Metaは2026年9月8日、利用者に代わってメールを送り、買い物や旅行の手配を進める個人向けAIエージェント「Muse」を米国で公開した。アプリを閉じても目標に沿って作業を続けるため、利用者はAIに継続的な仕事と個人データへのアクセスを預けることになる。Metaが用意したのは、利用者ごとの専用仮想マシンと、作業するAIから独立して操作を審査する「Sentinel」だ。自律的に働く便利さを、どこで止め、誰の承認につなぐのかという設計が、Museを理解するうえで欠かせない。
会話を終えても働く、利用者専用のコンピュータ
MuseはiOS、Android、Webのmuse.aiで利用でき、WhatsAppからも会話できる。基本的な用途は無料で、利用を増やしたい人にはサブスクリプションを用意する。AIグラスへの対応も予定しているが、Metaの日本向け発表によると、日本での提供時期は未定である。
利用者が接するのはチャット画面でも、その裏では専用のコンピュータが動く。ファイルを扱う場所とコマンドを実行する端末、Webブラウザを備え、Muse自身が必要なコードや道具を作れる。検索結果を伝えるほか、文書を作成したり、支出を追うダッシュボードを組み立てたりすることも想定している。
たとえば旅行なら、予定を文章で提案する作業から、予約サイトを操作し、旅程表を作る作業へつながる。利用者が毎回細かな手順を指示する負担を減らすための環境だ。ただし、予約や購入を完了する場面には本人の承認を組み込む。
開発チームの設計解説は、Museが予定や関連する出来事に応じてバックグラウンドで動き、意味のある変化や本人の入力が必要な場合に通知する、と説明する。会話をまたいで記憶を保持し、複数のタスクを引き受ける。人が質問を送ったときだけ動くチャットの使い方から、目標を預けて経過を見守る使い方へ移る。
そこで必要になるのが、何をしているかを確かめる画面である。Museには活動ログや承認済みの権限を確認する機能があり、利用者についての記憶ファイルも読んで編集できる。目標と進捗を扱う画面も設けた。能動的な通知の強さは調整できるため、どれほど頻繁に介入してほしいかも利用者が決められる。
こうした可視化は、長く動くエージェントほど意味を持つ。目の前の返答なら、その場で間違いに気づける。留守の間に進めた仕事では、途中の判断と与えた権限までたどれなければ、誤りを直す場所も分からなくなる。
AIに仕事を任せても、許可する権限は渡さない
外部のWebページやメールを読むAIは、そこに埋め込まれた悪意ある指示にも触れる。ページの説明を読み取るはずが、攻撃者の指示に従って別の操作を始める「プロンプトインジェクション」が問題になる。
開発者のSimon Willison氏は2025年6月の解説で、非公開データへのアクセス、信頼できない外部コンテンツ、外部へ通信する能力の組み合わせを危険として挙げた。仮に予約先のページに不正な指示があり、AIが手元のメールを読んで外へ送れてしまえば、閲覧から情報流出へつながり得る。これはMuseで確認した攻撃事例ではなく、権限を組み合わせたときに生じる危険の例である。
Museの設計を説明するMetaの技術文書は、AIが攻撃を受けることを前提にしている。利用者ごとのLinux仮想マシン「Muse Secure VM」の内部を、作業する領域と、安全性や認証を扱う領域に分けた。作業用コンテナの管理者権限も、仮想マシン全体の管理者権限には直結させない。
外部サービスの操作と外向きの通信を許可するのは、作業領域の外で動くSentinelである。Museが「実行したい」と要求し、Sentinelが利用者の設定などに基づき、許可、拒否、本人への確認を判断する。AIが作業のために書いたコードで、安全機構まで自由に書き換えられる構成を避けている。
認証情報にも分離を適用する。Museが扱う代理トークンは、承認された通信が外へ出る際に本物の認証情報へ差し替えられる。モデルにAPIの秘密鍵などを直接見せずに、許されたサービスを使わせる仕組みだ。
ただし、認証情報を隠せば、利用者の情報をすべて守れるわけではない。AIがメール本文を読むことを許されているなら、その内容を外へ送る危険は残る。秘密鍵の露出を減らす防御と、読んだデータの送信先を制限する防御は、役割が違う。
メール連携では、その違いがさらに切実になる。受信箱には、別サービスへログインするためのコードやパスワード再設定リンクも届く。Metaは組込みのメール連携で、これらを固定ルールと分類用モデルで除去すると説明している。受信箱の閲覧を許しただけで、他のアカウントまで操作できる状態にしないための措置である。
確認を増やしすぎず、支払いを止めるには
Museは個人データを読んだ処理をカーネル側で追跡し、その処理からの通信について自動許可を外す。追跡できない場合も通常の承認手順へ戻すという。個人データを読んでいない処理でも、限定された自動許可条件と通信先などの検査を通る必要がある。
毎回確認すれば、人は安心するとは限らない。通知が多すぎると、内容を見ずに許可するようになる。開発チームも、この「見慣れてしまう」問題を設計解説で挙げている。自律的に動く時間を増やしながら、取り消しにくい操作では確実に立ち止まらせるという、使い勝手と安全性の調整が必要になる。
そのため本人の承認は、通常の会話とは別に、明確な許可・拒否の操作として扱う。確認画面からの回答をSentinelへ直接返し、対象のサービスや用途に結び付ける。チャットの曖昧な相づちを、そのまま広い操作権限へ読み替えない設計である。
買い物では、承認する内容を金額まで具体化する。Stripeの発表によると、Museはすべての購入で、取引の総額について利用者の承認を求める。Linkに対応する100万超の事業者では、利用者がLinkに保存した支払い方法を使える。それ以外の事業者に対しては、承認した購入に用途を絞った使い捨ての仮想カードを発行する。
つまり、どの購入先でも一律に新しいカード番号を使う、という説明では正確さを欠く。既存のLink決済に接続する経路と、仮想カードで他の購入先にも対応する経路がある。いずれも、Museに利用者の元の支払い情報を見せず、購入ごとに本人が金額を承認する点は共通する。
Metaは、この仮想カードを購入先、金額、有効期間に結び付けると説明する。買い物に必要な権限を渡しつつ、別の店や別の金額で使い回せる権限は渡さない考え方だ。Stripeのエージェント向けウォレットは以前から提供されており、今回の発表はMuseへの組み込みに当たる。
もちろん、用途を限定した決済でも、商品を選び間違える可能性は消えない。支払い情報の漏出を抑えることと、買い物の判断が正しいことは別である。承認画面で利用者が何を確かめられ、どれだけ手間をかけずに間違いを見つけられるかが、実際に仕事を任せる際の判断材料になる。
「安全」と「Metaにも見えない」の距離
現在のMuse Secure VMは、Meta自身がデータへアクセスすることを技術的に不可能にはしていない。Metaは、社員のアクセスを運用方針で制限する一方、サービスの運用、保護、サポートに必要なアクセスは可能だと明記している。
以下は、MetaとStripeが9月8日に公表した説明を、保護対象ごとに分類したものだ。Metaの技術文書の「Muse Secure VM」「Coming Soon: Muse Confidential VM」「Our Policy Around Data」と、Stripeの決済発表を対応させた。独立した侵入試験の結果ではなく、公開時の設計と提供条件を比較している。
| 保護する対象 | 提供開始時の措置 | 残る条件・区別 |
|---|---|---|
| パスワードなどの認証情報 | 作業領域から分離して保管し、必要な通信で使用 | 認証後に閲覧するデータの送信には別の制御が必要 |
| 外部サービスの操作・通信 | Sentinelが審査し、必要に応じて本人へ確認 | 利用者が許可した範囲と、審査の実効性に依存 |
| 支払い情報 | Link連携と用途を限定した仮想カード、購入ごとの総額承認 | 商品選択や承認内容の誤りまでなくすものではない |
| MetaによるVM内データへのアクセス | 運用方針で制限 | 暗号技術で防ぐConfidential VMは年内予定 |
| 会話・操作履歴の学習利用 | 主要な個人識別情報を除去し、設定で拒否可能 | 広告システムへの非共有とは別の方針 |
認証情報を隠すこと、外部への送信を制御すること、Meta自身のアクセスを防ぐことは、それぞれ別の保護である。専用VMという名称だけでは、どの相手から、どのデータを守れるかまでは決まらない。
年内に提供予定の「Muse Confidential VM」は、利用者だけが持つ鍵でVM全体を暗号化し、Metaにも内部へアクセスさせないことを目指す。技術解説では、少数のテスターが利用し、外部の監査担当者に設計とコードを開示している段階だという。提供後に、外部から継続的に確認できる監査も計画している。現在のMuseを評価するときに、この将来の保護を先取りすることはできない。
データの使い道にも注意が必要だ。Museは会話やVM内のデータをMetaの広告システムへ共有しないとする一方、会話やツール操作の履歴は、主要な個人識別情報を取り除いたうえでモデルの学習に使う。利用者は設定で拒否できる。さらに、Museが本人の代わりに訪れたサイトでの行動が、広告へ間接的に影響する場合はある。広告への非共有、学習への利用、第三者サイト上の活動を一つの約束として受け取るべきではない。
Meta自身、Museが攻撃を完全に防げるとは述べておらず、公開に合わせて脆弱性の報告を募っている。実運用で、危険な送信を止めながら正当な仕事を妨げずに済むか。Confidential VMが提供されたとき、保護の範囲を第三者が確かめられるか。こうした検証が進み、確認に費やす手間より任せて取り戻せる時間が大きくなれば、個人エージェントは日々の仕事を預ける相手として定着し得る。
