以前の記事で、「ぷまソフト」の英字表記を誤って puma のように扱っていた。
これは単純に自分の誤植です。正しくは pmmasoft、日本語ではぷまソフト。関係者および読んでくださった方には、まずお詫びします。すみませんでした。
名前を間違えたまま、法令遵守だの技術者倫理だのを語っていた。かなり締まらない。お前はまず名前をちゃんと書け。はい。
その訂正も含めて、先日より騒ぎになっていたぷまソフトについて、あらためて書く。
自分自身は、騒動が発生してすぐに購入している。なので、完全な外野というわけではない。ただ、発売前から追っていたわけではないし、購入者として日常的に使っていたわけでもない。火がついたあとに、これは何が起きているのかを確かめるために買った、という距離感に近い。
それでも、IT目線から見てかなりまずいものだった、とは思っている。
専門的な論点は以前かなり硬めに書いた。
Article / 2025.10.07 「ぷまソフト」問題に見る法令遵守と技術者倫理の課題 「ぷまソフト」問題を通じて考える法令遵守と技術者倫理の課題について。旧記事は、BOOTH規約、常駐プロセス、リバースエンジニアリング、インシデント対応、そういう話を拾おうとしている。必要な記事ではあった。ただ、読み返すと肩が凝る。硬い。自分で書いたのに、法務っぽい顔をした文章がずっと座っている。
たぶん、あのときは正しく書こうとしすぎていた。
正しく書こうとすると、文章から自分の手触りが抜けていく。なぜ嫌だったのか、どこで怖くなったのか、何に腹が立ったのか。そこが遠くなる。
今回は、その遠くなったところをもう一回拾いに行きたい。
守りたい気持ちは分かる
ぷまソフトは、VRChat向けの3Dモデル販売に関連して配布されていたWindows向けの補助ソフトだった。表向きの目的は、OSC連携、所持確認、利便性向上のようなものだったと理解している。
VRChat周辺では、アバターやギミックや販売物が複雑に絡む。BOOTHでやりとりされるVRChat関連アイテムは、慣例的にUnitypackageのダウンロードという形を取ることが多い。暗号化されているわけでもないので、データの不正共有や無断利用の話はずっとあった。
作者は、たぶんそこを何とかしたかったのだと思う。不正利用を防ぎたい。正しく買った人を守りたい。クリエイターの権利を守りたい。
ここまでは分かる。
というか、分かってしまう。
自分の作ったものを雑に扱われたくない、勝手に配られたくない、ちゃんと買った人にだけ便利な体験を渡したい。その気持ちはかなり自然だと思う。自分が作る側でも、たぶん似たようなことを考える。
問題は、そこでソフトウェアが強くなりすぎたことだ。
所持確認したい。改変を見つけたい。消されたくない。止められたくない。作る側からすれば防衛のつもりでも、使う側から見ると、知らない実行可能ファイルが自分のPCの中で動き続け、何かを見て、何かを保存し、止めたつもりでも止まらないように見える。
このズレが怖い。
自分はこの件を、思想が先に走って作られたセキュリティホールとして受け取った。
悪意があったかどうかは、ここでは中心ではない。悪用する第三者が出る可能性もある。似たような仕組みを誰かが雑に真似する可能性もある。「こういう実装でも配っていいんだ」と受け止められる可能性もある。不正対策のために作ったものが、別の不安の入口になる。
それがかなり嫌だった。
でも、自分のPCで動く
3Dモデル本体がUnitypackageとして提供されるのは分かる。VRChatのアバターならそういうものだ。
でも、そこにWindowsの実行可能ファイル、いわゆるEXE形式のファイルが付いてくると、急に話が変わる。
Unitypackageをインポートするのと、知らない実行可能ファイルを自分のPCで動かすのでは、全然違う。実行した瞬間に、こちらの環境で動く。ファイルを読むかもしれない。通信するかもしれない。常駐するかもしれない。
もちろん、実行可能ファイルだから悪いという話ではない。便利なツールはたくさんあるし、自分も日常的に使っている。
でも、配る側はその重さを見積もらないといけない。
何をして、何をしないのか。どこに保存して、どう止められて、どう消せるのか。そこが曖昧なまま「便利です」「必要です」と言われても、受け取る側は困る。
しかも今回は、ユーザーがかわいいアバターや便利なギミックを買った先で、突然OS上で動く不透明なソフトウェアと向き合うことになる。アバターを買ったつもりだったのに、PCの中に居座る何かの面倒を見ることになる。
これはけっこう嫌な体験だと思う。
外野の騒ぎでは済まなかった
ぷまソフトの件では、BOOTH規約との関係も大きな論点になった。
当時の議論で問題になっていたのは、未ダウンロードの商品データを自動で取得・解析しているのではないか、という点だった。開発者側は、情報収集と商品収集は違う、という趣旨の説明をしていたと記憶している。ブラウザがBOOTHから受け取った表示用データを知ることができる、という技術的な説明もあった。
ただ、購入者しかアクセスできない商品データへプログラムが自動的にアクセスし、ダウンロードや解析をしているなら、それはBOOTHが禁止している「商品の収集」に当たるのではないか。そういう疑問が出た。
この疑問は、最終的にBOOTH運営への確認まで進んだ。2025年10月7日、開発者はBOOTH事務局から「③の内容を持ったアプリの配布が、BOOTHの利用規約に触れる」という趣旨の回答を受けたことを公表している。その後、配布終了と購入者向け機能の停止方針が示された。
ここは流せない。
燃えたから悪い、ではない。プラットフォーム側が、規約上まずいと見た。
2025年10月10日には、BOOTHが「スクレイピング行為に関するガイドラインの見直し」も公表した。コミュニティの活性化を目的とした常識的な範囲のスクレイピングは許容する方向へ見直す、という内容だった。ただし、これは何でも許すという意味ではない。悪質なスクレイピングは対象外だし、スクレイピングがガイドラインの範囲内でも、その他の利用規約に違反するアプリケーションの作成や配布は控えてほしい、という趣旨も書かれていた。
だから、この件をスクレイピングだけの話に閉じると見誤る。不透明な常駐、説明不足、購入者しかアクセスできないデータへの自動アクセス、ユーザーが自分で止めたり消したりできるか分からない感じ。問題はその束だった。
消せる、までが配布だと思う
2025年10月10日、開発者は既存購入者向けに手動アンインストール手順をBOOTHメッセージで配信し、さらに2025年10月12日22時に自動アンインストール機能を有効化することを表明した。
これは必要な対応だったし、出たこと自体はよかったと思う。
でも、順番がつらい。
ユーザーが不安になり、解析され、問題になり、規約確認が進み、配布停止になり、それから削除手段が整う。インシデント対応とはそういうものだと言えばそうなのだけど、ユーザーのPCで常駐するものを配るなら、「どう消せるか」は最初から中心に置いてほしかった。
インストールよりアンインストールのほうが大事なソフトというのは、けっこうある。
この件はまさにそれだったと思う。
ひとまとめにしない
あとで訂正した点として、当時問題視された技術的挙動や解析対象には、ぷまソフト本体だけでなく、第三者が開発して統合されていた機能も含まれていた。
これも書いておく。
全部を「ぷまソフト本体の挙動」として雑に括ると、関係者への影響が広がりすぎる。旧記事では、開発者本人からの修正依頼を受けて、その点を訂正した。統合されていた機能については、元の開発者へ知的財産権が返還されたとも説明されていた。
こういう訂正が入ると、記事を書く側としてはかなり冷える。燃えている話題は、どうしても雑にまとめたくなる。名前もひとまとめになるし、責任もひとまとめになる。でも実際には、複数の人や機能が絡んでいることがある。
面倒でも分けて書くしかない。
面倒だから雑でいい、とはならない。
悪意の話に逃げない
ぷまソフトの件で、悪意があったかどうかは自分には分からない。決めつけたいわけでもない。
むしろ、悪意がなかったとしても問題は起きる、という話だと思っている。
善意で作ったものが、ユーザーから見ると怖いものになる。便利にしたかったものが、規約や信頼のラインを越える。クリエイターを守りたかったものが、買った人のPCに不安を残す。
これがしんどい。
悪いやつが悪いことをしました、なら話は簡単だ。怒ればいい。終わり。でも、たぶんそういう単純な話ではなかった。必要とされていた機能があり、作りたい人がいて、便利にしたい気持ちもあり、その結果として怖いものができてしまった。
単に断罪して終わるにはもったいない。
でも、善意だったから仕方ないで済ませるには危ない。
この中途半端なところに、ずっと嫌な感じが残る。
守ることが強くなりすぎる
ここからは少し攻撃的な話になる。
近年、アマチュアやフリーランスのクリエイターが、自分の創作物を守ろうとするあまり、法や規約や技術的な安全性を軽く見てしまう場面を何度か見てきた。
自分の作品を大事にすること自体は当然だ。雑に使われたくない。無断で再配布されたくない。勝手に改変されたくない。その気持ちは分かる。
でも、創作物を「愛する我が子」のように扱いすぎると、利用者への防衛が過剰になることがある。
怪しい利用者を許したくない。不正利用を絶対に止めたい。購入者かどうかを強く確認したい。その気持ちが強くなりすぎると、今度はユーザーの環境や権利や安心感が軽く扱われる。
今回も、そこに近いものを感じた。
もちろん、これをもってフリーランスのクリエイター全体を雑に信用できないと言い切りたいわけではない。真面目にやっている人のほうが多いだろうし、個人で制作から販売、サポートまで回している人たちの負荷も分かる。
それでも、この事件で自分の中の不信感が少し増えたのは事実だ。
作品を守りたい気持ちは分かる。でも、そのためにユーザーのPCへ不透明なものを置くなら、話は別だ。
見るな、信じろ、は無理がある
この手のソフトで「リバースエンジニアリングするな」と言われると、けっこう厳しい気持ちになる。
もちろん、制作者が中身を勝手に見られたくない気持ちは分かる。知的財産もあるし、悪用リスクもある。解析結果の出し方によっては、別の問題を生むこともある。
それはそう。
でも、ユーザーのPCで常駐する。何をしているか分かりにくい。止めても戻ってくるように見える。保存や通信の説明も足りない。その状態で「中身を見るな」は厳しい。
信頼してほしいなら、疑われたときに耐えられる作りにしておく必要がある。中身を見るな、でも信頼しろ、問題ありません。この順番には無理がある。
少なくとも、自分なら無理だ。
空白には理由がある
旧記事にも書いたけれど、「人がやらないことには理由がある」は大事だと思っている。
誰もやっていないからチャンス、というのは半分正しい。でも、誰もやっていないのは、やると面倒だからかもしれない。法的に怪しいからかもしれない。ユーザーが嫌がるからかもしれない。技術的にはできるけど、信頼を壊すからやらないだけかもしれない。
常駐型の所持確認ソフトは、このへんの沼に見える。作れなくはないし、役に立つ場面もある。でも、ユーザーのPCに入り込む以上、ただの便利機能では済まない。その重さを軽く見積もると、便利なものが一気に怖いものになる。
この件が悲しいのは、所持確認や購入者向けの利便性向上という方向自体にはニーズがあったことだ。VRChatやBOOTH周辺の販売物は、作る側も買う側も管理が大変だ。正しく買った人に便利な体験を届けたい。無断利用や不正利用を減らしたい。そういう動機は、たぶん多くの人が理解できる。
でも、いいアイデアでも、実装が怖いと信頼を失う。
説明が足りない。止め方が分からない。消し方が分からない。規約上の確認が曖昧。ユーザーが疑ったときに、疑いを晴らす道がない。
こうなると、便利さより怖さが勝つ。
もったいない。
かなりもったいない。
もし最初からオープンソースだったら。段階的なベータだったら。外部レビューがあったら。データフロー図があったら。アンインストール手順が最初から明記されていたら。BOOTH規約について事前に確認していたら。
そういう「もし」がいくつも浮かぶ。もちろん、あとからなら何でも言える。でも、あとから何でも言えるからこそ、次の人が踏まないために書いておく意味はあると思う。
便利さのすぐ隣にある
ぷまソフトの件は、単に一つのソフトが燃えた話ではないと思っている。
個人制作の便利ツールが、どこから「怖いもの」になるのか。善意の不正対策が、どこからユーザーにとっての不安になるのか。説明不足が、どこから信頼の喪失になるのか。その境目を見せた出来事だった。
そして、その境目は思っているより近い。便利さのすぐ隣にある。
自分もソフトウェアを書く側なので、これは他人事ではない。便利にしたい。守りたい。不正を減らしたい。そういう気持ちで、ユーザーから見ると怖いものを作ってしまう可能性は普通にある。
だから、便利なものほどちゃんと怖がっておきたい。
怖がるというのは、萎縮することではない。何をしているか説明すること、止められるようにすること、消せるようにすること、疑われたときに確認できるようにすること。規約や法律を、自分の都合のいい解釈だけで走らないこと。そのへんを面倒くさがらないこと。
ソフトウェアを配るというのは、たぶんそこまで含む。
ぷまソフトの件を思い出すと、今でも少し嫌な気持ちになる。でも、その嫌な感じは残しておいたほうがいい気がしている。便利なものを作るときに、ちゃんとブレーキとして効くと思うから。