AI 安全與開發工具
Muse Code、ClaudeとCodexの個人向け指示をデフォルトで読み込み――プロバイダー間の互換性がデータ境界の問題を浮き彫りに
独立したテストにより、MetaのMuse Codeは起動時にユーザーのホームディレクトリ内にある`CLAUDE.md`と`AGENTS.md`を探し、その内容をモデルエンドポイントへ送信するコンテキストに組み込むことが判明した。この互換性設計は任意のファイルの流出を意味するものではないが、本来は別のプロバイダーだけに渡すことを想定していた個人ルール、内部パス、機密性の高いプロンプトがMetaに送信される可能性がある。
Metaが8月5日にターミナル型コーディングエージェントのMuse Codeを公開した後、RuntimeWireはそのバイナリと実際のリクエストを検証した。その結果、プログラムが`~/.claude/CLAUDE.md`や`~/.codex/AGENTS.md`など、他のエージェント用のグローバル指示ファイルを自動的に探索することが分かった。選択された内容はdeveloper messageに組み込まれ、デフォルトのMetaモデルエンドポイントへ推論用として送信される。ユーザーが現在のプロジェクト内で、あらかじめこれらのファイルを参照しておく必要はない。
技術的には、これはプロンプトインジェクションの脆弱性ではなく、「互換性」と「認可範囲」が混同されている問題だ。`CLAUDE.md`と`AGENTS.md`はもともと、ビルドコマンド、アーキテクチャ上の慣例、禁止事項などを指定するために使われており、Claude Code、Codex、VS Codeなどのツールも、それぞれが対応する指示形式を自動的に読み込む。しかし、グローバルファイルはワークスペースではなくホームディレクトリに置かれているため、個人的な設定、社内パッケージ名、テストサービスの場所、さらには誤って書き込まれたトークンが含まれている可能性がある。別企業のクライアントがそれらを自動的に採用してアップロードすることは、多くの開発者が当初想定していたデータ境界を越える。
現時点で公開されている証拠は、「指示ファイルの内容がモデルリクエストに含まれる」ことを裏付けている。一方で、Muse CodeがClaudeやCodexの完全な会話履歴をスキャンすることは証明されておらず、OSによってアクセスを禁止されたファイルを権限を越えて読み取れることも示されていない。エンジニアリングチームは、まずグローバルなエージェント指示を確認し、シークレットや顧客を識別できる情報を削除したうえで、エージェントの診断インターフェースまたはインターセプトプロキシを使って最初のリクエストを検査すべきだ。今後の焦点は、Metaがファイルごとのプレビュー、永続的な無効化オプション、明確なデータ保持／学習ポリシーを追加するかどうか、そしてエージェント間の指示標準が「移植可能なプロジェクトルール」と「特定のプロバイダーのみを対象とする個人的な記憶」を区別できるかどうかにある。