Meta「Muse Code」、他社ツールの個人設定を既定で送信したとRuntimeWireが報道

Metaのコーディングエージェント「Muse Code」が、利用者の選んだ作業フォルダ外にある他社ツールの個人設定ファイルを、既定でMetaへの最初のモデルリクエストに入れていた。技術メディアのRuntimeWireが8月9日、通信内容を捕捉した結果として報じた。

対象はOpenAI Codexのグローバル設定AGENTS.mdと、Claude Codeの個人用CLAUDE.mdだ。同媒体の対照実験では、オプション--no-foreign-personal-contextを付けると、いずれも送信内容から省かれたという。

翌8月10日には、検証をGitHub Copilot CLI・OpenCode・Grokへ広げた続報も公開された。本記事はRuntimeWireの2本の記事と、各社の公式資料で確認できる範囲を扱う。

RuntimeWireが報じた作業フォルダ外からの送信

捕捉した最初のリクエストに設定ファイル全文

RuntimeWireは、Muse Codeが接続するモデルの送信先をローカルの捕捉サーバーへ向け直した。空のワークスペースと隔離したCodexのホームディレクトリを用意し、クライアントが組み立てたリクエストを調べたという。

同媒体によると、合成したグローバルAGENTS.mdの全文が、最初のリクエストのdeveloperメッセージに入っていた。プロンプトでは、このファイルを開くようにも読み込むようにも指示していなかった。

最初のリクエストには、仕込んだ個人用Codexスキルのメタデータも含まれた。名称・パス・説明の3点で、スキル本体はモデルがread_skillツールを呼んだ後のリクエストに現れたという。

稼働中のモデルで実施した対照実験

RuntimeWireは、Metaの稼働中のモデルmuse-spark-1.2-contributorに対しても検証した。既定の実行では、モデルがCodexの個人ルールに置かれた合成指示に従い、FOREIGN-RULE-CANARY-7319を返した。

--no-foreign-personal-contextを付けた実行では、その指示は現れず、モデルは英語でUnknownと回答。双方の実行は正常に終了し、いずれのトレースにもファイル操作ツールの呼び出しは記録されなかったという。

Claude Codeの~/.claude/CLAUDE.mdを置いた検証でも、リクエストの水準で同じ結果になった。既定では最初のリクエストに指示が入り、オプションを有効にすると省かれたと同媒体は説明している。

起動時の通知と実行単位の除外手段

Muse Codeの端末画面には、Codexの個人ルールを含めることと、/settingsで管理できることを示す英語の通知が出たとRuntimeWireは記録した。ただし、同媒体の検証では対話的な許可を求める画面ではなかった。

既定の実行は、利用者が可否を選ぶ機会を挟まず、他社向けに書かれたファイルを最初のリクエストへ入れて進んだという。一方、実行単位の除外手段は用意されていた。

RuntimeWireが記録したCLIヘルプによると、--no-foreign-personal-contextは「他社の個人ルールとスキル」を除外するオプションだ。

Meta設定ガイドの記載と検証対象の範囲

マシン全体のユーザールールに関する説明

Muse Codeの設定ガイドには「Your machine-wide user rules always load.」という一文がある。原文は英語で、編集部訳は「マシン全体のユーザールールは常に読み込まれる」だ。

同ガイドは、ディレクトリの階層ごとに指示ファイルを1つ読み込み、AGENTS.mdとCLAUDE.mdが両方あるときは前者を優先するとも記した。プロジェクトのルールについては、ワークスペースを信頼した後にのみ読み込むと書き分けている。

ただし、この記載だけでは、他社製品の個人ディレクトリから読み込む範囲や、遠隔モデルへ送る際の扱いまでは分からない。設定ガイドとRuntimeWireの検証を合わせると、プロジェクト外の個人ルールも起動時の文脈に入る設計だったと読める。

検証されたビルドと結論の適用範囲

RuntimeWireが検証したのは、Metaのインストーラーが配布するLinux向けELFビルドだ。識別子はmuse-bin-0.1.0-R708.1で、記事にはSHA-256のハッシュ値も併記された。

検証は8月8日から9日にかけて実施され、挙動に関する主張は同ビルドに限定されている。RuntimeWire自身、Metaが後のビルドで挙動を変える可能性があると注記した。

手法は、静的な文字列とリソースの調査・Muse Code自身のコマンドライン出力・ローカル捕捉と実機リクエストの対の比較・ファイルシステムの追跡を組み合わせている。カナリア値は検証用の合成データで、実在の認証情報やソースコードは使っていない。

8月5日の公式発表で確認できた範囲

Muse Codeは8月5日に発表された。Meta AI Researchの公式ブログは、モデル呼び出し・ツール実行・承認・編集をローカルのイベントログへ追記する設計を説明している。クラッシュ後も停止地点から再開できる点を強調した。

同日の公式発表本文を確認した範囲では、他社ツールの個人設定ファイルを起動時に読み込む説明は見当たらない。マシン全体のユーザールールに関する記載があるのは、別に公開されている設定ガイドの側だ。

RuntimeWireはMetaに質問を送ったが、同記事の8月9日更新版では回答を得ていない。同媒体は、回答があれば記事を更新すると記している。

個人設定ファイルの役割と境界

AGENTS.mdとCLAUDE.mdの公式な位置付け

CodexとClaude Codeは、これらのファイルを持続的な動作指示の置き場として使う。OpenAIの公式ドキュメントは、Codexが作業開始前にAGENTS.mdを読むと説明し、テストコマンド・依存関係の好み・承認要件を例示した。

グローバルファイルの既定パスは~/.codex/AGENTS.mdで、リポジトリをまたいで適用される。Anthropicの公式ドキュメントは、~/.claude/CLAUDE.mdを全プロジェクト向けの個人的な設定を書く場所と位置付けている。

RuntimeWireは、社内のリポジトリ構成・非公開のパッケージ名・デプロイコマンド・レビュー規則などが記録されることもあると説明した。認証情報を書くべき場所ではないが、利用者が誤って秘密情報を含める可能性は残る。

プロジェクトとホームという2つの境界

RuntimeWireは、プロジェクト内のファイルとホームディレクトリの個人ファイルを別の境界として扱った。利用者が自ら開いたプロジェクトに置かれた指示ファイルは、そのプロジェクトに付随する入力に当たるという整理だ。

一方、他社製品向けに書かれ、ホームディレクトリに置かれたファイルは、利用者が開いたディレクトリの外にある。空のフォルダで新しいツールを起動した利用者が、そこまで読まれると考える理由は乏しいと同媒体は指摘した。

Anthropicは、CodexやGeminiの設定をClaude Codeへ取り込むclaude importを公式に用意している。RuntimeWireがClaude Code 2.1.226で試したところ、プレビューとドライランを経て、承認後にCodexの指示が有効になったという。

Contributorティアが残す未回答の論点

実機検証に使われたmuse-spark-1.2-contributorは、Metaが割引価格で提供するContributorティアのモデルだ。Metaの価格資料とMacRumorsの報道によると、100万トークンあたり入力0.10ドル・出力0.20ドルとされる。

同資料では、プロンプトと出力を将来のMetaモデルの訓練に使う許可と引き換えに、割引価格を提供すると説明している。ただし、Muse CodeでContributorティアが常に既定となるかは、確認できた一次情報では確定できない。

他社ツールから取り込まれた指示が、利用者のプロンプトの一部として扱われるかは未回答だ。RuntimeWireは、Metaが検証用ファイルを保持した証拠も、訓練に使った証拠も見つけていないと明記している。

RuntimeWireが他のコーディングツールへ広げた検証

Copilot CLI・OpenCode・Grokの対照実験

RuntimeWireは8月10日、検証対象を他のコーディングエージェントへ広げた続報を公開した。空のワークスペースに~/.claude/CLAUDE.mdを置き、既定の設定で合成指示が返るかを調べる方式だ。

GitHub Copilot CLI 1.0.78は、既定の実行で同ファイルを読み込み、最初の遠隔プロンプトに含めたという。--no-custom-instructionsを付けた実行では、仕込んだ文字列は返らず、送信も止まったと同媒体は報告した。

OpenCode 1.18.15とGrok 1.0.0でも、既定の実行で合成指示が返った。RuntimeWireによると、OpenCodeの端末には他社ルールの読み込み表示がなく、許可を求める画面も出なかった。

確認を挟むClaude Codeと静的解析にとどまる製品

Claude Code 2.1.226の取り込みは、確認を挟む設計だった。RuntimeWireの検証では、取り込み前は他社のカナリアに従わず、利用者が承認した後にCodexの指示が有効になった。

ただし、プレビュー処理が全てローカルで完結したかは確かめられていない。同媒体は、承認前の送信について主張していない。

Moonshot AIのKimi Desktop 3.1.5は、パッケージの静的解析にとどまる。RuntimeWireは、自社のワークスペースから持続的な文脈を読み込む一方、他社の個人ディレクトリを起動時に読む仕組みを確認できなかったとした。

Qwen Code 0.21.8もパッケージ調査のみで、実行試験は完了していない。Cursor Agentは~/.claude/skillsや~/.codex/skillsからSKILL.mdを探して読む処理が確認されたが、本文が遠隔送信されるかは未確認だ。

「業界標準」という説明へのRuntimeWireの反論

続報は、既定の読み込みを「業界標準」と呼ぶ擁護論への反論として結果を整理した。自動で他社の個人ディレクトリを読む製品がある一方、設定や事前確認を求める製品もあるという比較だ。

RuntimeWireは、この差を技術的な必然ではなく製品ごとの設計判断と位置付けた。ただし、この評価は同媒体の調査対象とバージョンに基づく論評であり、業界全体を網羅した標準調査ではない。

検証の証拠にも幅がある。Muse Code・Copilot CLI・OpenCode・Grokは実機の対照実験だが、KimiとQwenは静的解析に限定。Cursorはローカルでの探索と読み込みまでで、遠隔送信は立証されていない。

他社設定の送信をめぐって残る確認点

検証が答えられない保持と訓練の扱い

カナリアが示したのは、仕込んだ指示がモデルの推論に使われる文脈へ到達したことに限られる。事業者が受け取った内容をどれだけ保持するか、訓練に使うか、テレメトリへ複製するかまでは分からない。

送信前に秘密情報を検出する仕組みの有無も、外部からの検証では確定していない。RuntimeWireは、これらの扱いが事業者・契約ティア・企業向け設定によって変わりうると指摘した。

同媒体がMetaに送った質問は6項目だ。既定で読むファイルの範囲・恒久的な無効化設定・Contributorティアでの分類・保持と訓練・秘密情報の走査・既定を有効側に置いた理由を尋ねている。

RuntimeWireが提案する事前同意の基準

RuntimeWireは、業界共通の基準として事前同意を採るべきだと主張している。他社製品の個人的な指示やスキルを遠隔モデルへ送る前に、利用者が送信元を明示的に承認する形だ。

具体的な要求は6点。互換ファイルの探索は手元で行う・読み込む前に正確なパスを示す・内容をプレビューして認証情報らしき記述を警告する・ファイル単位で選択させる・最初の送信前に承認を待つ・恒久的な除外設定と利用記録を用意する、という内容である。

事業者が応じないときに備え、同媒体は規制側が扱える範囲も示した。選んだワークスペース外にある他社所有の個人設定を転送する前に、明示的な同意を義務付けるという限定的な提案だ。