MetaのMac版AI「Muse」にバックドア化の恐れ、音声入力設定の改ざんで認証情報や他端末が乗っ取られる脆弱性が判明

要点

• セキュリティ研究者のPatrick Wardle氏が、MetaのパーソナルAI「Muse」のMac版をバックドアとして悪用可能な手法を実証した。

• 未公開の設定項目を書き換えることで、ユーザーの音声プロンプトやログイン用トークンが攻撃者へ転送される状態になる。

• 奪取されたトークンを用いることで、チャット履歴の閲覧や、同一アカウントのiPhoneなど他端末の遠隔操作が可能になる。

• 攻撃には事前のコード実行環境が必要だが、Museに与えられた広範な権限を悪用するため、セキュリティソフトによる検知が難しい。

• Wardle氏は迅速な修正を促すため脆弱性を事前報告なしで公開しており、Metaは修正の配信を示唆しているものの公式な勧告は出していない。

• 米Metaが2026年9月に米国で提供を開始したパーソナルAIエージェント「Muse」のMac版において、未公開の設定を改ざんすることでアシスタント機能をバックドア（不正な侵入口）に変えられてしまう脆弱性が判明した。macOSのセキュリティ研究者であるPatrick Wardle（パトリック・ウォードル）氏が2026年9月21日、概念実証（PoC）コードを公開して明らかにした。

音声入力の送信先を書き換える手法の仕組み

Museは、ユーザーのファイルや電子メール、メッセージ、カレンダー、ショッピング、スマートホーム関連アプリなどと連携し、付与された権限に基づいて日常のタスクを横断的に処理するAIエージェントである。

Wardle氏が発見した手法は、Mac版Museの環境設定内に存在する endo_voyager_dictation_endpoint という未公開の設定項目を悪用するものだ。この設定は、ユーザーがマイクボタンを押して音声でプロンプト（指示文）を入力した際に、音声データを送信する通信先（エンドポイント）を指定している。

この設定値は、Macにログインしているユーザーの権限で動作するプログラムであれば、追加のアクセス許可や管理者権限を要求されることなく書き換えることができる。改ざんが行われると、ユーザーが音声入力を利用した際、音声データやテキストがMetaの正規サーバーではなく、攻撃者が管理するアドレスや同一Mac上で動作するプログラムへと転送されるようになる。

本脆弱性は単体でMacに外部から不正侵入できるものではなく、攻撃者が対象のMac上でログインユーザーとしてコードを実行できる状態にあることが前提となる。ただしWardle氏は、ユーザーを騙して単一のコマンドを実行させる「ClickFix」と呼ばれる手口などを組み合わせることで、リモートの攻撃者であってもファイルのダウンロードやインストールなしにMuseを乗っ取り、トークンを窃取することが可能だと指摘している。

認証トークンの窃取と他端末への遠隔操作

Wardle氏の実証によると、音声入力の転送先を不正なアドレスに変更された場合、攻撃者は以下の3つの操作を実行できるという。

1. 音声入力内容の盗聴: ユーザーが入力した音声および書き起こされたテキストを直接取得する。
2. 不正な命令の割り込み: ユーザーの入力に対して、Museが正規のものとして信頼し実行する追加の命令を紛れ込ませる。
3. 認証トークンの奪取とアカウントの制御: Museのアカウントへのサインインに用いられる認証トークンを奪取し、チャット履歴を読み取ったり、アシスタント機能を直接制御したりする。

特に認証トークンが流出した場合の影響は、設定を改ざんされたMac内だけに留まらない。Museのアカウントは複数端末で共有できるため、トークンを入手した攻撃者は、同じアカウントでサインインしている他のデバイスに対しても命令を送信できるようになる。

Wardle氏が自身のiPhoneを用いて行ったテストでは、Mac側で取得したトークンを使用し、iPhone上のMuseアプリに対して現在位置の正確な座標を報告させたり、周囲にあるBluetooth機器のスキャンを実行させたり、送信可能なスマートホームの操作コマンド一覧を取得させたりすることに成功したという。なお、このテスト環境においてメッセージの自動送信は行われず、下書きの作成までに留まったと報告されている。

正規アプリの権限悪用と検知の難しさ

通常のmacOSには、あるアプリケーションが他のアプリケーションのファイルやマイク、カメラ、保存されたログイン情報などに勝手にアクセスすることを防ぐ保護機能が備わっている。そのため、一般的なマルウェアがMac内に侵入した場合でも、アクセスできる範囲は制限される。

しかしMuseには、ユーザー自身によって各種データやシステム機能への広範なアクセス権限があらかじめ与えられていることが多い。攻撃者がMuseを遠隔から操ることができれば、マルウェア単体ではアクセスできない機能や情報であっても、Museが持つ権限をそのまま利用して操作できてしまう。さらに、一連の処理は正規に署名されたMuseアプリケーションから発行されるため、一般的なセキュリティ対策ソフトウェアによる検知をすり抜けてしまう恐れがあるとWardle氏は警告している。

なお、この攻撃手法はmacOSのパスワード保護機構を破るものではなく、Museが送信データに認証トークンを自ら含めている仕様を利用している。また、各ユーザーの環境を隔離するためにMetaが構築したクラウドシステムの安全性が直接侵害されたわけではない点も示されている。

公開の経緯とMetaの対応

Wardle氏は、Metaに対して事前に脆弱性を通知することなく、情報を全面公開（フルディスクロージャー）する手法をとった。同氏は、ユーザーに潜在的なリスクを正確に理解してもらうため、またこの種の不具合を最も迅速に修正させる手段として直接公開を選択したと説明しており、修正が確認されるまではMuseのインストールを避けるよう呼びかけている。

Wardle氏によると、MetaはX（旧Twitter）への投稿を通じて修正版の配信を示唆しているという。ただし、その変更が具体的にどのような内容を含んでいるかについては確認されておらず、Metaからの公式なセキュリティアドバイザリ（安全情報に関する勧告）は発表されていない。