AIとの会話を同僚1人と共有しただけで、見知らぬ人がアクセスできる状態になってはならない。
セキュリティ企業のClarocは、MetaのAIアシスタントMuseでユーザーが作成した公開共有ページのアドレスを、発見可能なものだけで6,800件以上確認した。同社が調査した会話の一部には、機密性の高い業務記録や個人情報が含まれていた。
ITチームにとって今回の露出は、AIアシスタントの導入を承認する際には共有機能も確認する必要があることを示している。従業員が意図した相手以外にも会社情報を公開できてしまう可能性があるためだ。
チャットのタイトルがインターネット上の記録に出現
ユーザーがMuseの会話を共有すると、アシスタントは会話のタイトルとランダムな識別子をホスト名に含む公開ウェブページを作成した。セキュリティ企業Clarocは、GhostSharesの調査で、これらのアドレスがページをホストするドメイン、cf.metaaiusercontent.comに紐づいていることを突き止めた。
研究者は、観測されたドメインの名前解決を記録する商用のパッシブDNSデータベースを検索した。あるクエリでは、読み取り可能なタイトルとランダムな識別子を含む共有ホスト名が数千件返された。サンプルとして確認したページは、サインインせずに開くことができた。検索エンジンによるクロールを控えるよう促す指示も、このDNSベースの発見を防げなかった。
アクセス可能な資料には、CEOだけを対象にした企業の収益レビューや、大手AI研究所との幹部人材採用会議に向けて作成された機密メモが含まれていた。そのほか、小規模企業向け融資の申請書、一部の口座情報を含む銀行の不正利用警告、従業員の休暇カレンダーも見つかった。
Clarocが調査した数百件弱の会話の大半は無害だった。それでも、通常の共有操作によって機密記録が露出した事実は、 AIガバナンスには、承認済みツール内で従業員が行う操作も含めなければならない。
研究者が露出を報告した後、Metaは共有を停止
Clarocは10月8日、発見を再現するためのサンプルリンクと手順を添えて、Metaのバグ報奨金プログラムを通じて調査結果を提出した。同社の調査は10月18日に公開された。
10月20日、同社はMuseの会話共有機能を停止した。広報担当者のTracy Claytonは The Vergeに対し、Metaが報告内容を検討し、共有リンクを人々が発見できる方法の変更を検討していると認めた。
停止後、Clarocは以前アクセスできた40ページを再テストし、いずれも開けなくなっていることを確認した。会話のタイトルは過去のDNS記録に残っていた。Metaは共有をいつ再開するのか、恒久的な対策をどうするのかを明らかにしておらず、Clarocも共有された情報が誰かに悪用された証拠はないとしている。
eWeekの調査結果：チャット共有のプライバシーリスクはMuseの公開前から存在していた
Museが公開される前にも、 ChatGPT、 Grok、そして Claudeから共有された会話が検索結果に表示されていた。eWeekは、こうした過去の事例を公式ドキュメントと比較し、各プラットフォームが現在どのように共有を扱っているのか、また企業が利用できる保護策は何かを検証した。
AIアシスタント | 過去の露出 | 対応と現在の共有制御 |
|---|---|---|
| Meta Muse | 公開会話のリンクがDNS記録を通じて発見された。 | 10月20日に共有を停止。 |
| ChatGPT | 共有された会話がGoogle検索に表示された。 | OpenAIは検索による発見を可能にするオプションを削除した。 業務用リンクはワークスペース内にとどまり、 Enterpriseの管理者は共有を無効にできる。 |
| Claude | 共有されたチャットとArtifactsが検索結果に表示された。 | メールアドレスを指定した招待が現在のデフォルトになっている。TeamとEnterpriseの共有は組織内にとどまり、管理者は無効にできる。 |
| Grok | 公開共有された会話が検索エンジンにインデックス登録された。 | ユーザーは 公開リンクを取り消せる。 Grok Businessの管理者は共有相手の範囲を制限したり、機能を無効にしたりできる。 |
過去の事例は、AIとの会話を公開リンクで共有することのリスクをすでに示していた。Museの露出は検索エンジンによるインデックス登録ではなくDNS経由の発見によるものだったが、実際の結果は同様だった。機密情報が意図した相手の範囲を超えてアクセス可能になったのである。
この比較から、企業にとって2つの別々の問いが浮かび上がる。共有された会話を誰かがどれほど容易に発見できるのか、そして読むにはどのような権限が必要なのか、という点だ。検索エンジンのクロールを控えさせても、認証も受信者の承認も解決できない。ワークスペースへの所属確認や特定のアカウントに紐づく招待なら、リンクが公開されてもアクセスを制限できる。
アカウントの種類も重要だ。業務用の共有制御は、個人アカウントを使う従業員を必ずしも保護しない。チームはスタッフがどのアカウントを使っているのかを確認し、自組織の制限が共有対象の会話に及ぶかをテストすべきだ。
共有機能を導入するAI企業は、こうした過去の失敗を検証し、リリース前に自社のアクセス制限をテストすべきだ。Museの共有停止は、適切な初動対応だった。最終的に共有が再開されれば、同社が今回の露出にどれほど効果的に対処したかを試す機会になる。
ユーザーと企業が講じられる予防策はいくつかある：
- 過去に共有したMuseの会話を確認し、機密情報が露出していれば報告する。
- 露出した認証情報を変更し、個人記録に関する通知義務が生じる可能性を評価する。
- 機密性の高い業務でAIアシスタントを使う前に、共有権限と管理者向け制御を確認する。
企業がAIアシスタントに預ける機密情報が増えるにつれ、ベンダーには、導入前にプライバシー保護策をテストしたことを示す、より高い説明責任が求められるようになる。
AI関連のニュース：Microsoftは企業にAIエージェントを社内関係者のように扱うよう求めている。その挙動がリスクの高いものになった場合に、権限を変更したり消失させたりできるようにするためだ。