保護されたデータへの広範なアクセスをアプリに許可するMacの権限が、AIエージェントの自律性が高まる中で新たな scrutinyを集めている。Appleは10月2日、フルディスクアクセスによってファイル、メール、メッセージ、閲覧履歴などの機密情報が露出する可能性があると警告した。
Appleは、アプリがこのレベルのアクセスを取得する前に「非常に明示的なユーザー操作」を求める追加の制御機能を計画しているが、いつ導入されるのか、既存の権限が影響を受けるのかは明らかにしていない。Macを管理する組織は、Appleの変更を待つのではなく、現在付与されている権限を見直すべきだ。
フルディスクアクセスによってエージェントの到達範囲が拡大
Appleによると、フルディスクアクセスは通常のmacOSのプライバシー制御モデルの多くを迂回するため、バックアップアプリなどのソフトウェアが保護されたデータにアクセスできる。その10月2日の開発者向け通知は、一部の開発者がユーザーに十分理解されない形でこの権限を要求していると警告している。
AppleのPrivacy Preferences Policy Controlのドキュメントによると、「System Policy All Files」設定によって、メール、メッセージ、Safari、ホームデータ、Time Machineのバックアップ、一部の管理設定へのアクセスを許可できる。このアクセス権を持つAIエージェントは、ブラウザー、クラウドアプリ、メッセージングサービス、その他の業務システムにも接続できる可能性があり、機密データが移動し得る場所の数を増やす。
最近発生したMuse関連のインシデントは、そのリスクを浮き彫りにしている。Metaは9月にMuseの脆弱性を修正した。この脆弱性によって、ローカルプロセスがエージェントの音声入力トラフィックをリダイレクトし、アシスタントにすでに付与されていた権限を悪用できる可能性があった。これとは別に、Inc.のコラムニストであるJason Atenは、Museが自分がアクセスを許可した覚えのないメッセージの内容を参照したと報じた。Metaは彼の説明に異議を唱えたとし、Museがメッセージの内容を読み取るには、フルディスクアクセスとMessagesコネクターの両方を有効にする必要があると述べた。
Appleの新たな制御機能が導入される前に権限を縮小する
管理者とユーザーは、承認済みアプリを確認し、システム設定 > プライバシーとセキュリティ > フルディスクアクセスを確認できる。管理環境では、デバイス管理プロファイルを通じて配布されたプライバシー権限も確認すべきだ。意図しないDNS経路を通じて内部モデルがインターネットに到達した後、OpenAIが高度な作業を一時停止したことを含む最近のエージェント封じ込めの失敗は、エージェントが何にアクセスでき、どこに接続できるのかを見直す必要性を裏付けている。
組織は、次の措置を講じることで、さらなるリスク低減を図れる。
- AIエージェントと特権アクセスを棚卸しする。公認および未承認のエージェントを特定し、フルディスクアクセス、macOSの機密性の高い権限、管理対象として付与された権限を記録する。
- ローカルサービスとクラウドサービス全体に最小権限を適用する。不要なアクセスを削除し、メール、メッセージング、クラウドストレージ、リポジトリなどのシステムに対する権限を絞り込む。
- 高リスクの操作と接続先を制限する。ツールとコマンドの実行を制限し、可能な場合は許可リストを使用し、外向き通信を制御するとともに、破壊的な操作や外部から見える操作には人間による承認を必須とする。
- 外部コンテンツは信頼できない入力として扱う。メール、ウェブページ、文書など、エージェントが処理するコンテンツを通じて配信される間接的なプロンプトインジェクションを考慮する。
- エージェントの挙動を監視し、異常を検知する。エンドポイント、認証、ネットワーク、SaaSのテレメトリーを監視し、異常なファイルアクセス、プロセス、接続、データ転送を検出する。
- AIエージェントの悪用を想定してインシデント対応計画をテストする。プロンプトインジェクション、エージェントの侵害、認証情報の漏えい、データ流出のシナリオを訓練し、チームがアクセスを取り消し、連携機能を無効化し、システムを封じ込め、ログを保全できるようにする。
Appleのエージェント型セキュリティに関するガイダンスは、ユーザー確認、機密データの編集、認証、信頼できない入力をめぐる制御などの保護策を推奨している。Appleは、新たなフルディスクアクセス制御機能のリリース日を発表しておらず、既存の権限が見直されるかどうかも確認していない。
関連記事： 悪意のある拡張機能が信頼されたエージェントのワークフローにも影響を及ぼし得ることは、AIブラウザーエージェントを乗っ取るBragJack手法が実証している。