Apple、AIエージェント向けにmacOSの「フルディスクアクセス」制御を強化

Appleは、自律型人工知能（AI）エージェントがもたらすリスクの高まりを受け、macOSの「フルディスクアクセス」権限に関するセキュリティ制御を強化する計画を発表しました。この動きは、AIツールがユーザーのプライベートデータにアクセスした最近のインシデントに対応するものであり、同社はユーザーがこうした広範なシステム権限を与えることの意味を明確に理解できるよう確保することを目指しています。

何が起きたか

Appleは、一部の開発者が「フルディスクアクセス」を、ユーザーを重大なプライバシーリスクにさらす形で利用していると指摘しました。この権限により、アプリケーションはファイル、メール、メッセージ、閲覧履歴など、システムのほぼすべての部分に対して読み書きが可能になります。ユーザーはその露出範囲を十分に把握しないまま許可を与えていることが多くあります。コミュニケーションアプリの場合、この広範なアクセスは、ユーザーとやり取りしている第三者のプライバシーにも影響を及ぼす可能性があります。

今回の発表は、Metaの「Muse」に関する報告への直接的な対応と思われます。「Muse」は、「フルディスクアクセス」を付与された後、ジャーナリストのプライベートなiMessageにアクセスしたエージェント型ツールです。Metaは、Messagesとの統合はオプトイン方式であり、システムレベルのアクセスと内部コネクタ設定の両方が必要であると説明しましたが、強力なAIエージェントに深いシステム権限が付与された場合、機密データがいかに容易に漏洩し得るかが浮き彫りになりました。Appleは、AIエージェントの能力と自律性が高まるにつれ、このレベルのアクセスに伴うリスクは大幅に増加すると強調しました。

Metaのインシデントに加え、セキュリティ研究者のPatrick Wardle氏は最近、人気のあるAIアプリケーションにおける脆弱性を公開しました。彼は「not-a-mused」と名付けられたMuse Macアプリのゼロデイエクスプロイトを発見し、これによりローカルプロセスやターミナルコマンドであれば、ユーザーのMuseアカウント認証トークンにアクセスできることを示しました。この脆弱性は修正されましたが、特権のないローカルプロセスがディクテーショントラフィックをリダイレクトし、アプリに付与された信頼を悪用できる可能性があることを示しました。Wardle氏はまた、OpenAIのChatGPT MacアプリにおけるCVE-2026-100754という脆弱性も報告しており、これにより攻撃者がアシスタントを乗っ取り、チャットログにアクセスすることが可能になる恐れがありました。

仕組み

「フルディスクアクセス」は、どのアプリケーションが標準的なサンドボックス制限を回避できるかをユーザーが制御できるようにするために、macOS Mojave（バージョン10.14）で導入されました。有効にすると、アプリはMail、Messages、Safari、Time Machineバックアップなどの保護されたアプリからのシステムファイルやデータの読み取り・変更が可能になります。このレベルのアクセスは、ファイルシステム全体にわたって動作する必要があるバックアップソフトウェア、アンチウイルスツール、システムモニターなどの正当なユーティリティにとって不可欠です。

しかし、この権限は事実上、オペレーティングシステムに組み込まれた多くのプライバシー保護機能をバイパスします。Appleは、「フルディスクアクセス」の付与には、より明示的で十分な情報に基づいたユーザー操作が必要となるよう、メカニズムを更新する計画です。その目的は、ユーザーが誤って、機能するためにそれほど広範なアクセスを必要としないAIエージェントに包括的な権限を与えてしまう状況を防止し、潜在的なエクスプロイトに対する攻撃面を縮小することにあります。

主要な詳細

• Appleは、権限付与のために明示的なユーザー操作を要求するよう「フルディスクアクセス」制御を更新する予定です。
• この変更は、ファイル、メール、メッセージ、閲覧履歴にアクセスできるAIエージェント由来のリスクに対処するものです。
• Metaの「Muse」ツールは以前、「フルディスクアクセス」を取得し内部コネクタを有効にした後、プライベートなiMessageにアクセスしていました。
• セキュリティ研究者のPatrick Wardle氏は、認証トークンを露出させる「not-a-mused」と呼ばれるMuseのゼロデイ脆弱性を発見しました。
• Wardle氏はさらに、OpenAIのChatGPT MacアプリにおけるCVE-2026-100754を特定しており、これによりチャットログへの不正アクセスが可能になる恐れがあります。
• 新しいmacOS制御の展開スケジュールはまだ発表されていません。

なぜ重要か

AI搭載デスクトップアプリケーションを開発するソフトウェアエンジニアや技術系創業者にとって、この変化はデータアクセスに対する規制およびプラットフォーム固有の環境がより厳格になることを示唆しています。データ取り込みやコンテキスト収集のためのショートカットとして「フルディスクアクセス」に依存することは、オペレーティングシステム側からもユーザー側からも、より大きな摩擦に直面する可能性が高いでしょう。開発者は、深いシステムアクセスの必要性をより厳密に正当化し、最小権限の原則に沿って、エージェントが最低限必要な権限のみを要求するように設計する必要があります。

「Muse」と「ChatGPT」で見つかった脆弱性は、AIエージェントが攻撃者にとって高価値な標的であることを示しています。これらのエージェントはしばしば、メール送信、マイクへのアクセス、カレンダーの変更など、広範な機能を持つため、単一の脆弱性が不均衡に大きな損害をもたらす可能性があります。セキュリティチームは、AI統合をコアシステムコンポーネントと同じ厳格さで扱い、認証トークンやデータパイプラインがローカル特権昇格攻撃に対して堅牢であることを確認する必要があります。

実施できること

• アプリケーションの権限リクエストを監査し、「フルディスクアクセス」が絶対に必要な場合にのみ使用されていることを確認してください。
• OSレベルの包括的なアクセスだけに頼るのではなく、AIエージェント内で粒度の高い権限チェックを実装してください。
• ローカルエクスプロイトや未文書化の設定によるトークン漏洩を防ぐため、AIサービスの認証フローを見直してください。
• AIエージェントがどのようなデータにアクセスするのか、そしてその理由について、曖昧または誤解を招く権限プロンプトを避け、ユーザーに明確に教育してください。
• macOS APIと連携するものを中心に、使用しているAIフレームワークやライブラリに関するセキュリティアドバイザリーを監視してください。
• より厳格な権限付与ワークフロー下でアプリケーションがどのように動作するかをテストし、今後のmacOSアップデートに備えてください。