MetaのAIエージェントMuse、許可の範囲を超え住所送信や私信を同期したと報告相次ぐ

Metaが9月8日に米国で公開した個人向けAIエージェント「Muse」で、利用者の意図を超えた動作の報告が相次いでいます。テック系YouTuberのマット・ロブ氏は現地時間9月27日、Facebook Marketplaceの出品対応を任せたMuseが、自分に知らせないまま住所を買い手に伝え、安値での売却にも応じたとThreadsに投稿しました。9月22日ごろには、拒否したはずのMacのメッセージ履歴18万7000行超をMuseが同期していたという報告も出ています。

何が起きたか

Marketplaceで住所を伝え、買い手が自宅に来た

ロブ氏は、ロジクールのキーボード「MX Keys Mini」の出品対応をMuseに任せました。Gadget Reviewなどによると、設定の際に「1回だけ許可」と「常に許可」の選択肢があり、同氏は「常に許可」を選びました。買い手の提示額を受け入れる前には、引き続き自分に確認が来ると考えていたといいます。

実際には、この許可によってMuseは、受け渡し場所として登録していた住所を含む定型の返信を、同氏に確認せず送れる状態になっていました。Museは買い手の安い提示額に応じ、住所を伝えて受け取りの日時まで決めました。買い手が到着すると、Museは本人が在宅しているかのような返事まで送りましたが、ロブ氏は不在でした。Futurismによると、買い手は20分ほど待って帰り、ロブ氏がMuseから知らされたのはその日の夜遅くだったといいます。ロブ氏はXにも、住所を伝えて安値に応じたことを夜遅くまで知らされなかったと投稿しています。

Meta Superintelligence Labsのデビッド・シングルトン氏は、この件にXで反応しました。Museチームの一員として、ロブ氏にThreadsで返信し、DMで調査への協力を申し出たと説明したうえで、「過去に似た報告を利用者と一緒に調べた際は、Museが直接の指示に従い、正しく許可を求めていたことが一貫してわかっている」と述べています。

Metaはプライバシー管理の仕組みが破られたわけではないとしたうえで、許可を求める画面の説明をわかりやすくするとしています。

拒否したはずのメッセージ履歴を同期

もう一件は、米Inc.誌のコラムニスト、ジェイソン・エイトン氏が同誌のコラムで明かしたものです。同氏が確かめたところ、MuseはMacのメッセージアプリのデータベースから18万7000行超の履歴を同期していました。iPhoneとMacにMuseを入れた際、メッセージやカレンダーへのアクセスは断っていたのに、Museの設定画面ではメッセージへのアクセスが有効になっていたと同氏は主張しています（Decryptの報道による）。

異変に気づいたのは、Museが私的なやりとりを知っているそぶりを見せたからです。ポッドキャストの共同ホストとの会話を踏まえたコラムの題材を勧め、編集者からの締め切りの連絡にも触れてきました。理由を尋ねたエイトン氏に、Museは届いた通知の中身を中継しているだけだと説明しましたが、実際の同期の記録とは合いません。

この件は報道によって記述が分かれています。Decryptは、メッセージのデータベースを読むにはmacOSの「フルディスクアクセス」権限が必要だと説明し、AppleInsiderはこの権限がオフだったと伝えています。

背景

Museは、Metaの新モデル「Muse Spark」で動く個人向けエージェントです。クラウド上の専用の仮想コンピューター「Muse Secure VM」の中で動き、メールの送信や旅行の予約、買い物などを代わりにこなします。Metaは、重要な操作の前には利用者の承認を求め、アプリごとにどこまでアクセスさせるかを利用者が選べると説明しています。9月18日にはMac版も出ました。

MetaはMuseの公開にあたり、会話や仮想コンピューター内のデータを広告システムと共有しないと強調していました。9月29日には、Instagramのプロアカウント、Facebookページ、Metaの広告アカウントとつなげる中小企業向けのMuseも米国とカナダで始めています。

反応と論点

Hacker Newsでは、AppleInsiderの記事のスレッドが150ポイントを超えました。フルディスクアクセスがなければ読めないはずで誤操作を疑うべきだという慎重な声と、macOSの権限の仕組みにはもともと穴があるという反論の両方が出ています。

ロブ氏の投稿のスレッドでは、指示があいまいだった利用者側の問題を指摘する声と、AIに代理のやりとりを任せるのはまだ早いという批判の両方が出ました。AIデジマ編集部は、自動返信の許可が住所の共有や対面の約束の許可にまで広がってしまった点が、今回の問題の核心だとみています。エイトン氏はInc.の続報コラムで、「フルディスクアクセスの意味を主な利用者が理解していないなら、突然『メッセージを読んでいます』と驚かせるべきではない」と書いています（Daring Fireballがこのコラムを引用して紹介）。

追記（10月1日）

Metaは、Museがエイトン氏のメッセージを許可なく読んだという主張に反論しました。広報担当副社長のアンディ・ストーン氏は現地時間9月29日、Mac版Museのメッセージ連携は完全なオプトイン（利用者が自分で有効にする方式）で、フルディスクアクセスとメッセージのコネクターの両方を有効にしない限り内容は読めず、いつでも取り消せるとXに投稿しました。

TechCrunchによると、シングルトン氏もThreadsで、読ませるにはアプリ側の許可とmacOSの保護を合わせた3段階の手続きが要り、アプリに不具合があっても迂回できないと説明しました。通知を中継しているだけというMuseの回答は、AIが混乱して誤った説明をしたものだとしています。一方、エイトン氏はフルディスクアクセスはオフだったと主張しており、食い違いは解けていません。

Marketplaceの件では、ロブ氏が現地時間9月28日、Museチームとログを確認した結果をXに投稿しました。最低価格を700ドルと伝えていたのに600ドルの提示に応じたように見えた点は、表示の不具合で「7」が抜け落ちたとMetaから説明を受けたといいます。ロブ氏は、Museが送ったメッセージだと相手に分かる印を付けるようMetaに提案しています。

日本のビジネスへの影響

Museは現時点で米国向けで、中小企業版も米国とカナダに限られ、日本での提供は発表されていません。ただ、日本で使える同種のエージェントも出てきており（「OpenAIが常時稼働エージェント「Dots」を開始」参照）、ひとごとではありません。

顧客対応をAIに任せる企業が学べるのは、許可の粒度です。EC（ネット通販）のチャットやメッセージアプリの自動応答にエージェントを使うなら、次の操作は返信とは別の承認にすべきです。

• 値引きや価格の合意
• 住所や電話番号など個人情報の送信
• 面会や来店の日時の約束
• 在宅かどうかなど、AIが確かめられない事実の発言

定型文に住所などを入れておくと、今回のようにそのまま送られる危険があります。顧客の個人情報を扱わせる場合は、個人情報保護法で定めた利用目的の範囲に収まっているかも確かめる必要があります。中小企業版のMuseは広告アカウントにもつながるため、広告運用の担当者は、予算の変更や出稿に必ず人の承認を挟む運用を今のうちに決めておくと安全です。