加の保護策を文書化しています：各Museユーザーの仮想マシンは他のユーザーのエージェントから分離され、ユーザー名やパスワードなどの認証情報はSecure Credentials Storeに保管され、MuseはパスワードをAIモデルが見ることなく認可された操作を完了できるようにし、またMuseはメール送信や購入などの重要な操作の前に確認を求めるよう設計されています。ヘルプセンターは、重要な権限およびセキュリティチェックがAIモデルとは別に動作しているため、モデルが単独で悪意ある指示を認識することに依存しないと述べています。

Metaの研究投稿によると、Museは攻撃に対して免疫があるわけではなく、プロンプトインジェクションは業界全体で未解決の問題であると述べています。同社は、今年後半にMuse Confidential VMを提供する予定であり、これは暗号的かつ検証可能な方法でMeta自身がユーザーのVM内データにアクセスすることを防止するよう設計されています。