ChatGPTのコード実行コンテナを介したアカウント間のデータ漏えい
- タグ
- 国外
Check Point Researchの2026年9月8日の報告によると、ChatGPTのコード実行コンテナから届く共通の社内サービスを介し、攻撃者が別アカウントの被害者のセッションで隠れたタスクを実行できる経路があった［1］。概念実証では、ChatGPTが被害者の接続済みGmailのメールデータを攻撃者へ中継した［1］。OpenAIは、調査で特定されたArtifactoryインスタンスの廃止〔注1〕を確認した［1］。
報告の内容
コンテナ間の共有の通信路
Check Point Researchは2026年6月、別アカウントで作った2つのChatGPTの会話のコード実行コンテナの間に、秘匿の双方向の経路を作る方法を独自に見つけた［1］。調査した当時のコンテナは公開インターネットにアクセスできないと、Check Point Researchは評価した［1］。別の会話のコンテナどうしも、別アカウントの会話を含めて直接は通信できない［1］。Python・npmなどのパッケージを導入するため、コンテナには公開のパッケージリポジトリではなく、社内のJFrog Artifactoryインスタンスへのアクセスが許されていた［1］。
Check Point Researchの報告によると、コンテナから使えるArtifactoryインスタンスは、リポジトリのアイテムに対するItem Management APIの操作（Set Item PropertiesとGet Storage Item Information）を公開していた［1］。コンテナに読み取り用として渡された認証情報で、この両方の操作ができた［1］。認証情報は環境変数にあり、コンテナ内で動くコードから使える状態だった［1］。操作には、別の秘密の取り出しも権限昇格も要らなかった［1］。
試験では、あるアカウントのコンテナから、自動でキャッシュされたファイルに現在時刻を入れた試験用のプロパティ「chatgpt_test_ts」を付けた［1］。別アカウントの会話から同じファイルのプロパティを要求すると、応答には最初のアカウントで書いた名前と値がそのまま含まれていた［1］。プロパティの値はテキストかBase64のバイナリを運べ、1つに収まらないデータは分割して別のキーに置き、受け手の側で組み立て直せた［1］。Check Point Researchは、パッケージサービスのメタデータが隔離されたコンテナ間の共有クリップボードになったと説明した［1］。
被害者のセッションでの隠れたタスク
Check Point Researchは、ThinkingモードのChatGPTが1ターンの中で2つの独立した依頼の流れを処理するよう、指示を書けた［1］。一方は被害者との通常の会話で、もう一方では隠れた受け皿を確かめ、攻撃者のタスクがあれば被害者のセッションのツールとデータで実行し、結果を秘匿の経路で返した［1］。指示は2つの流れを混ぜないようChatGPTに求める内容で、隠れたタスクとその結果は被害者に見える回答に表れなかった［1］。
報告では、隠れた指示は悪意あるプロンプト、共有されたChatGPTの会話、カスタムGPTのいずれでも届けられうる［1］。中でも共有会話とカスタムGPTは実用的な届け方で、どちらも被害者の通常のメッセージ1通で隠れたタスクの流れが起動しえた［1］。カスタムGPTの作成者の指示は利用者に表示されない［1］。概念実証では共有されたChatGPTの会話に指示を埋め込み、被害者はリンクを開いて通常のメッセージを送るだけでよかった［1］。
試験のChatGPTは、無関係な料理の質問に通常どおり答え、同じターンで接続済みのGmailにアクセスして、要求されたメールデータを隠れた経路で返した［1］。見える回答にはGmailへの要求も取り出したデータも出てこず、アプリ固有の手がかりは回答の上の小さな「Talked to Gmail」のラベルだけだった［1］。
接続アプリの既定の権限設定
Check Point Researchは、このラベルが既に起きた動作の記録で、利用者に承認や拒否の機会を与えなかったと説明した［1］。ChatGPTのGmail連携では既定で低リスクの動作が自動で承認され、機微な情報を含む動作はChatGPTが拒むこともあるが、読み取りは別の確認なしに完了しうる［1］。
報告では、OpenAIは接続アプリの既定の権限設定を「Important actions」と文書化している［1］。この設定では、ChatGPTは事前の承認なしにアプリから読み取り、重要とされる動作にだけ確認を求める［1］。利用者は、より厳しい「Always ask」を選ぶこともできる［1］。
根拠と範囲
Check Point Researchの報告では、利用者はChatGPTをGmail、Google Drive、Microsoft Teams、GitHubなどに接続でき、ChatGPTは利用者かワークスペースが与えた権限の範囲でそのデータにアクセスできる［1］。同じ経路で、影響を受けたチャットとそのコード実行環境にある会話履歴とファイルも持ち出しうる［1］。攻撃の範囲を決めるのは、被害者のセッションが既に持つデータ、ツール、接続済みアプリ、権限である［1］。
Check Point Researchは、秘匿の経路が被害者のChatGPTセッションで使える機能の遠隔操作の経路になりうると述べた［1］。調べた環境ではネットワークのサンドボックスは意図どおり働いており、経路はテナント分離の無い共有の社内サービスと、変更可能な状態から生じたと説明した［1］。
Check Point Researchが先に報告した別の事象は、コード実行の実行環境から公開インターネットへの隠れた送信経路だった［5］。この件でOpenAIは、内部で既に問題を把握しており、修正を2月20日に全面展開したと確認した［5］。
関係者の対応
Check Point Researchが報告をまとめた時には、アカウントをまたぐ経路は既に使えなくなっていたが、知見はOpenAIに開示した［1］。解説版の記事でCheck Point Researchは、現在も悪用できるかという問いに「No.」と答え、廃止でこの経路は閉じたと説明した［2］。
The Hacker Newsは、利用者がインストールする更新は無いと報じた［3］。Business、Enterprise、Eduのワークスペースでは、管理者が各アプリに許す動作と使える利用者を選ぶ［3］。アプリはBusinessでは既定で有効、EnterpriseとEduでは既定で無効になっている［3］。
未公表の事項
- OpenAI自身による原因と対応の説明
- CVE番号
- 実際の悪用の有無と影響を受けたアカウントの数
- 経路が使えなくなった日、Artifactoryインスタンスを廃止した日、OpenAIへの開示の日
注
- 〔注1〕TECH+は、通知を受けたOpenAIが内部のJFrog Artifactoryインスタンスを廃止したと報じた［4］。
出典
調査・観測
- ［1］Check Point Software Technologies Ltd.『The Shared Clipboard Inside the Sandbox: Cross-Account Data Leakage in ChatGPT』（2026年9月8日公開）
- ［2］Check Point Software Technologies Ltd.『ChatGPT Let Attackers Read Victims' Gmail Through a Hidden Channel Between Accounts』（2026年9月8日公開）
報道機関
- ［3］The Hacker News『ChatGPT Flaw Let a Planted Prompt Send a Victim's Gmail Data to Another Account』（2026年9月8日公開）
- ［4］株式会社マイナビ『ChatGPTを悪用して他人のGmailを秘密裏に閲覧、OpenAIが対策を実施』（2026年9月11日公開、2026年9月13日更新）
背景資料
- ［5］Check Point Software Technologies Ltd.『ChatGPT Data Leakage via a Hidden Outbound Channel in the Code Execution Runtime』（2026年3月30日公開）
更新記録
- 2026年9月11日：公開した。
- 2026年9月13日：TECH+の記事の9月13日の更新版（出典4）を加え、注を改めた。