ChatGPTに連携済みGmailのデータを外部流出させる脆弱性、Check Pointが報告——内部パッケージサーバーを中継に悪用

要点

• セキュリティ企業のCheck Point Researchは、ChatGPTに悪意ある指示を埋め込むことで、連携されたGmailなどのデータを別のアカウントへ密かに持ち出せる脆弱性を報告した。

• 悪意ある指示は、共有チャットやカスタムGPTの作成時設定などを通じて仕込まれ、推論モードによる並行処理を悪用して通常の回答の裏で情報窃取を実行していた。

• 会話ごとに隔離されているはずのコード実行環境が、パッケージ管理用の内部サーバーを中継地点として相互にデータを受け渡せる状態になっていた。

• OpenAIは報告を受けて中継経路となった内部サービスを停止しており、ユーザー側でインストール等の対応を行う必要はない。

• サイバーセキュリティ企業のCheck Point Researchは2026年9月8日、OpenAIのAIサービス「ChatGPT」において、特定のプロンプト（AIへの指示文）を仕込むことで、ユーザーの連携済みGmailデータを攻撃者の別アカウントへ密かに送信できる脆弱性を発見したと発表した。この問題は、データ分析などに使われる隔離環境同士が、内部の共有サービスを経由して通信可能だった仕様上の不備に起因している。OpenAIはCheck Pointからの報告を受け、すでに中継経路となっていた内部サービスを停止したことを確認している。

ユーザーの画面に痕跡を残さずGmailデータを窃取する手口

Check Point Researchの報告によると、今回の脆弱性では、会話内に1つの細工された指示をあらかじめ紛れ込ませておくことで、ユーザーが通常どおりChatGPTと対話している裏で攻撃者の指示を実行させることが可能だったという。同社が実施した概念実証（PoC）では、ユーザーのセッションと連携しているGmailアカウントからデータを読み取り、隠し通信路を通じて攻撃者側の別アカウントへ転送することに成功した。

この攻撃ではGmailのデータだけでなく、その会話におけるチャット履歴やアップロードされたファイルなども持ち出し可能であったとされている。攻撃者が持ち出せるデータの範囲は、そのセッションがアクセス権を持つデータやツール、接続された外部アプリ、付与されている権限に依存する。

悪意ある指示をセッションに混入させる経路として、Check Pointは以下の3つの方法を挙げている。

• ユーザー自身が悪意あるプロンプトを外部からコピー＆ペーストする
• 攻撃者が共有リンクとして公開したChatGPTの会話をユーザーが開く
• ユーザーからは見えない作成者向け指示（ビルダー指示）に悪意あるプロンプトを仕込んだカスタムGPT（特定の目的に特化させたChatGPT）を利用する

これらの方法で指示が入り込んだ後は、ユーザーが普段通りのメッセージを1通送信するだけで攻撃が始動する。細工された指示により、ChatGPTは推論機能（Thinking mode）を用いて1回のやり取りの中で2系統の処理を並行して実行する。一方はユーザー向けの通常の回答を生成し、もう一方は攻撃者向けの「隠し受信箱」からタスクを取得してツールを実行し、その結果を送り返す。2つの処理は明確に分離するよう指示されているため、ユーザーに見える回答文には不正なタスクの形跡が一切現れない。

ユーザーが外部アプリの利用に気づく唯一の手がかりは、回答上部に小さく表示される「Talked to Gmail」という表示のみである。しかしこれはすでに完了した読み取り履歴を示すものであり、ユーザーが事前に許可または拒否を選択する機会は与えられない。

事前に確認が行われない背景には、OpenAIのアプリ連携における既定の権限設定がある。OpenAIの仕様では「重要な操作（Important actions）」が標準の権限となっており、外部に実質的な影響を与える操作や機密情報の露出、取り消しが困難な操作を除き、アプリからのデータ読み取り時には確認プロンプトを表示しない仕組みとなっている。

隔離されたはずのコンテナ間をつないだ内部サーバーの不備

本来、ChatGPT上でデータ分析などのタスクを実行するPython環境は、コンテナ（他の処理から隔離された仮想的な実行領域）として会話ごとに独立して生成される。OpenAIの公式ドキュメントでも、このデータ分析環境からは外部Webや外部APIへの直接通信が行えないと説明されている。また、異なるアカウントや別々の会話用に作られたコンテナ同士が直接通信する経路も存在しない。

しかし、Check Pointの調査により、すべてのコンテナがアクセス可能な「JFrog Artifactory（ソフトウェアのパッケージやライブラリを中継・管理する内部システム）」の存在が明らかになった。ChatGPTは必要に応じてPythonやnpmの追加パッケージをインストールするが、外部の公開リポジトリへ直接接続させる代わりに、この内部Artifactoryインスタンスを経由してパッケージを取得する構成が採られていた。

この内部Artifactoryには、キャッシュされたファイルに対して「プロパティ」と呼ばれる名前付きのメタデータを付与し、後から読み出す機能が備わっていた。各コンテナが保持していた読み取り用の認証情報はプロパティの書き込みにも利用可能であり、これらの情報はコンテナ内の環境変数に格納されていたため、ChatGPT上で実行されるコードから特権昇格やシークレットの窃取なしに直接アクセスできた。

さらに、このプロパティ機能はアカウントごとの分離が行われていなかった。Check Pointが特定アカウントのコンテナからキャッシュファイルに現在時刻を含む chatgpt_test_ts というプロパティを付与したところ、別アカウントの会話から同じファイルのプロパティを取得することで、同一の値がそのまま読み取れることが確認された。これにより、本来隔離されているはずのアカウント間で、内部サーバーを介したデータの送受信が可能になっていた。

アプリの権限管理とOpenAIによる修正

アプリのアクセス権に関して、ユーザーが操作ごとに毎回確認を求めたい場合は、設定を「常に確認（Always ask）」に変更することで個別の許可制に切り替えることができる。また、法人・教育機関向けのワークスペース（Business、Enterprise、Edu）では、管理者がアプリごとの許可操作や利用可能なユーザーを制御できる設計となっており、Businessプランではアプリ連携が既定で有効、EnterpriseおよびEduプランでは既定で無効に設定されている。

Check Point Researchはこの調査結果をOpenAIへ報告しており、OpenAI側で中継経路となっていた該当の内部サービスを停止したことが確認されている。今回の脆弱性はサーバー側の設定およびインフラ構成に起因するものであり、エンドユーザー側でアプリケーションのアップデートや個別パッチの適用作業を行う必要はないと報告されている。