2026年10月26日・ AI

Meta「Muse」日本上陸何を任せて何を預けるか 🤖

この記事について 📖

対象読者: Museを使ってみるか迷っている方。AIエージェントにメールや決済を任せる時の安全性が気になる方

この記事で扱うこと: Museで何ができるか、どういう仕組みで認証情報を守っているか、使い始める前に見直す設定です。情報は2026年10月25日時点のものです。Metaの公式発表で確かめたことと、報道でしか確認できていないことを分けて書きます

はじめに 👋

こんにちは！H×Hのセンリツ大好きエンジニアです！✌️

Metaの個人向けAIエージェント「Muse」が、10月23日から日本で使えるようになりました。北米以外では初めての提供です。

答えて終わりのチャットAIとの違いは、手を動かすところです。メールを送り、旅行を予約し、フォームを埋めるところまで代わりに進めます。

便利さの裏で、Gmailやカレンダー、決済手段へのアクセスを預けることになります。そこで今回は、Metaが公開している設計資料を読み、何を預けるのかを確かめました。

※この記事はAIと2人3脚で執筆されています

この記事はおよそ7000字なので、14 分で読めます！

1. Museで何ができるか — 頼んだ作業を最後まで進める 🧭

「Museは、頼まれた作業を最後まで進めるエージェントです」

Metaは2026年9月8日に、米国でMuseを公開しました。公式発表（Meta Newsroom）によると、動かしているモデルはMeta自社の「Muse Spark」です。

できることとして挙げられているのは次のような作業です。

メールの返信と送信
旅行の検索と予約
フォームの入力
料金の値下げ交渉
保存したInstagramのレシピ動画から買い物リストを作る

チャットAIとの一番の違いは、アプリを閉じても作業が続く点です。状況が変わった時や、本人の承認が要る時だけ通知が来ます。

そして、一度話したことを覚えていて、頼まれる前に提案もします。人に用事を頼む感覚に近い作りです。

料金

基本機能の多くは無料で、使う量が多い人向けに有料プランがあります。TechCrunchによると、米国では月20ドルの「Power」と月100ドルの「Maximum」の2つです。

無料で始める場合も、支払い用のカードの登録が必要とされています。日本の発表には料金の記載がなく、円での価格はまだ確認できていません。

2. 日本での提供内容 — 連携先と未提供の機能 🗾

「日本では、使える連携先と、まだ来ていない機能があります」

日本向けの公式発表（Meta）によると、iOSとAndroidのアプリ、Web版の muse.ai で使えます。

つなげられるサービス

用途	サービス
メール・予定	Gmail、Googleカレンダー、Instagram
買い物・旅行	Stripe、Shopify、Trip.com、Agoda、Klook
今後連携予定	メルカリ、マネーフォワード ME、チケットぴあ

日本の連携予定先に、家計簿のマネーフォワード MEが入っている点が目を引きます。口座や支出の情報をエージェントに読ませる使い方が想定されているということです。

日本ではまだ使えない機能

9月のMeta Connectで発表された次の3つは、日本での提供時期が「別途案内」とされています。

会話しながら作業を進める音声モード
アバター機能「Muse Realtime Avatar」
Muse専用のメールアドレス

なお、日本では招待制で、招待コードを使うと双方に「10億トークン」が付くという報道があります（hashout）。ただ、公式発表には招待制の記載がありませんでした。トークンが円でいくら分にあたるかも示されていません。

3. パスワードを見せない仕組み — Secure VMとSentinel 🔐

「エージェントは本物の認証情報を一度も受け取らない、というのが設計の中心です」

Metaは公開と同じ日に、安全設計を説明する技術記事（Meta AI Research）を出しています。エンジニアとして一番読み応えがあったのはここです。

利用者ごとの専用マシン

Museは利用者ごとに用意されるクラウド上の仮想マシン「Muse Secure VM」で動きます。中身はLinuxで、データと認証情報の置き場所もこのマシンです。

エージェント本体は、そのマシンの中でさらにコンテナに閉じ込められています。権限の低いユーザーで動き、使えるシステムコールも絞られた状態です。

認証情報の保管や安全判定は、コンテナの外にある別のプロセスが受け持ちます。Metaは記事の中で、この構成を次のように表現しています。

The right mental model is two isolated security domains on one box, not an LLM powered agent with root.

1台のマシンの上に、隔離された領域が2つある。強い権限を持ったAIが1つ動いている構成とは違う、という意味です。

本物のトークンを渡さない

ここが一番よく考えられていると感じた点です。エージェントが扱うのは、本物の代わりに発行された「代理のトークン」だけです。

通信がマシンの外に出る直前で、Sentinelという別のエージェントが中身を確かめます。許可した場合だけ、代理のトークンを本物に差し替えて送ります。

この仕組みだと、エージェントがだまされても盗めるものが手元にありません。「このパスワードを送って」と指示されても、そもそもパスワードを持っていないからです。

ブラウザでのログインも同じ考え方です。パスワードはアプリの専用画面から認証用のプロセスへ直接渡り、エージェント本体には見えません。

Sentinelが決める3つの返事

Sentinelは、連携先への操作と外への通信のすべてについて、「許可」「拒否」「本人に聞く」のどれかを返します。

判断の材料は、宛先のホスト名や解決後のIPアドレス、送る中身まで。また、利用者のデータを読んだ処理は「汚れた」扱いになり、外へ送る時は本人の承認が必要になります。

本人に聞く場合、確認画面はアプリ側の専用画面に出て、返事はSentinelへ直接届きます。チャット欄に出すと、だまされたエージェントが偽の確認を出す余地が残るためでしょう。

決済は使い捨てのカード番号

買い物は1件ごとに本人の承認が要ります。支払いに使うのは、店・金額・短い有効期限に縛られた使い捨てのカード番号です。

この使い捨て番号を発行するのは、Stripeの「Link」。公式発表によると、Linkの購入保護の対象になった最初のAIエージェントだそうです。

メールのワンタイムパスワードは読ませない

メールの連携では、ワンタイムパスコードやパスワード再設定のリンクを自動で取り除きます。決まった規則での除外と、判定用のモデルの二段構えです。

前回の記事で書いた証券口座の乗っ取りでも、狙われたのはこうしたログイン用のメールでした。エージェントにメールを読ませる以上、ここを最初から外してあるのは安心材料です。

4. すでに見つかった脆弱性 — Macアプリの音声入力 🐛

「設計がよくても、周りのアプリに穴が開くことはあります」

公開から2週間後の9月21日、セキュリティ研究者のPatrick Wardle氏がMac版アプリの脆弱性を公表しました（Unite.AI）。

Mac版には、音声入力の送り先を決める隠れた設定がありました。特別な権限のないプロセスからでも書き換えられる状態でした。

ここを書き換えられると、マイクで話した指示が攻撃者のサーバーへ送られます。指示の盗み見や、偽の指示の差し込み、認証情報の窃取につながるおそれがありました。

前提として、攻撃者はすでにそのMacでプログラムを動かせる必要があります。ただWardle氏は、利用者にコマンドを1回実行させる手口（ClickFix型）でも届くと指摘しています。

Metaは翌22日に修正を配信しました。検証用のコードは研究者のリポジトリ（GitHub）で公開されています。

この件から分かるのは、守りの中心がクラウドのマシンにあっても、手元の端末が入口になるということです。PCに見覚えのないコマンドを貼らない、という基本はAIエージェントの時代も変わりません。

Meta自身も「万全ではない」と書いている

Metaの技術記事は、指示の乗っ取り（プロンプトインジェクション）について次のように書いています。

Prompt injection remains an open problem in the industry — and Muse will sometimes make mistakes.

業界全体で未解決の問題であり、Museも間違えることがある、という率直な認め方です。

そのうえで、脆弱性の報告に最大30万ドルの報奨金を出しています。1人の利用者に影響する乗っ取りの手口だけでも、最大13万ドルです。

5. 使い始める前に見直す設定 — 学習利用は最初からオン ⚙️

「初期設定のままだと、やりとりはAIの学習に使われます」

公式のヘルプ（Meta）を読むと、最初に確かめておきたい点がいくつかありました。

学習への利用を止める

Museとのやりとりは、最初からMetaのAIモデルの学習に使われる設定になっています。止める場所は「設定 → Data Controls」（ヘルプの英語表記）です。

変更は過去のやりとりにもさかのぼって反映されるそうです。学習に使う場合も、名前やメールアドレスは取り除かれます。それでもメールや家計の情報を扱うなら、使い始める前に止めておくのが無難です。

つなぐアプリと権限を絞る

連携は1つずつ選んでつなぎます。メールなら「読むだけ」か「送信も許す」かを選べます。

最初は読むだけでつなぎ、慣れてから送信を許す順番がおすすめです。権限はあとから変えられ、接続も外せます。

承認の範囲を広げすぎない

Sentinelの承認には「今回だけ」「この作業の間」「期間を区切る」「ずっと」などの種類があります。確認が続くと「ずっと」を選びたくなりますが、ここが安全の要です。

送金や購入、外部へのメール送信は、毎回確認する設定のままにしておきます。

Metaの社員が見られるかどうか

現在の仕組みでは、Metaの社員がデータに触れないようにしているのは社内の運用ルールです。技術的に不可能になっているわけではありません。

Metaは、Meta自身もデータを見られなくする「Muse Confidential VM」を2026年中に出すと予告しています。家計や健康の情報まで預けるかどうかは、これが出てから決めても遅くありません。

忘れさせる方法

送ったメッセージやマシン内のファイルは削除できます。Museを初期化すれば、データはすべて消えます。

ただし、消しても学習済みの内容を忘れるとは限りません。特定の話題や人物を忘れさせたい時は、Museに「忘れて」と頼む機能を使います。覚えている内容は「MEMORY.md」というファイルでも確かめられます。

まとめ 🎊

2026年10月23日から日本で提供
連携先はGmail・Googleカレンダーなど
エージェントは本物の認証情報を持たない設計
Mac版の脆弱性は9月に修正済み
学習利用は最初からオン
Meta自身も見られなくする仕組みはまだ予告段階

Museの設計資料を読んで一番感心したのは、「AIはだまされる」ことを前提に組んである点でした。だまされても盗めるものを持たせず、外へ出る通信は別の見張りが止めます。

一方で、手元のPCが入口になった脆弱性や、学習利用が最初からオンになっている点は、利用者の側で気をつける部分です。

便利さに合わせて少しずつ預ける範囲を広げていくのが、今の時点での付き合い方だと考えています。

参考リンク 🔗

Metaの公式情報

報道・研究者

関連記事

2026年10月版個人PCと証券口座を守る対策6つ

Meta「Muse」日本上陸 何を任せて何を預けるか 🤖