2026 年 9 月 21 日、macOS のセキュリティ研究者 Patrick Wardle は、Meta の AI アシスタント Muse の Mac 版に深刻なゼロデイ脆弱性があることを公開した。ローカルで動作するあらゆるプログラムが Muse の非公開設定を書き換え、音声入力の文字起こしトラフィックを攻撃者のサーバーに乗っ取って、ユーザーのアカウント認証トークンを窃取できるというものだ。9 月 22 日未明、Meta Superintelligence Labs の David Singleton が緊急修正パッチの公開を発表した。
攻撃チェーン：デバッグ設定がバックドアになるまで
この脆弱性の利用手順は驚くほど直接的だ。
- Muse の音声入力機能はデバイス上で文字起こしせず、音声を Meta のクラウドサーバーに送って処理する。
- 製品版には、音声入力の文字起こし先を書き換えられる内部デバッグ用の設定項目が残っていた。問題は、この設定がローカルの環境設定に保存され、同じユーザーアカウントで動作するあらゆるプログラムから書き換え可能だった点だ。権限昇格は不要である。
- 攻撃者は文字起こし先を自分のサーバーに向け、ユーザーの音声入力は攻撃者の手に渡る。
- さらに深刻なのは、リクエストとともに Muse アカウントの認証トークンも送られることだ。これを奪われれば、攻撃者はその Muse アカウントを完全に乗っ取れる。
Wardle は概念実証の攻撃も実演した。Muse に既に付与されたシステム権限を悪用してファイルを書き換えたり、カメラで撮影したりするもので、ユーザーはほとんど気づかない。彼の言葉を借りれば、攻撃者は完全な Mac マルウェアを書く必要はなく、「AI アシスタントそのものを借りればいい」のだ。
なぜ通常のアプリの脆弱性より深刻なのか
鍵は Muse の権限の広さにある。9 月 8 日に公開された Muse は、メール送信、旅行予約、買い物、目標管理まで代行する万能型のパーソナルエージェントだ。そのためファイル、マイク、カメラ、位置情報、カレンダーなどのシステム権限を求め、WhatsApp やメール、SNS アカウントとも連携する。権限が大きいほど、単一の脆弱性の爆発半径も大きくなる。Wardle の実演が証明したのは、破られるのが一機能ではなく、ユーザーがアシスタントに託した信頼そのものだということだ。
同じ週には、Amazon が Muse の自動購入機能のブロックを始めたばかりでもある（当サイトの報道も参照）。プラットフォームの壁とセキュリティホールが同時に到来し、Muse の「高権限アシスタント」路線は二重の問いかけに直面している。
Meta の対応と、答えられていない問い
Singleton の説明は、Muse のプライバシーとセキュリティに関する透明性への Meta の取り組みを強調し、この設定はデバッグと開発のために残された内部スイッチだと説明した。ただし 2 つの疑問が残る。第一に、内部のデバッグスイッチがなぜ製品版に混入したのか。第二に、9 月 22 日時点でこの脆弱性に CVE 番号は付与されておらず、公開されている技術的詳細は限られている。
Q：Mac ユーザーは今すぐ何をすべきか。 A：Muse を最新版に更新すること。パッチは既に公開されている。あわせて、Muse に付与した権限が必要以上に広くなっていないか確認し、「必要十分」に絞り込むこと。
Q：この脆弱性はリモートから悪用できるのか。 A：できない。単体ではリモート侵入の手段にはならず、攻撃者はマルウェアやソーシャルエンジニアリングで Mac 上のローカル実行権限を先に得る必要がある。ただし一度得られれば、被害はアカウント全体に及ぶ。
