ChatGPTアカウント乗っ取り脆弱性が発覚
原題: We Took over ChatGPT Accounts
なぜ重要か
「リンクを開くだけ」でアカウント全奪取が可能な脆弱性は、AIサービスの共有機能設計における信頼境界の甘さを示す事例として業界全体に警鐘を鳴らす。
セキュリティ研究機関のParameter Labsは2026年10月、ChatGPTの共有リンクを開くだけで攻撃者が被害者のアカウントを乗っ取れる脆弱性を発見した。攻撃者は悪意ある会話を作成・公開してリンクを送るだけでよく、被害者側に追加操作は不要。OpenAIは2026年10月26日に修正し、最高深刻度のP1として分類した。
Parameter Labsの研究チームは2026年10月、ChatGPTの通常の「会話共有」機能を悪用して、リンクを開いた被害者のアカウントを完全に掌握できる攻撃チェーンを発見した。
攻撃の仕組みは二つの一見無害な機能の組み合わせにある。ChatGPTにはHTMLコードブロックを小さなウェブページとして表示する「HTML Preview」機能があり、セキュリティ上の理由から別ドメインのiframe内で動作する。ブラウザはこれを異なるサイトとして扱うため、Preview内のJavaScriptは本体のchatgpt.comページに直接アクセスできない仕組みだ。
ところが同じ会話にインタラクティブなグラフが含まれると、背後で数式ライブラリの「MathLive」が読み込まれる。MathLiveはオンスクリーンキーボード関連のpostMessageリスナーをchatgpt.comのメインページに設置するが、このリスナーはメッセージ送信元を検証していなかった。PreviewフレームはpostMessageというブラウザの「郵便受け」を通じてメインページにメッセージを投げ込めるため、MathLiveのキーボードレイアウトを攻撃者制御のHTMLに書き換えることが可能となった。
その結果、攻撃者のJavaScriptが被害者のサインイン済みセッション内（chatgpt.comとして）で実行される。研究チームは実際に、被害者の会話一覧の取得、未共有のプライベート会話内容の読み取り、外部サーバーへのデータ送信を確認した。さらにChatGPTの認証済みAPIを被害者として直接呼び出せるため、アカウント設定の変更なども可能だった。
被害者がすべき操作は共有リンクを開くことだけ。アプリのインストール、Projectへの参加、コードの貼り付け、開発者ツールの操作は一切不要だった。
OpenAIはP1（最高深刻度）として報告を受け付け、2026年10月26日に修正を完了した。