Apple、macOSの「フルディスクアクセス」に追加の制御を導入へ――AIエージェントのリスクを明記、時期・方式・MDMは発表文に記載なし

Appleは米国時間10月2日、macOSの「フルディスクアクセス（Full Disk Access、FDA）」に追加の制御を導入すると表明した。利用者が極めて明示的な操作をした場合に限り、FDAを付与できるようにするという。

理由としてAppleは、AIエージェントの能力と自律性が高まるにつれて、この水準のアクセスに伴うリスクが大きく増すと書いた。

一方で、導入の時期・対象となるmacOSのバージョン・操作の具体的な方式・MDM（モバイルデバイス管理）での扱いは、10月2日付の発表文に記載がない。Appleは特定の社名やアプリ名も挙げなかった。

発表の直前には、Metaの個人向けAIエージェント「Muse」のMac版が、利用者のメッセージに触れたかどうかをめぐって議論になっていた。本記事では、Appleが書いたことと書いていないことを分け、AIエージェントに渡すOSの権限を誰がどの粒度で管理するかという観点から整理する。

Appleが10月2日に示した「追加の制御」の中身

Appleの発表は、Apple Developerのニュース「Updates to Full Disk Access in macOS」として掲載された。本文は2段落5文で、FDAという権限の位置付けと、今後の方針を述べている。

発表文はFDAをバックアップ向けの権限と説明した

Appleはまず、開発者に強力なAPIを提供する一方で、利用者の個人データを守るための一連の制御を設けていると説明した。その上で、FDAはMacでバックアップアプリが正しく動くように、これらの制御の多くを迂回する権限だと位置付けた。

続けてAppleは、一部の開発者が、利用者を危険にさらしうる形でFDAを使っていると指摘した。ファイル・メール・メッセージ・閲覧履歴まで、システム上のあらゆるものを、利用者が十分に理解しないまま露出させているという。通信アプリの場合は、利用者がやりとりする相手のプライバシーも損なわれうると書いた。

「極めて明示的な操作」でのみ付与できるようにする方針

今後についてAppleは、この並外れた水準のアクセスを本当に与えたい利用者が、極めて明示的な操作によってのみ与えられるよう、追加の制御を導入すると述べた。対応は不可欠だとして、その必要性も強調している。

理由として挙げたのが、AIエージェントの能力と自律性の高まりだ。Appleは、この水準のアクセスに伴うリスクが大きく増すとし、利用者がリスクを理解した上で自分のデータについて判断できるようにすると結んだ。

時期・対象OS・方式・MDMの扱いは発表文に記載がない

発表文の全文に、導入の時期・対象のmacOSのバージョン・明示的な操作の具体的な方式は書かれていない。MDMで事前に許可できるか、すでに許可済みのアプリをどう扱うかも記載がなかった。

TechCrunchは、Appleが同社の問い合わせに回答しなかったと伝えている。また同誌は当初の記事で、今回の変更を権限の制限と表現していた。のちに、変更の趣旨は利用者の十分な理解に基づく同意であり、新たな制限ではないとする訂正を加えた。

フルディスクアクセスで、アプリが読めるようになる範囲

Appleが「並外れた水準」と呼ぶ権限が何を許すのかは、現行のmacOSユーザガイドで確認できる。ここでは、設定の場所と対象となるデータを整理する。

設定場所は「システム設定」の「プライバシーとセキュリティ」

FDAは、「システム設定」＞「プライバシーとセキュリティ」＞「フルディスクアクセス」で、アプリごとに許可を与える形だ。個人で使うMacでは、利用者がこの画面で許可したアプリがFDAを使えるようになる。業務で使うMacでは、後で触れる通り、管理者がMDMで許可を配る方法もある。

AppleのmacOSユーザガイド（日本語版）は、この項目を「フルディスクアクセス」と表記した。一方、MDM向けの文書では「システムポリシー（すべてのファイル）」という。利用者向けと管理者向けの文書では、同じ権限でも呼称が異なるという。

他のアプリのデータやTime Machineのバックアップも対象

ユーザガイドの説明では、FDAはアプリに対し、コンピュータ上の全てのファイルへのアクセスを許可する。そこには、このMacにおける全てのユーザのメール・メッセージ・Safari・ホームといった、他のアプリのデータが含まれる。

さらに、Time Machineバックアップのデータと、特定の管理設定のデータも対象だ。英語版のユーザガイドも、他のアプリの例としてMail・Messages・Safari・Homeを挙げている。

メッセージのアプリが保存するやりとりも範囲に入るため、FDAを持つアプリは、利用者本人だけでなく通信相手の発言にも触れうる。

Meta「Muse」のMac版をめぐる9月からの経緯

Appleの発表は、Metaの個人向けAIエージェント「Muse」のMac版をめぐる議論の直後に出た。Museは9月8日にMark Zuckerberg氏がXで発表したエージェントで、利用者の目標を理解して24時間タスクをこなすと紹介された。

9月8日の発表から10月2日のApple発表までの時系列

経緯を日付順に並べると次の通りだ。X投稿の日付はUTCで示し、投稿や発表そのものを確認できたものを「一次」、報道でしか確認できないものを「報道」とした。Aten氏の記事は本文に到達できなかったため、公開日はThe Next Webの報道に拠った。

日付	出来事	確認の種類
9月8日（UTC）	Zuckerberg氏がXでMuseを発表	一次（X）
9月19日（米国時間）	Inc.のJason Aten氏が、Museが許可なくメッセージに触れたとする記事を公開	報道（The Next Web）
9月21日（UTC）	セキュリティ研究者のPatrick Wardle氏が、Mac版の0-day（未修正の脆弱性）をXで開示	一次（X）
9月22日（UTC）	Meta Superintelligence Labs所属のDavid Singleton氏が、修正版（hotfix）の提供をXで表明	一次（X）
9月30日（UTC）	Metaの広報のAndy Stone氏が、メッセージ連携はオプトインだとXに投稿	一次（X）
10月2日（米国時間）	AppleがFDAへの追加の制御を表明	一次（Apple Developer）

Singleton氏の肩書きは、本人のXプロフィールの記載に従った。なお、当メディアが8月に報じた「Muse Code」は、Museの名を冠する別製品で、開発者向けのコーディングエージェントだ。

Aten氏は、許可していないのにメッセージに触れたと書いた

Daring Fireballが引用したAten氏の記事によれば、同氏はポッドキャストの共同ホストとの会話の直後に、Museからプッシュ通知を受け取った。通知は、その会話がコラムの題材になると提案し、調べものを手伝うと申し出るものだった。編集者からのメッセージにも触れていたという。

Aten氏は、メッセージを読む許可を与えたことはないと書き、メッセージ・カレンダー・その他の個人情報へのアクセスを許可しないと明示的に選んだ覚えがあるとも記した。

TechCrunchによると、Aten氏はその時点でFDAはオフだったと主張し、Museに理由を尋ねると端末の通知を同期していると答えたという。

Meta側は、FDAとコネクタの両方が必要だと反論した

これに対し、Metaの広報のAndy Stone氏は9月30日（UTC）、Xに次のように投稿した。Mac版Museのメッセージ連携は完全なオプトインで、FDAとMessagesコネクタの両方を有効にしなければ、Museはメッセージの内容を読めないという。許可はいつでも取り消せるとも書いている。

TechCrunchによると、Singleton氏もThreadsで、アプリ側の許可とmacOSの保護を合わせた3段階の手順が必要だと説明した。Museが通知の同期と答えた点については、AIが混乱して誤った説明をしたと反論したという。

0-dayの開示とAmazonのブロックは、FDAとは別の論点

Wardle氏が開示した0-dayは、FDAの問題とは別の話だ。Singleton氏のX投稿によれば、Mac版には音声入力の送信先を書き換えられる内部設定があり、端末上で動く悪意あるコードがMuseのアクセストークンを奪える状態だった。

Singleton氏は、これをリモートからの攻撃ではなくローカルでの権限昇格攻撃と説明し、修正版で設定を取り除いたとした。

また、Ars Technicaは9月21日の記事で、AmazonがMuseを自社サイトでブロックし始めたと報じ、同誌へのメールでの声明を伝えた。いずれもMuseの権限設計をめぐる件だが、FDAの付与手順とは別の論点にあたる。

周囲の人のデータと、業務Macの管理に関わる論点

Appleの発表文は、通信アプリの場合は相手方のプライバシーも損なわれうると書いた。OSの権限をめぐる論点は利用者本人の端末にとどまらず、周囲の人のデータと、企業の管理者の側にも及ぶ。

Appleの発表をMuseと結び付けたのは報道側の見方

Appleは発表文で社名を挙げておらず、Museの件への対応だと述べてもいない。Ars Technicaは、Museの件を指していない可能性もあると書きつつ、発表の時期から関連の可能性は高いと推定した。

同誌の記事では、Wardle氏が取材に対し、FDAがあればroot以外のファイルは読め、閲覧履歴・ブラウザのCookie・チャットも含まれると答えている。

Daring FireballのJohn Gruber氏は、Museを含む複数のAIエージェントを挙げ、それらへの対応だとの見方を意見として示した。

周囲の人物ごとのページを毎時作る指示を、WIREDが報じた

WIREDは10月3日、Museが利用者の周囲の人物ごとにページを作る指示を持つと報じた。研究者のKaran Joshi氏が通常のチャット画面からMuseの指示を抽出し、WIREDに共有したものだ。

WIREDによると、指示には家族・パートナー・友人・同僚といった人物の情報を毎時まとめる処理が書かれていた。

Metaは、これらのファイルは透明性のために意図的にアクセスできるようにしていたと主張した。また、メール送信や購入の前に本人の確認を求める設計で、エージェントの活動を確認できる監査ログもあるとWIREDに説明した。

現行のMDMでは、管理者がFDAを事前に許可できる

業務で使うMacでは、FDAの付与を管理者が担う仕組みが現在もある。Apple Platform Deploymentによると、MDMに登録したMacでは、プライバシー設定を制御するペイロード（PPPC）で「システムポリシー（すべてのファイル）」を許可に設定できる。

同文書の記述例は「自分の組織のアプリがユーザに確認を求めずにすべてのファイルを操作することを許可します」というものだ。ただし、今回の追加の制御がこのMDMによる事前許可に影響するかどうかは、Appleの10月2日付発表文に記載がない。

当メディアが9月28日に報じたNVIDIAの「Open Agent Safety Platform」は、AIエージェントの実行境界をモデルの外側に置く設計だった。MDMでOSの権限を管理する仕組みも、エージェントの権限の境界をモデルの外に置く点で、同じ論点に属する。

詳細の公表前に、10月4日時点で確認できること

Appleの追加の制御は、方針の表明にとどまっている。エージェントの権限は、アプリ内の設定とOSの権限という別々の層で管理されている点も、Museの件で表に出た。

アプリ内のコネクタとOSの権限は別の層にある

Stone氏の投稿は、Museがメッセージを読む条件として、アプリ内のMessagesコネクタとOSのFDAの両方の有効化を挙げていた。コネクタはエージェント側の設定で、FDAはmacOS側の権限だ。

前者はMetaが、後者はAppleが仕組みを決めている。TechCrunchによると、Singleton氏が説明した手順には、FDAを許可する際にmacOSの設定画面で改めて確認する操作も含まれていた。

Aten氏の主張とMeta側の説明は、この2つの層のどちらで何が起きたのかをめぐって食い違った。Appleの今回の方針は、このうちOS側の層で、付与の手順に追加の制御をかけるものと読める。

日本の企業が10月4日時点で確認できる3点

Appleの発表と現行の文書から、日本の企業が10月4日時点で確認できる事実は次の3点だ。

• 追加の制御の詳細は発表文に記載なし：Appleは導入の時期・対象OS・明示的な操作の方式・MDMでの扱いを10月2日付発表文に書いていない。
• FDAは現行の仕組みで設定できる：利用者は「システム設定」＞「プライバシーとセキュリティ」＞「フルディスクアクセス」でアプリごとに許可できる。管理対象Macでは、管理者がPPPCペイロードでアクセスの許可・禁止を設定できる。
• エージェントのコネクタとOSの権限は別の層：Museの件でも、Meta側の説明はアプリ内のコネクタとOSのFDAの両方を有効にすることを、メッセージを読む条件にしていた。