Meta Museで共有した会話は、検索1回で見つかった。会話のタイトルが住所に書いてあったから

「AIのエージェントが危ないのって、AIが勝手なことをするからでしょ？」そう思ってる？今回は違う。Metaのエージェント、Museは、頼まれたとおりに動いた。漏れたのは、AIの頭の中からじゃない。共有ページの住所の書き方からだ。

前回の記事は、Microsoftが「AIの番人はモデルの外に立たせろ」と言い出した話だった。実はMetaは、Museでそれをもうやっていた。分厚い金庫を作った。なのに漏れた。そこが今日いちばん面白い。

住所に、会話のタイトルが書いてあった

Museには、AIとの会話を人に見せるための共有機能がある。頼むとMuseが会話を1枚のページにして、リンクを渡してくれる。リンクを知っている人なら、ログインなしで開ける。送った相手が開けるように、わざとそう作ってある（Claroc）。

問題は、そのページの住所の作り方だった。Museは、会話のタイトルと、推測できない長さのランダムな文字列をつないで、住所の頭に置いていた。Ars Technicaが載せている簡略化した例は、こんな形だ。

home-sale-budget-9f21c8a3.cf.metaaiusercontent.com

家の売却の予算、と住所が名乗っている。開く前から中身が分かる。

ここで効いてくるのが、ネットの住所録だ。誰かがリンクを開くと、ブラウザはまず住所を、実際の行き先の番号に引き直す。その問い合わせを横で見て、記録して、あとから検索できるようにしている商用のサービスがある。パッシブDNSと呼ばれるものだ。誰かが初めて共有ページを開いたとき、その問い合わせがこうしたサービスの目に入れば、タイトルもランダムな文字列も込みで、住所が丸ごと記録に残る（Claroc）。

推測できない文字列を入れたのは、正しい。でも、隠すはずだった部分まで、住所といっしょに台帳に書き写された。Clarocの言い方がうまい。秘密の文字列は、秘密のままでいる間しか効かない。そして住所は、秘密じゃない（Claroc）。

セキュリティの会社Clarocの研究チームが、その住所録の1つで、Museの共有ページが置かれるドメインを検索した。Museが出たのは9月8日で、その1か月後だ。ノイズを除いても、6,800件を超える共有ページの住所が並んだ。開いたのは数百件だけで、あとは開かずに残した。開いたもののうち、まだ消されていなかったページは、ほとんどがログインなしでそのまま開いた（Claroc）。

「事前に聞かれていたら、集めるにはそれなりの手間がかかると答えていただろう。かかったのは、検索1回だった」（Claroc、原文は英語）

中身の多くは、見られても構わないものだった。小さな店のサイトや、催しの予定表。でも一部はそうじゃなかった。Clarocが種類だけを挙げた6件がこれだ（Claroc）。

最先端のAI研究所との、幹部人材の紹介に絡む極秘の通話に向けた、候補者の準備メモ。研究所側の担当者の名前と、通話の時刻まで入っていた
全国規模のマーケティング会社の、CEO向けの社内の売上報告
小さな会社の経営者の融資の申込書。申し込んだ金額つき
銀行の不正利用の通知が入ったやることリスト。口座番号の一部と、取引の金額と時刻つき
不動産投資家の社内の運用報告。物件の住所2つと、利回りや収入やローンの正確な数字つき
ある職場の1年分の休暇の予定表。何十人もの社員が、それぞれどの週にいないか

Clarocは、2つの会社が実在することを公開の情報で確かめたと書いている。当事者には連絡していない（Claroc）。

検索エンジン対策は、ちゃんとしてあった。Museは、検索やAIの巡回ボットに、共有ページを見に来ないよう頼んでいた。ただ、その頼み方が効くのは巡回までで、ページを開けるかどうかには関係ない。Clarocの探し方は、そもそも検索エンジンに一度も近づいていない（Claroc）。玄関の鍵はかけた。でも表札に、部屋の中身を書いていた。

金庫は、分厚かった

ここで、Metaが9月8日のMuseの発表と同じ日に出した、安全の設計の文書を開く（Meta）。

読むと、本気なのが分かる。エージェントは、読んだデータを通じて悪意のある誰かに操られかけているかもしれない、という前提で全体を組んだ、と書いてある。エージェントは隔離された区画の中で動き、本物の認証情報は見せない。外とのやり取りは全部、Sentinelという別の番人を通る。エージェントは、その番人の判断を覆せない（Meta）。

細かいところも手が込んでいる。メールをつなぐときは、使い捨てのログイン用の番号や、パスワードを作り直すためのリンクを、決まった規則と別のAIの両方でふるい落とす。初めての店で払うときは、店ごと、金額ごと、期限つきの使い捨てのカード番号を発行する。盗まれても役に立たないように（Meta）。

前回の記事でMicrosoftのSatya Nadellaが書いていた、知恵を出す役と、何をしていいかを決める役を分けろ、という話。Museは、それを製品の形で先にやっていた。

それでも漏れた。なぜか。今回の漏れ方は、エージェントの勝手な振る舞いとは何の関係もないからだ。会話を人に見せたいと思ったのは、使っている本人だ。Museは頼まれたとおりにページを作った。Metaの文書によると、番人のSentinelが許可を出すのは、エージェントが外のサービスを操作するときと、外に出ていく通信だ（Meta）。私の読みでは、共有ページの住所がどう作られて、どこに書き写されるかは、この番人の持ち場の外にある。

Clarocが、会社の点検の担当者に向けて書いている一文が鋭い。共有は、社員が会話を1つずつ頼んで、Museが説明書どおりにこなすものだ。何が共有ページを見つけやすくしているのか、つまり住所の作り方と、それが住所録にどう残るかは、共有の設定のどこにも出てこない（Claroc）。設定を全部チェックしても、この穴は見えない。

AIの金庫をいくら厚くしても、人が「共有」を押した瞬間に、話は昔ながらのウェブの作法に戻る。いちばん新しいAIの漏れ方が、いちばん古い仕組みのほうから来た。ここ、地味だけど大事だな。

報告から停止まで、12日

時系列も見ておく。

Clarocは10月8日、Metaのバグ報奨金の窓口に、再現の手順と例を付けて報告した（Claroc）。Arsによると、ClarocのCTOのAsaf Aprozperは、LinkedInでもMetaの人に連絡を試みたけど、どちらからも返事は無かった。

Metaが共有を止めたのは10月20日。Arsが問い合わせたあとだ。Metaの広報は、The Vergeにもこう答えている。

「人々は特定のMuseの成果物を共有でき、リンクを持つ人がアクセスできるページが作られる。ただし、この報告を確認し、リンクの見つかり方をどう変えるか検討する間、この機能を止めた」（The Verge、原文は英語）

ちなみにMetaは、Museを出した日にバグ報奨金の窓口を誰にでも開いている。上限は30万ドル（Meta）。窓口は開いていた。共有が止まったのは、記者が聞いてきてからだった。

止めたあとの話もある。Clarocが10月20日に、以前はログインなしで開いた40件を確かめ直すと、1件も開かなかった。中身を出していた住所は、エラーを返した。ただ、タイトル入りの住所そのものは、住所録の履歴にまだ残っている（Claroc）。ページは閉じた。でも表札は、町の台帳に書き写されたままだ。

40日で1000万回ダウンロードされたアプリ

これがただの小さな不具合で済まないのは、Museの大きさのせいだ。

同じ10月20日、TechCrunchは、調査会社Sensor Towerの数字として、Museが9月に出てから1090万回ダウンロードされ、そのうち1020万回がアメリカだったと書いた。出て40日でアメリカで1000万回に届いたアプリは、ほかに11本しかない。1日に使う人は、10月16日に初めて250万人に届いた（TechCrunch）。

そしてMuseは、使う人のアカウントのほとんどにつながないと、思ったように働かない（Ars Technica）。Metaの文書も、メールや、車や家のシステムにつなぐと役に立つ、と書いている（Meta）。Arsによると、Mark Zuckerbergは先月、Museを「プライバシーとセキュリティのために一から作った」と語っていた。

金庫の設計を見る限り、その言葉は嘘じゃないと思う。ただ、金庫の扉の横に、中身を書いた札が下がっていた。

割り引いて読むところ

まず、Clarocは売る側だ。社員がAIで公開の共有リンクを作ったら知らせる、という製品を持っていて、報告の最後はその宣伝で締まっている（Claroc）。前回のMicrosoftと同じで、言えば言うほど自分の商品が売れる話でもある。

次に、規模の見方。6,800件を超えるのは、1つの住所録で、1つの住所の型を、短い期間だけ探した数だ。Museの漏れの全体ではない。一方で、それぞれのページがいつから開けたのか、ほかの誰かが先に見つけていたのかも分からない。悪用された証拠は無い、とClarocは書いている（Claroc）。

それに、ページが公開だったのは、持ち主が自分で共有したからだ。AIの会話の共有ページが思ったより遠くまで届いた話は、2025年にもChatGPTやGrokで検索結果に載る形で起きている（Claroc）。Museだけの不注意というより、AIの共有機能が何度もつまずいてきた場所でもある。

私はMuseを自分では触っていない。書いたのは、Clarocの報告と、Metaの文書と、報道から読める範囲だ。

今日の本音

AIの安全の話は、ついAIの頭の中ばかり見てしまう。でも今回、Metaが鍵をかけ忘れたのはAIじゃなかった。住所の付け方だった。

いちばん分厚い金庫を作った会社でも、表札の書き方1つで中身が見える。AIの守りは、AIの外側まで含めて初めて守りになる。