metaのAIエージェント「Muse」で、ユーザーが共有した会話が第三者から丸見えになる問題が発覚した。セキュリティ企業Claroqが発見した共有リンクは6800件超。中にはCEO向け売上報告書、融資申請書、AI研究所幹部との非公開面談資料まで含まれていた。これは単なるバグではなく、生成AI業界が繰り返す「共有機能の設計思想欠陥」の典型例だ。

何が起きたか

Museは、メール送信・旅行予約・文書作成をユーザーの代わりに実行するmetaのAIエージェントだ。会話結果をリンクで他人に共有する機能を備えており、ここが致命的だった。共有リンクのURLに会話タイトルそのものが埋め込まれていたため、DNSの履歴検索から第三者が容易にリンクを収集できる状態になっていた。

セキュリティ企業Claroqの調査では、6800件以上の共有リンクが外部から発見された。流出した会話内容には、企業CEO向けの売上報告書、中小企業オーナーが作成していた融資申請書、AI研究所幹部との非公開面談資料まで含まれる。つまり、金融機関に提出予定の決算数字から、企業戦略に関わる機微情報までが、URLさえ推測できれば誰でも閲覧可能だった。ユーザーは「限定共有」のつもりでボタンを押していたが、実態はパブリックウェブへの投稿に等しかった。

なぜこのニュースが重要か

まず押さえるべきは、これが「設定ミス」ではなく「設計欠陥」であるという点だ。URLに会話タイトルを埋め込むという実装は、推測可能性を自ら上げている。しかもDNSログは公開情報として外部企業がクロールしているため、ランダム文字列であっても露出リスクは消えない。にもかかわらずmetaは、この共有機能をデフォルトで提供した。

この構図はOpenAIのChatGPT共有リンク問題（Google検索にインデックスされていた件）と酷似している。業界は同じ失敗を繰り返している。生成AI企業は「バイラル拡散」を優先するあまり、共有=公開に限りなく近い実装を選び続けている。6800件という数字は氷山の一角で、Claroqが見つけられなかった分を含めれば数万件規模の推定が妥当だ。

さらに深刻なのは、流出した資料の性質だ。融資申請書が外部から読めるということは、取引銀行名、申請額、財務状況、経営者の個人情報まで芋づる式に把握される。これはフィッシングやBEC（ビジネスメール詐欺）の格好の材料となる。流出した企業は、今後数ヶ月から数年にわたって標的型攻撃のリスクを背負う。

過剰評価への反論

「metaが悪い」で終わらせてはいけない。真に批判すべきは、生成AIを業務に投入しながらガバナンスを構築しない日本企業の経営層の方だ。

共有リンク機能のリスクは、Muse固有の話ではない。ChatGPT、Claude、Gemini、Notion AI、どれも「便利な共有ボタン」を持ち、どれも過去に類似の露出事故を起こしている。それでも現場社員は「資料をちょっと見せたいだけ」でワンクリックしてしまう。なぜか。経営層が「使うな」とも「こう使え」とも明示していないからだ。

「AIで生産性を上げろ」と号令をかけながら、承認済みツールのリストもなく、共有設定のガイドラインもなく、監査ログの仕組みも整えない。これは経営の怠慢だ。情報システム部門にだけ責任を押し付けて、自分たちは「DX推進」の功績だけ取ろうとする構図が透けて見える。

今回のMuse問題で流出した融資申請書を作成した中小企業オーナーは、おそらく「便利そうだから」で使い始めただけだろう。本来責められるべきは、そういう個人ユーザーではなく、エンタープライズ契約を結びながらリスク評価を怠った組織の意思決定者だ。6800件という数字の裏には、6800の意思決定の空白がある。

経営者として次に取るべき動き

第一に、全社の生成AIツール利用実態を今日中に棚卸しせよ。シャドーAIの把握なくしてガバナンスはない。利用申請フォームと承認済みツールリストを48時間以内に整備し、未承認ツールへの機微情報入力を就業規則レベルで禁止すること。

第二に、全ての生成AIサービスの「共有機能」をデフォルトでオフに設定変更する社内規程を今週中に発行せよ。社内文書の共有は、SharePointやBox等の承認済みプラットフォームに限定する。AIツールの共有リンクは、原則として外部公開と同等のリスクとみなす運用に切り替えること。

第三に、過去6ヶ月間に生成AIで扱った機微情報の洗い出しと、流出時の影響評価を実施せよ。すでに流出している前提で、取引先への事前通知と信用情報のモニタリング体制を敷く。問題発覚後に動くのではなく、問題発覚前に動いた企業だけが、次の事故で生き残る。あなたの会社は、どちら側に立つのか。