Apple、macOSの「フルディスクアクセス」制御を強化へ──AIエージェントのデータアクセスに伴うリスクに対応

要点

• Appleは、AIエージェントの台頭によるセキュリティリスクに対応するため、macOSの「フルディスクアクセス（Full Disk Access）」の制御を強化する計画を発表した。

• アプリがシステム全体のデータへ過剰にアクセスするのを防ぐため、明示的なユーザー操作があった場合のみ権限を付与するアップデートを導入する予定である。

• アップデートの提供時期は未定だが、AIエージェントの自律性向上に伴い、過度なアクセス権限がもたらすリスクが増大していることが背景にある。

• 直近ではMetaのAIエージェント「Muse」によるメッセージの読み取り問題やゼロデイ脆弱性、Mac版ChatGPTの脆弱性など、AIツールの特権的アクセスを巡るセキュリティ上の懸念が相次いでいた。

• 米Appleは現地時間2026年10月5日、macOSのセキュリティ設定「フルディスクアクセス（Full Disk Access / FDA）」に対する制御を強化する方針を明らかにした。AI（人工知能）エージェントの普及に伴い、ユーザーのプライバシーやシステムデータが危険にさらされるリスクを低減させることが目的だとしている。具体的な配信時期は公表されていないものの、今後のアップデートを通じて、より厳格なアクセス制御を導入する見込みだ。

フルディスクアクセスの仕組みとAppleが示す懸念

フルディスクアクセスは、macOS Mojave（バージョン10.14）で導入されたセキュリティ設定であり、「設定」アプリ内の「プライバシーとセキュリティ」項目から管理できる機能だ。通常のセキュリティ制限を迂回し、Mail、Messages、Safari、Time Machineバックアップなど、通常はアクセスが制限されているシステム全体のファイルやデータに対して、アプリケーションが読み書きを行うことを許可する。この設定は、バックアップソフトウェアやセキュリティツールなど、動作上システムの深部にアクセスする必要がある正当なアプリにとって不可欠な機能として利用されてきた。

しかしAppleは開発者向け投稿の中で、一部の開発者がユーザーの十分な理解を得ないままこの権限を利用している実態を指摘した。「一部の開発者がフルディスクアクセスを利用し、ファイル、メール、メッセージ、さらには閲覧履歴に至るまで、システム上のあらゆるデータをユーザーが十分に認識・理解しないまま危険にさらしている」と述べている。さらに、通信系アプリにおいては通信相手のプライバシーまで損なわれる恐れがあると警鐘を鳴らした。

Appleは、現在のフルディスクアクセスがユーザーの個人データを保護する仕組みを大きく回避しているとし、今後は明示的なユーザーアクションがあった場合に限って権限が付与されるよう設定を改修する方針を示した。同社は「AIエージェントの能力と自律性が高まるにつれ、このレベルのアクセス権に伴うリスクは大幅に増大する」と説明し、ユーザーがリスクを理解した上でデータとプライバシーに関する判断を下せるようにする姿勢を示している。

MetaのAIエージェント「Muse」を巡る問題

Appleは特定の企業やアプリ名を挙げていないものの、今回の発表はMetaのパーソナルAIエージェント「Muse」を巡る一連の報道を受けた対応とみられている。Museは、OpenClawの設計方針に沿って開発され、Metaのクラウド上にある専用Linux仮想マシンで動作するAIエージェントツールとして提供されている。

このMuseに関して、あるジャーナリストがMac上でフルディスクアクセスを許可したところ、意図せずプライベートなiMessageのデータが読み取られていたという事例が報告され、物議を醸していた。

これに対しMetaのCTOであるDavid Singleton氏は、Museがメッセージ内容を読み取るには2つの権限が必要であると説明している。同氏によると、Macアプリにおけるメッセージ連携はオプトイン（ユーザーの同意に基づく選択）形式であり、macOSのシステムレベルでフルディスクアクセスが付与されていることと、Muse側の「Messagesコネクタ」設定が有効化されていることの双方が満たされた場合にのみアクセスが実行される仕組みであると釈明した。

相次ぐ脆弱性報告とAIツールの特権的アクセス

AIツールを巡るセキュリティ上の懸念は、権限設定にとどまらず脆弱性の面でも報告されている。セキュリティ研究者のPatrick Wardle氏は、Mac版Museアプリに存在していた「not-a-mused」と呼ばれるゼロデイ脆弱性（修正パッチ提供前のセキュリティ欠陥）の概念実証（PoC）を実証した。

この脆弱性は現在修正されているが、特権を持たないローカルプロセスが「endo_voyager_dictation_endpoint」という非公開の設定を悪用することで、Museアカウントの認証トークンを取得したり、音声入力トラフィックをリダイレクトしたりすることが可能だったとされる。これにより、ユーザーの音声やプロンプトの盗聴、悪意あるプロンプトの注入、Museに付与されたアクセス権の不正利用といったリスクが存在していたという。Wardle氏は、Museが通常のマルウェアよりも大幅に広いアクセス権を持つ可能性があり、権限昇格やアクセス拡大の標的として特に利用されやすいと指摘している。

さらに同氏は、Mac版ChatGPTアプリに存在した脆弱性「CVE-2026-100754」を報告したことでも謝意を表明されている。この脆弱性もAIアシスタントの乗っ取りや、チャットログおよび保存データへの不正アクセスを許す可能性があったとされる。

AIエージェントは、ファイルの書き込み、マイクやカメラへのアクセス、カレンダーイベントの作成、メール送信など、OSの多岐にわたる機能と連携して動作する。これらの事例は、エージェントツールが持つ特権的な立場や収集する広範なデータが、新たなセキュリティ上の課題となっている現状を示している。