ChatGPT共有リンクに乗っ取りの穴 非公開会話も露出

細工したChatGPTの共有リンクを開くだけで、ログイン中のユーザーのアカウントを乗っ取り、非公開の会話まで読み取れる脆弱性があったと、セキュリティ企業Parameterが2026年10月28日に公開した報告書で明らかにした。同社は10月18日にOpenAIのバグ報奨金プログラムへ報告し、OpenAIは深刻度を最上位の「P1」と判定して10月26日に修正を完了、報奨金5000ドルを支払った。海外セキュリティメディアのThe Hacker Newsも10月31日に報じている。

要点

• 細工した公開共有リンクを開くだけで、攻撃者のコードが被害者のセッション内でchatgpt.comとして実行された。
• 管理された検証で、研究者は被害者の会話一覧を取得し、一度も共有されていない非公開の会話を読み取った。
• OpenAIは10月26日までに2つのWebフロントエンドを修正した。Parameterは検証以外での悪用を報告していない。

ChatGPT共有リンクによる乗っ取りの仕組み

Parameterの研究者ムクル・ゴヤル（Mukul Goyal）氏は「Do the Math: How We Took Over ChatGPT Accounts」と題した記事で攻撃の流れを公開した。起点はインタラクティブなグラフを含む公開共有の会話である。グラフがオープンソースの数式入力ライブラリ「MathLive」を読み込み、ChatGPTのメインページにメッセージの受信処理が登録された。

ChatGPTのHTMLプレビュー機能は、信頼できないコードを別オリジンの隔離されたフレームで実行する。だがこのフレームからもメインページへメッセージを送ることができ、MathLiveの受信処理は送信元を確認していなかった。メッセージ1つで仮想キーボードの配列を攻撃者のHTMLに差し替えられ、MathLiveはそれを無害化せずにページへ挿入した。

挿入されたコードはsandbox属性のないiframeを生成し、このフレームはchatgpt.comの権限をそのまま引き継いだ。ChatGPTのコンテンツセキュリティポリシー（CSP）はインラインスクリプトを禁じていたが、YouTubeは許可していた。研究者は、入力文字列をJavaScriptの応答に反射するYouTubeのoEmbedエンドポイントを使い、実行するコードを送り込んだ。

ゴヤル氏は「被害者はアプリをインストールすることも、プロジェクトに参加することも、コードを貼り付けることも、開発者ツールを開くことも必要なかった」とし、「必要な操作は共有リンクを開くことだけだった」と記した。最も確実な手法ではプレビューを1回クリックする必要があったが、その後の手法ではプレビューが自動で開いた。

攻撃者に見えていたもの

コードはchatgpt.comとして動作するため、ログイン状態のChatGPTのフロントエンドAPIを呼び出せた。Parameterは実証で最近の会話一覧を取得し、別々の検証用アカウント間の非公開の会話を開いて、その一部を自社のサーバーへ送信した。The Hacker Newsによると、研究者は「被害者のChatGPTアカウントで、あらゆる操作ができた」と述べている。

OpenAIバグ報奨金での修正経緯

Parameterによると、OpenAIは10月21日に問題を再現し、深刻度をP2からP1に引き上げた。22日に一方のWebフロントエンドを修正し、23日にはCSPの変更で攻撃の一部を遮断。26日に両フロントエンドが該当メッセージを拒否するようになり、解決済みとした。

背景：共有コンテンツが攻撃の入り口に

Parameterは根本原因として3点を挙げた。MathLiveが送信元を確認せずに状態を変えるメッセージを受け入れたこと、メッセージが生のHTMLを含められたこと、そのHTMLがサンドボックスのない文書を作れたことである。YouTubeを使った段階は中核の欠陥ではなく回避策だという。ゴヤル氏は「CSPは価値ある多層防御だが、安全でない描画経路を安全にすることはできない」と指摘した。

今後：開発者が確認すべき点

Parameterは、postMessageで受け取った指示を処理する前にevent.originとevent.sourceの両方を検証すること、ウィンドウ間の設定値で生のHTMLを渡さないこと、動的に生成した文書はサンドボックス内に置くことを勧めている。ゴヤル氏は「隔離の強さは、それをまたぐすべての橋の強さで決まる」と書いた。

よくある質問

ChatGPTの利用者が対応すべきことはあるか。

ない。The Hacker Newsは「修正はOpenAI側で行われ、インストールやリセットは不要だ」と報じている。

実際の攻撃に使われたのか。

Parameterは管理された検証以外での悪用を報告していない。非公開会話の実証には別々のアカウントを使った。

参考資料

• Do the Math: How We Took Over ChatGPT Accounts — Parameter（2026年10月28日）
• A Shared ChatGPT Link Could Run Attacker Code in Your Session and Read Private Chats — The Hacker News（2026年10月31日）