生成AIプラットフォーム「Writer」に深刻な脆弱性、リンクのクリックだけでアカウントを乗っ取られる恐れ

要点

• エンタープライズ向け生成AIプラットフォーム「Writer」において、アカウントが乗っ取られる危険性がある深刻な脆弱性「WriteOut」の詳細が公表された。

• 攻撃者が共有したライブプレビューのリンクを、ログイン状態のユーザーがクリックするだけで攻撃が成立する仕様になっていた。

• 攻撃が成功した場合、非公開チャットや機密ドキュメント、LLMの資格情報の奪取に加え、組織の管理者権限まで掌握される恐れがあった。

• 脆弱性の原因は、共有プレビュー機能において、被害者のセッションクッキーが攻撃者の管理するサンドボックス内に転送されてしまう仕様にあった。

• 開発元のWriter社は報告後24時間以内に修正を適用しており、現時点でこの脆弱性が悪用された証拠や顧客データの流出は確認されていない。

• エンタープライズ向けの生成AI（人工知能）プラットフォームである「Writer」において、異なる組織のアカウントを乗っ取ることが可能になる深刻なセッション分離の脆弱性が存在していたことが明らかになった。セキュリティ企業であるSand Securityの研究チームがこの脆弱性を発見し、「WriteOut」と命名して詳細を公表した。この問題は、被害者が送られてきたリンクを1回クリックするだけで実行される「ワンクリック脆弱性」であり、すでに開発元によって修正されている。

脆弱性の影響と潜在的な被害

Sand Securityの報告によると、この脆弱性はWriterが提供する「ライブプレビュー（開発中のAIアプリケーションの動作を確認できる機能）」の仕様を悪用したものだ。

攻撃が成功した場合、被害者のWriterアカウントが完全に掌握される危険性があった。アカウントが乗っ取られると、組織内で共有されている非公開のチャット履歴や機密文書、AIエージェントの設定情報、カスタムされたプライベートモデル、他のシステムと接続するためのコネクタ情報などに不正アクセスされる恐れがある。さらに、LLM（大規模言語モデル）を利用するための各種APIキーや認証情報（資格情報）も盗まれる可能性があった。

被害の深刻さは被害者ユーザーの権限に依存し、もし管理者がリンクをクリックした場合には、組織全体の管理者権限が攻撃者に奪われる事態にもつながる。また、この脆弱性の大きな特徴として、攻撃者と被害者が同じ企業や組織（テナント）に所属している必要がないため、外部の第三者から任意の企業に対する攻撃が可能だった。

攻撃が成立する技術的な仕組み

「WriteOut」と名付けられたこの脆弱性は、共有責任モデルの前提となる「テナント間の隔離」を根本から揺るがすものだった。具体的な攻撃フローは以下のように進行する。

まず、攻撃者は自分のWriterアカウントを使ってAIエージェントを作成し、そのライブプレビュー機能を使って公開用のプレビューリンクを生成する。このプレビューリンクをメールやメッセージなどで標的のユーザーに送り、クリックを促す。

被害者がすでにWriterにログインしている状態でこのリンクを開くと、被害者のWebブラウザは自動的にWriterの「セッションクッキー（ログイン状態を維持するために一時的に保存される認証用データ）」をリクエストヘッダーに含めて送信する。

問題はここからだ。Writerのプレビューシステムを中継するプロキシ（通信を代理するサーバー）が、被害者のセッションクッキーを、攻撃者が制御する「サンドボックス（外部から隔離されたプログラム実行環境）」の内部へとそのまま転送してしまっていた。

攻撃者は事前に、そのサンドボックス内で動作するエージェントに対して「実行メモリを読み取る」などの悪意あるコードを仕込んでおく。サンドボックス内にクッキー（セッショントークン）が送り込まれると、仕込まれたコードが自動的にこれを読み取り、攻撃者が用意した外部のサーバーへと送信する。

あとは、攻撃者が奪取したセッショントークンを使って被害者になりすますことで、被害者のアカウントへのアクセスを確立する。

既存のセキュリティ機能のバイパス

研究チームは、Writer社がセキュリティ対策を怠っていたわけではないと指摘する。Writerには、ユーザーが環境変数を盗み見たり、明らかに有害なコードを送信したりするのを防ぐための「入力フィルタリング（ガードレール）」と呼ばれる防御機構が用意されていた。

しかし、このガードレールの仕組みには根本的な設計上の弱点があった。ガードレールはプログラムが「実行されるときの挙動」を監視しているのではなく、ユーザーから入力された「命令文のテキスト」そのものを検査する仕様になっていた。

そのため、攻撃者はエージェントへの指示文に直接不正なコードを書き込むのではなく、「外部に置かれたスクリプトをダウンロードして実行せよ」という一見すると無害なコマンドを入力することで、ガードレールを簡単にバイパスできたという。システム側はこれを「通常のダウンロードおよび実行命令」と判断し、悪意あるコードそのものは入力テキストに含まれないため、検知をすり抜けてしまった。

迅速な対応と修正状況

この深刻な欠陥に対し、Writer社は迅速な対応を見せた。2026年5月に研究チームから非公開で報告を受けた同社は、報告から24時間以内にセキュリティパッチを適用した。

修正内容として、プレビュー用のサンドボックスへユーザーのセッションクッキーが転送される動作を完全に無効化し、さらにプレビュー全体の動作環境を「隔離されたオリジン（他のWebサイトやシステムと通信が厳しく制限されたWebセキュリティの境界）」へと移行させた。これにより、たとえサンドボックス内でプログラムが実行されても、ユーザーの認証情報にアクセスすることは物理的に不可能になったという。

Writer社の広報担当者はThe Hacker Newsの取材に対し、「エンタープライズ水準のセキュリティは我々の核心的なコミットメントであり、単なる確認項目ではない」と強調した。また、「報告を受けて即座に調査を行い、24時間以内に修正を完了した。この脆弱性によって顧客データが侵害された形跡はなく、悪用された証拠も見つかっていない」とコメントし、顧客の信頼を守るために引き続きアーキテクチャのレビューや外部パートナーとの連携を強化していく意向を示した。