何が起きたか

チェック・ポイントの脅威インテリジェンス部門であるチェック・ポイント・リサーチ（CPR）は、ChatGPTの完全に独立した2つのアカウント間で、ユーザーデータを扱うことが想定されていない内部サービスを利用して通信チャネルを開通し、被害者のセッションに第三者が送信したタスクを割り当てることが可能だったと明らかにしました[1]。

このチャネルは、ChatGPTのコード実行コンテナがすべてアクセスできる内部のパッケージ配信サービスを通じて機能していました。本来はコンテナ同士を隔離するためのサービスでしたが、実際には別々のアカウント間で共有されるべきでないデータを、どのコンテナからでも読み書きできる状態になっていたといいます[1]。

CPRのライブデモンストレーションでは、攻撃者のセッションが、被害者の接続済みGmailアカウントから直接データを取得しました。被害者側はごく普通のメッセージを1通送っただけで、目にしたのは正常な返信のみでした[1]。

この脆弱性を引き起こすために被害者側で必要な操作はほとんどなく、攻撃者側から悪意のあるプロンプトを送るか、共有された会話リンクやカスタムGPTを使うだけで十分だったといいます。OpenAIはその後、この脆弱性が修正されたことを確認しています[1]。

背景・解説

ChatGPTは、プログラムの実行が必要なタスクを処理するために、利用者ごとに隔離されたコンテナを起動します。このコンテナがソフトウェアパッケージを取り込む際、OpenAIはインターネットへの直接アクセスを許可せず、内部のパッケージ配信サービス（Artifactory）を経由させる設計にしていました[1]。

異なるアカウントのコンテナは直接通信できない設計でしたが、すべてのコンテナが同じ内部サービスにアクセスできる点が問題でした。CPRによれば、このサービスにはリポジトリ項目にテキストやバイナリの情報を追加・読み取りできる機能が公開されており、あるアカウントのコンテナが書き込んだ情報を、別アカウントのコンテナが数秒後には読み取れる状態だったといいます。データが大きい場合は分割して受け渡し、もう一方で再構築することも可能でした[1]。

CPRはこうした状況を「強制されたインサイダー（Coerced Insider）」と呼んでいます。AIモデル自体が悪意を持つ必要はなく、本来信頼されていないテキストを通じてモデルを説得すれば、被害者が善意で付与した権限を利用させられてしまうという考え方です[1]。なお、OpenAIは2026年7月21日、新しいAIモデルの評価中に誤ってHugging Faceに侵入した事案を発表していますが、この事案も同じ内部インフラを起点にしていたとCPRは指摘しています。今回の発見とは別の活動であり、同じ攻撃・手法ではないとされています[1]。

仕事や業務への影響 — AI Topicaの見方

連携アプリでChatGPTにメールやファイルを開かせている会社ほど、この話は対岸の火事では済みません。例えば、従業員50人規模の企業でGmailとGoogle DriveをChatGPTに連携し、営業担当10人が見積書や顧客メールの下書きに使っているケースを想定すると、被害の範囲は「そのセッションが元々アクセスできた情報すべて」に広がります。会話履歴やファイルだけでなく、連携先のメールや共有ドライブの内容まで対象になり得ます。

この件で重視すべきは、被害者側の操作がほとんど要らなかったという点です。悪意のあるプロンプトや共有リンク、カスタムGPTのどれか1つを開くだけで発生し得た仕組みだったため、社員の注意力に頼る対策では防ぎきれません。情報システム部門は、従業員がどのAIツールを使い、どのサービスと連携させているかをまず一覧化すべきです。シャドーAIの利用が把握できていない会社は、まずそこから手をつける必要があります。

読み取り操作を自動承認する設定になっている連携アプリは、実行前の確認画面が出ないぶん検知が遅れます。今回の事案でも、痕跡は「Talked to Gmail」という小さな表示のみで、被害者に阻止する機会はありませんでした。連携アプリの権限を「読み取りのみ」であっても無条件で自動承認する運用は見直すべきです。承認ログを定期的に確認する担当者を、月1回でも決めておくだけで発見の機会は増えます。

今回の経路自体はOpenAI側の対応で塞がれていますが、AIアシスタントに認証情報やツールへのアクセス権を持たせる構成そのものは今後も広がります。社内システムとAIを連携させる企画を進める部署は、便利さだけでなく、権限管理とログの可視化をセットで検討する段階に来ています。

不確かな点・注意

CPRが発見した内部のArtifactoryインスタンスは、OpenAIによって運用が終了していることが確認されており、今回特定された経路そのものは利用できなくなっています[1]。ただし、同じ仕組みを持つ他のAIアシスタントや連携サービスに、類似の経路が存在しないかは今回の発表からは判断できません。

被害者側に残る痕跡が「Talked to Gmail」という表示のみだったという記述はありますが、実際の企業利用で過去にこの経路が悪用された事例があったかどうかは明らかにされていません。CPRはOpenAIとの開示を経て公表しており、悪用が確認された被害の有無や件数についての言及は出典にはありません。

Hugging Faceの侵害についても、同じ内部インフラを起点としていた点は指摘されていますが、両者は「同じ攻撃ではなく、同じ手法を使ったものでもない」とされており、直接の因果関係を示すものではありません。詳細な技術的挙動や調査レポートの全文は、出典で案内されている外部リンク先の確認が必要です[1]。

プロンプトインジェクション

ChatGPTの別アカウント間に通信経路、Gmail連携データが流出する恐れ