Meta Muse、隔離実行ユニット、認証情報プロキシ、Sentinelでエージェントのあらゆる外部副作用を制御

Metaは、ブラウザの操作、メールボックスやカレンダーへの接続、ツールの作成、長期タスクのバックグラウンド実行が可能なパーソナルエージェントMuseを発表し、そのセキュリティアーキテクチャも公開した。注目すべきなのは一般消費者向けの機能ではなく、コアモデルが誤動作したり、Webページ、画像、ダウンロードファイルに含まれるprompt injectionによって操られたりする可能性をシステムが明示的に想定し、OSレベルの隔離と独立した認可経路によって被害を制限している点だ。

各ユーザーには専用のLinux VMが割り当てられる。エージェントフレームワーク、ワークスペース、ツール、エージェントが生成したコードは、`systemd-nspawn`のruntime cell内に配置される。コンテナ内のrootはホスト上の非特権ユーザーにマッピングされ、syscall、capability、仮想ネットワークインターフェースも制限されるほか、独立したルートファイルシステムが使用される。OAuth tokenなどの秘密情報はcell外部の`hatch-authd`が保持し、`privsep` workerは必要な権限だけを使ってコネクターを実行する。コンポーネント間の通信には、`SO_PEERCRED`とACLを備えたUnix domain socketを使用する。そのため、エージェントがコンテナ内の制御権を奪ったとしても、実際の認証情報を直接読み取ることはできない設計になっている。

すべてのコネクター操作とネットワーク出口については、ホスト側で独立して動作するSentinelが、許可、拒否、またはユーザーへの確認要求を判断する。ブラウザのサブエージェントが受け取るのはaccessibility treeだけであり、生のDOM、ページ内でのJavaScript実行権限、DevToolsへのアクセスは与えられない。ログイン情報はクライアントから安全なストレージへ直接送られ、必要なときにページへ注入される。購入操作には毎回確認が必要で、保存されていないカードによる決済では、加盟店、金額、有効期限が限定された使い捨てカード番号を使用する。こうした設計は「アクションを提案すること」と「副作用を発生させる権限を与えること」を分離しており、企業向けエージェントプラットフォームにとっても参考になる。

ただし、Sentinel自体にもモデルと分類器が含まれているため、形式的なセキュリティ境界とはみなせない。Metaもprompt injectionが依然として未解決であることを認めている。現在のアーキテクチャは、Metaの担当者によるアクセスをポリシーで制限しているにすぎず、サービスプロバイダーによるアクセスを暗号学的に排除してはいない。提供が約束されているConfidential VM、ソースコードの公開、継続的な外部監査も、導入は今後の予定だ。推論トレースは、一部の個人情報を削除した後も学習に利用される可能性があり、ユーザーは自らオプトアウトする必要がある。今後、セキュリティ研究者は、アーキテクチャ図上の隔離という主張をそのまま受け入れるのではなく、クロスドメインのデータ流出、Sentinelの意味的混乱、ブラウザ乗っ取り時の切り替え、自作コネクターがこれらの境界を突破できるかどうかを検証すべきだ。