Meta、Muse脅威報奨金プログラムの主な発見を公開　支払総額は120万ドルに

Metaは、AIエージェント「Muse」のバグ報奨金として総額約120万ドルを支払いました。この中には、社内テスト環境のデータが露出する、ローンチ前の脆弱性に対する30万ドルも含まれます。

Museは、ユーザーに代わってメール、カレンダー、メッセージなどのアカウントを横断して動作するパーソナルAIエージェントです。ユーザーごとのエージェントには、それぞれ専用の仮想マシンが割り当てられます。

MetaのDavid Singleton氏がブログ記事で明らかにしたところによると、このバグ報奨金プログラムは4月から非公開で運用され、9月8日のエージェント公開に合わせて一般に公開されました。寄せられた報告は630件超で、そのうち有効と認められたのは64件でした。

30万ドルの報奨金が支払われたのはローンチの4カ月前で、Museはまだ社内テストの初期段階でした。報告した研究者は、Metaの社員が製品のテストに使用していたリリース前のVM上で、会話内容やトークンにアクセスできることを実証しました。

Singleton氏は次のように説明しています。「認証チェックが、ローカルのHTTPSプロキシによって付加されたヘッダーを、信頼できる送信元からのリクエストである証拠として扱っていました。システム移行の際に環境へ2層目のプロキシが加わったため、外部からのリクエストにも、この信頼済みヘッダーが付く状態になっていました」

Metaは該当サービスを停止して脆弱性を修正し、ローカルマシンを信頼済みとして扱うのをやめました。

9万ドルの報奨金は、悪意あるWebページに関する報告に支払われました。このページは、Museに要約を依頼すると、エージェントのブラウジングツールが出すステータスメッセージを模倣します。Singleton氏は「本来であれば検知されるべきアクションを、エージェントに実行させてしまいました」と述べています。

Metaはその後、検知シグナルを追加し、不審に見えるツール出力をMuseが扱う方法も変更しました。同社によると、テストでは分類器がこの攻撃と100種類の亜種を検知できるようになったということです。

もう1件の9万ドルは、特定の書式を使うことで、ワンタイムパスコードをMuseのメール秘匿フィルターをすり抜けさせられることを示した報告に支払われました。Metaは、これをエンドツーエンド攻撃の一部だと説明しています。

5万ドルの報奨金は、Androidアプリの脆弱性に対して支払われました。悪意あるアプリが、特権を持つWebビューにリンクを渡せるというものです。Singleton氏は「リンクハンドラーは、共有ページのパスを認識するとホストを検証せずに読み込んでいました」と記しており、この欠陥により攻撃者のページがWebビューの認証情報を奪取できました。

1,000ドルの報奨金は、Macアプリの脆弱性に対するものです。コンピューターにアクセスできる攻撃者が自動更新機能を乗っ取り、アプリの権限でコードを実行できました。

Metaの報奨金は、有効な報告1件につき最大30万ドルです。同社は、これが他の主要AI開発企業が掲げる最高額の数倍に当たると主張しています。単一ユーザーに影響するプロンプトインジェクション攻撃では最大13万ドル、全ユーザーが侵害されるケースでは最大25万ドルが支払われる可能性があります。