Meta Museは安全か｜Secure VM・Sentinel・承認の仕組みとプライバシー懸念
仕様確認・更新日: · 編集: 株式会社ウェステリア
メールを送り、買い物をし、ログインまで代わりに行うAIエージェントは、便利なぶん、任せる範囲が広くなります。Metaは「Muse」の発表で、利用者ごとの専用VMや、外部との通信を見張る独立エージェント「Sentinel」など、安全面の仕組みを大きく打ち出しました。一方で、Metaのこれまでのプライバシーの問題から、信頼できるかを問う報道もあります。この記事では、Museの安全設計を1つずつ読み解き、会社のアカウントを接続する前に確かめておきたいことを整理します。
結論から
- Meta Museは、利用者ごとに隔離された専用のクラウドコンピュータ(Muse Secure VM)、ネット接続を見張る独立エージェント(Sentinel)、重要な操作の前の承認、操作の監査履歴など、何重もの安全設計を用意しているとMetaは説明しています(2026-09時点)
- 一方でTechCrunchは、FTCとの和解や50億ドルの制裁金など、Metaのプライバシーをめぐる過去を挙げ、「言うこととやることが違ってきた歴史」を持つ会社を消費者が信頼するかを問うています。仕組みの説明と、それを信頼できるかは別の問題です
- Museは個人向けで企業向けプランはありません。会社のメール・カレンダー・決済を接続する前に、「誰の契約で、何を接続し、どの操作を承認制にし、辞めるときにどう外すか」を会社として決めておく必要があります
自社の場合はどうなるかを先に知りたい方へ。 初回1時間の無料ヒアリングで、御社の状況に当てはめてお答えします →
Museの安全設計を一覧で見る
Meta Museは、Metaが2026-09-08(米国時間)に発表したパーソナルAIエージェントです。チャットで頼むと、メール送信、予約、買い物、Webフォームの入力、利用者に代わる交渉などを、内蔵ブラウザを操作して実行します。アプリを閉じた後も作業を続け、承認が必要なときなどに戻ってきます。
「代わりに実行する」AIである以上、メールや決済、カレンダーへの権限を渡すことになります。そこでMetaは、発表と同時に安全面の仕組みを詳しく説明しています。まず全体を表で整理します。
| 仕組み | 何をするものか | 防ごうとしているリスク(当社の整理) |
|---|---|---|
| Muse Secure VM | 利用者ごとの専用クラウドコンピュータ(仮想マシン)。他の利用者のエージェントから隔離され、ブラウザもこの中で動く | 他の利用者との混線、データの取り違え |
| 認証情報の暗号化 | パスワードや決済情報は暗号化して保管され、Muse自身はそれらを見られない | AIがパスワードやカード番号を読み取って漏らすこと |
| Sentinel | Museからシステムレベルで切り離された独立エージェント。Sentinelが承認しない限りMuseはインターネットにアクセスできない | 想定外の通信、外部へのデータ持ち出し |
| 接続範囲の選択 | 接続するアプリと許可する範囲を利用者が選び、いつでも変更・解除できる | 必要以上の権限を渡し続けること |
| 監査履歴 | 実行済み・実行予定の操作の完全な履歴を見られる | 何をされたかわからない状態 |
| 操作前の承認 | メール送信や購入など重要な操作の前に承認を求める | 誤送信・誤購入 |
| 決済・ログインの連携 | StripeのLink(使い捨てカード番号で実カード情報を隠す)に対応、Shop Payは近日。1Passwordでログイン情報を使える | カード情報やパスワードそのものの露出 |
| 広告に使わない | データはMetaの広告システムに使わないと説明 | 業務・私生活の情報が広告に利用されること |
| Muse Confidential VM(予定) | 2026年後半に導入予定。VM全体を利用者だけが持つ鍵で暗号化し、Metaでも中身にアクセスできない | 提供者(Meta)自身によるアクセス |
※仕組みの内容はMeta公式発表による(2026-09時点)。「防ごうとしているリスク」の列は当社の解釈です。
主な仕組みを読み解く
Muse Secure VM——利用者ごとに「専用のパソコン」を用意する
Museは、利用者のスマートフォンやPCの上で直接動くのではなく、クラウド上にある利用者専用の仮想マシン(VM)の中で動きます。Museが操作するブラウザもこの中にあります。他の利用者のエージェントからは隔離されているとMetaは説明しています。
この「クラウドの専用VMで動く」形は、GoogleのGemini Sparkや、AnthropicのClaude Coworkのクラウド版にも共通する設計です。端末を閉じていても作業が続けられるという利点がある一方、作業の場所が自分の手元ではなく提供者のクラウドになるため、「提供者を信頼できるか」がより重要になります。
Sentinel——ネットへの出口に見張りを立てる
特徴的なのがSentinelです。SentinelはMuseとはシステムレベルで切り離された独立したエージェントで、Metaは「Sentinelが承認しない限り、Museはインターネットにアクセスできない」と説明しています。
エージェントが外部のWebページを読むと、ページに仕込まれた指示にだまされて意図しない操作をしてしまう「プロンプトインジェクション」の危険があります。これはMuseに限らず、ブラウザを操作するエージェント全般の課題で、オープンソースのOpenClawでもセキュリティ上の懸念として指摘されています。Sentinelのように、実行役とは別の見張り役を外に置く設計は、こうしたリスクへの一つの対策と読めます。ただし、Sentinelがどのような基準で承認・拒否を判断するのか、どの程度の攻撃を防げるのかについての第三者による検証結果は、2026-09時点で公表されていません。
承認と監査履歴——人が最後に確かめる
メール送信や購入など重要な操作の前には、Museが利用者に承認を求めます。また、実行済み・実行予定の操作の完全な監査履歴を見ることができます。
人の承認を挟む設計は、Museだけの特徴ではありません。Gemini Sparkもメール送信などリスクの高い操作には明示的な承認を求め、Claude Coworkのクラウド版も送信前に最終確認と承認を求めます。承認を挟むのは各社共通の流れで、裏を返せば、2026-09時点では「エージェントに完全に任せきる」段階にはないということでもあります。
認証情報と決済——AIに「見せない」工夫
Museでは認証情報が暗号化して保管され、Muse自身はパスワードや決済情報を見られないとされています。決済はStripeのLinkに対応し、使い捨てのカード番号を発行することで実際のカード情報を隠します。ログイン情報は1Password経由で使えます。AIに秘密の情報そのものを渡さずに作業させる、という考え方です。
Muse Confidential VM——Metaからも見えなくする(予定)
2026年後半には、VM全体を利用者だけが持つ鍵で暗号化し、Metaでも中身にアクセスできないようにする「Muse Confidential VM」が導入される予定です。これが実現すれば、「提供者を信頼しなければならない」という前提を技術的に弱めることになります。ただし2026-09時点ではまだ導入されておらず、提供時期や対象範囲は今後の発表を待つ必要があります。
プライバシー懸念——TechCrunchが指摘するMetaの過去
仕組みの説明は充実していますが、TechCrunchは発表当日の記事で、Metaのプライバシーをめぐる過去を挙げて、消費者がMuseを信頼するかを問うています。記事が挙げている主な経緯は次のとおりです。
- 2011年: 米連邦取引委員会(FTC)とのプライバシーをめぐる和解
- 2019年: FTCによる50億ドルの制裁金
- 2019年: パスワードを読める形式で保存していたことが発覚
- 2023年: FTCが命令違反を指摘
- Cambridge Analytica事件
TechCrunchはこれらを踏まえ、Metaには「言うこととやることが違ってきた歴史」があると指摘しています。Museはメール、カレンダー、決済、ヘルスケアアプリ、ショッピングなどと接続できるとされ、預ける情報の範囲はSNSより広くなり得ます。「広告に使わない」という説明も、それをどう確かめられるかが問われることになります。
当社としては、Museの安全設計が十分かどうかを断定する立場にはありません。言えるのは、「仕組みがどう説明されているか」と「その説明を信頼できるか」は分けて考える必要がある、ということです。後者を判断する材料は、第三者の検証、運用実績、規約の中身などで、発表直後の2026-09時点ではまだ揃っていません。利用者数やベンチマークも公表されていません。
会社のアカウントを接続する前に確認すること
Museは2026-10-23(日本時間)に日本で提供が始まりました。日本は、2026-09に先行提供した北米以外で初の地域です(Metaの日本語版発表(2026-09-08)の時点では「現時点で未定」とされていました)。Metaは、Secure VM、Sentinel、送信・購入前の確認、学習へのオプトアウト、広告と共有しないことといった安全面の仕組みは、2026-09の発表と同じだと説明しています。日本の会社にとっては、社員が使い始める前に社内の方針を決めておきたい時期です。特に注意したいのは、Museが個人向けの製品で、企業向けプランが発表されていないことです。
社員が個人で契約したエージェントに、会社のメールやカレンダーを接続して使い始めると、会社が把握していないところで業務データが外部に渡ります(いわゆるシャドーAI)。仕組みがどれだけ安全でも、会社がその存在を知らなければ管理のしようがありません。
接続を許すかどうかを決める前に、少なくとも次の点を確認しておくことをおすすめします。
- 誰の契約か。個人契約のエージェントに会社のアカウントを接続してよいのかを決めます。企業向けプランがない以上、会社として契約・管理する手段は限られます
- 何を接続してよいか。Museは接続するアプリと範囲を利用者が選べます。会社のメール、共有カレンダー、法人カード、顧客情報を含むサービスなど、接続してよいもの・いけないものを線引きします
- どの操作に承認を残すか。Museは重要な操作の前に承認を求めますが、「何を重要とみなすか」は会社の基準と一致するとは限りません。社外へのメール送信、発注・購入、契約に関わるやりとりなど、必ず人が確認する操作を社内ルールとして決めておきます
- 記録をどう残すか。監査履歴は利用者の個人アカウントの中にあります。業務上の操作の記録を会社としてどこに残すか、確認できる状態にするかを決めます
- 辞めるときにどう外すか。退職や異動のとき、個人のエージェントから会社のアカウントへの接続を確実に解除する手順が必要です。Museでは接続をいつでも解除できますが、解除するのは本人です
- 外部のWebを読ませる範囲。プロンプトインジェクションのリスクはゼロにはできません。会社の情報に触れる作業と、不特定のWebページを読む作業を同じエージェントでさせてよいかを考えます
これらはMuseに限らず、Gemini Spark(個人のGoogleアカウント向けと報道)やOpenClawなど、個人向けのエージェント全般に当てはまる論点です。社内ルールの作り方は別記事「社員がパーソナルAIエージェントを仕事で使うとき」で詳しく整理しています。
出典
本記事の事実関係は、次の公開情報に基づいています(2026-09-23時点で確認)。製品の仕様・料金・提供地域は変わることがあるため、最新は各社の公式情報でご確認ください。
仕様の出典: Introducing Muse, Your Personal AI Agent(Meta公式・英語) / Meta Muse 発表(Meta公式・日本語) / Meta debuts its Muse AI agent. Will consumers trust it?(TechCrunch) / 日本経済新聞 / Google's new Spark AI agent(PCWorld) / Anthropic will make Claude Cowork available in the cloud(NBC News) / OpenClaw(Wikipedia)
よくあるご質問
- Museはパスワードやクレジットカード番号を見られるのですか?
- Metaの説明では、認証情報は暗号化して保管され、Muse自身はパスワードや決済情報を見られないとされています。決済はStripeのLinkによる使い捨てカード番号、ログインは1Password経由で使える仕組みです。ただしこれはMetaの説明であり、第三者による検証結果は2026-09時点で公表されていません。
- Museに預けたデータはMetaの広告に使われますか?
- Metaは、Museのデータを広告システムに使わないと説明しています。一方でTechCrunchは、Metaのプライバシーをめぐる過去の経緯を挙げて、その説明を消費者が信頼するかを問うています。気になる場合は、接続するアプリと範囲を必要最小限にし、利用規約の該当部分を確認したうえで判断してください。
- 会社としてMuseを導入することはできますか?
- 2026-10-23時点で、Museの企業向けプランは発表されていません。日本では2026-10-23に提供が始まりましたが、今回の発表にも企業向けプランの記載はありません。現状では、会社として一括で契約・管理する前提の製品ではないため、社員が個人で使う場合のルールを先に決めておくことが現実的な対応になります。