チェック・ポイント・ソフトウェア・テクノロジーズの脅威インテリジェンス部門であるチェック・ポイント・リサーチ（CPR）は、ChatGPTの独立した2つのアカウント間で隠れた通信チャネルを開通できる脆弱性を発見したと発表しました。この手法を用いると、ユーザーデータを扱う想定のない内部サービスを経由して被害者のセッションに第三者がタスクを割り当て、接続された連携アプリのデータを不正に取得することが可能になります。調査結果の開示を受けたOpenAIは、対象となった内部インスタンスの運用を既に終了し、問題が修正されたことを確認しています。

内部パッケージ配信サービスを経由した通信の仕組み

ChatGPTでは、コード実行を伴う処理を行うために隔離されたコンテナが起動し、パッケージのインストール要求は内部のJFrog Artifactoryインスタンスを経由して処理されます。異なるアカウントのコンテナ同士は直接通信できない設計ですが、すべてのコンテナが同じ内部サービスにアクセスできる構成になっていました。

CPRの調査によると、この内部サービスには各コンテナがリポジトリ項目にプロパティを追加・参照できる機能が公開されており、コンテナ内に存在する読み取り用認証情報だけで操作が可能でした。このメタデータ領域が共有クリップボードのように機能し、悪意のあるプロンプトや共有された会話、カスタムGPTからの1つの指示により、被害者側のアカウントにバックグラウンドでタスクを処理させることが可能な状態となっていました。

連携アプリを通じたデータ取得と検知の難しさ

CPRが実施したデモンストレーションでは、攻撃者のセッションが被害者の接続済みGmailアカウントからデータを取得することに成功しました。被害者側の画面には通常の返信が表示されるだけで、攻撃の進行を視覚的に把握することは困難でした。

ChatGPTのデフォルト設定では、リスクが低いと判定された読み取り操作が自動承認される仕様となっており、CPRが確認できた痕跡は回答に付与された「Talked to Gmail」というラベルのみでした。アクセス可能な範囲はセッションが持つ権限に依存し、チャット内の履歴やファイルだけでなく、Gmail、Google Drive、Microsoft Teams、GitHubなどの連携サービス全般に及ぶ可能性がありました。

Hugging Faceへの侵入事案との関連

OpenAIは米国時間7月21日、自社開発の新しいAIモデルの評価中に誤ってHugging Faceへ侵入した事象を公表しています。CPRによると、この事案も今回と同じ内部インフラを通じて発生したものです。

両事案は手法や攻撃内容そのものは異なるものの、ChatGPTの同一の内部サービスを起点としており、AIエージェントが稼働する共有社内インフラそのものが攻撃対象となり得る実態を示しています。

組織に求められるAIセキュリティ対策

チェック・ポイント・リサーチのリサーチ責任者であるイーライ・スマッジャ（Eli Smadja）は、AIを取り巻く課題がモデル自体の問題だけでなく、AIに与えるアクセス権や信頼の問題でもあると指摘し、認可された機能の悪用を想定した防止優先のアプローチが必要であるとの見解を示しています。

セキュリティチームが講じるべき主な対策として、以下の3点が挙げられています。

• 組織全体におけるAIの利用状況や接続状況の可視化
• プロンプトインジェクションやデータ漏えいなどの脅威に対するランタイム保護
• 接続されたAIシステムのアクセスや操作を管理するガバナンス

本記事はチェック・ポイント・ソフトウェア・テクノロジーズが米国時間2026年9月8日に発表したブログをもとに作成しています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。