完全磁盘アクセスが、この論争の焦点である。2026年10月2日、Apple は macOS の完全磁盘アクセス（Full Disk Access）権限設定を変更すると発表した。Ars Technica の同日の報道によれば、この決定は、AI エージェントがどれだけのユーザーデータを読み取れるのかをめぐる議論の末に下された。Apple は Meta、Muse、あるいは特定のアプリを名指ししておらず、いずれかのエージェントがユーザーのメッセージを読んだと確認したわけでもない。
発端は、テクノロジーコラムニスト Jason Aten の主張だった。彼は、Meta の汎用 AI エージェント Muse から能動的な通知が届き、その内容が同僚との Apple Messages での会話のスレッドを引用していたと述べ、自分は Muse にメッセージの読み取りを許可したことはないとした。この出来事はソーシャルメディアで大きな議論を呼んだ。カレンダー、メール、メッセージ、買い物アカウントへの権限を持つ AI アシスタントは、チェーンソーのように便利だが、同じだけ危険でもある。
システムレベルの権限とアプリ内スイッチの対立
Meta の CTO、David Singleton は、Muse が Messages を読むには二つのスイッチが同時にオンである必要があると説明した。macOS のシステムレベルの完全磁盘アクセスと、Muse アプリ内の Messages コネクタ設定であり、コネクタはユーザーが自ら有効化するオプトイン方式だという。
一方、macOS のセキュリティ専門家 Patrick Wardle は疑問を呈した。技術的には、完全磁盘アクセスを得たアプリは、閲覧履歴、ブラウザの Cookie、チャット記録など、root 以外のほぼすべてのファイルを読み取れ、コネクタのスイッチとは無関係だという。Meta の広報は Singleton の説明を繰り返すだけで、この指摘に正面から答えなかった。
Apple の声明と過去のリスク指摘
Apple は、一部の開発者による完全磁盘アクセスの使い方が、ユーザーが知らないうちに、あるいは十分に理解しないまま、ファイル、メール、メッセージ、さらには閲覧履歴まで、システム上のあらゆるものをさらす危険があると述べた。通信アプリについては、会話の双方のプライバシーを脅かす可能性もある。AI エージェントがより有能に、より自律的になるにつれ、こうしたアクセスのリスクは大幅に高まるとし、Apple はユーザーが権限を与える前にリスクを明確に理解し、情報に基づいた判断ができるようにすることに取り組むとした。
Muse のアクセスが問題視されたのは今回が初めてではない。Wardle は以前、Mac 上の任意のアプリやコードがこの AI アシスタントを完全に制御し、Muse がアクセスできるリソースに到達できる Muse の設定を公開していた。そうしたコードには ClickFix 攻撃で注入されたコマンドも含まれる。また Amazon も、公開された形で運営され、サービス提供側の参加可否の判断を尊重すべきだとして、自社プラットフォームで Muse を禁止したことがある。
エージェントに権限を与える前に見直す
完全磁盘アクセスはもともとバックアップやウイルス対策など限られた用途のために設計された古い権限で、その粒度はディスク全体である。AI エージェントの時代には、それはむしろ万能鍵に近い。アプリ内のスイッチでは、システムレベルの権限自体の到達範囲を抑えられない。ユーザーは、エージェント系アプリにこの権限を与える前に、それが実際に何を読めるのかを考えるべきであり、すでに許可したものについては、システム設定で権限リストを定期的に確認し、不要になったものをオフにするとよい。
