Metaは、Muse AIエージェントのテストに使われていた仮想マシン上の会話とアクセストークンを露出させる認証の欠陥を発見した研究者に、30万ドルを支払った。この脆弱性はMuseの9月8日のローンチのおよそ4カ月前に発見され、Metaによると、影響を受けたサービスは停止し、社内での初期テスト中に問題を修正したという。
この報奨金は、Museのバグ報奨金プログラムで過去最高額だった。同プログラムは、630件を超える応募のうち有効と認められた64件に対し、合計約120万ドルを支払っている。Metaの今回の開示では、プロンプトインジェクション攻撃や認証情報のフィルタリングの弱点、AndroidおよびMacアプリの脆弱性についても詳述されている。
30万ドルの認証欠陥がMuseの内部データを露出させた仕組み
「Metaが11月2日に公開した開示資料」によると、この脆弱性は、ローカルのHTTPSプロキシが追加したヘッダーを信頼する認証チェックに端を発していた。
システム移行によって2つ目のプロキシ層が導入され、外部からのリクエストにも同じ信頼済みヘッダーを付けられるようになった。ある研究者はこの弱点を悪用し、Metaの従業員やエンジニアが使っていたリリース前の仮想マシンに保存された会話とトークンにアクセスした。
Metaによると、サービスを停止して脆弱性を修正し、ローカルから送られたリクエストは本質的に信頼できるという前提も取り除いた。
同社は、何台のテストマシンが露出したのか、影響を受けたトークンにどのような権限が付与されていたのか、またそれらの認証情報が無効化されたのかを明らかにしていない。
Metaはこのほか、報奨金を支払った4件の報告も明らかにした。
- プロンプトインジェクションに9万ドル：悪意のあるウェブページがMuseのブラウジングツールのメッセージを偽装し、安全策によって阻止されるはずの操作をエージェントに実行させた。
- パスコードのフィルタリングに9万ドル：特殊な形式のテキストによって、ワンタイムパスコードを保護するために設計されたメールのマスキングフィルターが回避された。
- Androidの脆弱性に5万ドル：悪意のあるアプリが、攻撃者の管理するページを特権付きのウェブビューに読み込ませ、認証情報を取得できる可能性があった。
- Macの脆弱性に1,000ドル：コンピューターにアクセスできる攻撃者が、Museの自動アップデート機構を悪用し、アプリケーションの権限でコードを実行できた。
Metaは、報告された弱点を修正したと説明している。ブラウジングツールへの攻撃については、同社の内部分類器が現在、元の手法と100種類の変種を検出できるようになったとされる。
今回の発見は、モデルの振る舞いにとどまらない。組織は、エージェントが認証情報をどこに保存し、どのデータにアクセスできるのかも特定する必要がある。MicrosoftのDefenderとPurviewの制御機能は、ローカルで動作するAIエージェントの可視性と、データが露出する可能性に対応する。
Metaの開示資料には、改善された検出結果についての第三者による検証や、誤検知率は含まれていない。
eWeekが確認したこと：企業が優先すべき3つのセキュリティチェック
30万ドルの脆弱性は、AIモデルの悪用ではなく認証の失敗だった。システム移行によって信頼済みヘッダーを付けられるリクエストの範囲が変わり、攻撃者がセキュリティ境界を越えられる状態になった。
ほかの発見では、Museがウェブコンテンツを解釈し、認証情報を保護し、アプリケーションの権限を扱う方法に弱点があることが明らかになった。
AIエージェントを導入する組織にとって、今回開示された脆弱性から浮かび上がるチェック項目は3つある。
- 認証とインフラの変更：プロキシ層をまたいだ認証を検証し、移行後には信頼の前提を改めてテストする。内部発のヘッダーによって、機密性の高い会話や認証情報へのアクセスが自動的に許可される状態にしてはならない。
- エージェントの権限とツール出力：信頼できないウェブコンテンツが機密性の高い操作を承認できないようにする。エージェントの権限を制限し、重大な操作には確認を必須とする。Microsoftの動的なエージェント権限は、エージェントのリスクが変化するのに応じてアクセスを制限する方法の1つだ。
- 認証情報の分離と復旧：トークンがどこに保存され、どのような権限を持ち、どれだけ迅速に無効化できるのかを把握する。複数の業務アプリケーションに接続されたAIエージェントでは、認証情報が漏洩した際の露出がさらに大きくなる。エンタープライズ向けのアイデンティティ制御は、こうしたアクセス上の課題を中心に設計されるケースが増えている。
Metaの開示資料は、研究者がリリース前のテスト環境で会話とトークンにアクセスしたことを確認している。ただし、本番環境のユーザーが侵害されたことを示すものではない。
一方で同社は、影響を受けたマシンの台数、露出した認証情報の範囲、プロンプトインジェクション対策についての第三者による評価を公表していない。
Museの導入を検討する企業は、認証境界が再テストされ、認証情報が適切に分離され、バグ報奨金プログラムで実演された特定の攻撃以外にもプロンプトインジェクション対策が機能することを示す証拠を求めるべきだ。
Metaの公開バグ報奨金プログラムは現在も継続しており、対象となる報告には最大30万ドルを提示している。1人のユーザーに影響するプロンプトインジェクション攻撃については、最大13万ドルが支払われる。
なお、Metaは機密性の高いAI会話が一般公開状態で発見可能になったことを受け、Museの共有機能を一時停止したため、エージェントがユーザー情報をどのように保護しているのかについて、さらなる疑問が生じている。