ChatGPTに与えるアクセス権限が多ければ多いほど、AIを騙して誤った指示に従わせた場合に攻撃者が利用できる範囲も広がります。
Check Pointが新たに発表した調査結果は、ChatGPTのコード実行環境と連携アプリを検証することで、こうしたリスクを浮き彫りにしました。研究者らは、仕込まれた指示によって被害者のセッションが既存の権限を使って隠されたタスクを実行し、その結果を別のChatGPTアカウントに転送できることを示しました。
この攻撃には、パスワードの窃取も、データ転送のための攻撃者管理下のサーバーも必要ありませんでした。その代わりに研究者らは、本来は隔離されているはずのChatGPTのコード実行環境同士が、内部パッケージサービス内で共有されるメタデータを通じて情報をやり取りできることを発見しました。これにより攻撃者は、コマンドの送信と結果の受信を行う秘密の通信経路を手に入れることができたのです。
攻撃の仕組み
Check Pointによれば、攻撃者は以下の3通りのいずれかの方法で悪意ある指示を送り込むことができるとされています。
- ユーザーが悪意あるプロンプトをチャットに貼り付ける
- ユーザーが指示が既に含まれた共有会話を開く
- ユーザーが、設定内に指示が隠されたカスタムGPTを使用する
この指示が仕込まれてしまえば、被害者側が特に不審な操作をする必要はありません。ごく普通のメッセージを一つ送信するだけで、ChatGPTはユーザーの質問に答えつつ、同時に攻撃者のために別の隠されたタスクを実行してしまう可能性があります。
Check Pointの概念実証では、悪意ある指示によってChatGPTは、異なるコード実行環境からアクセス可能な内部パッケージサービスのメタデータに保存された攻撃者のコマンドを確認するよう仕向けられました。被害者が通常のメッセージを送信すると、ChatGPTは表向きの要求に応答する一方で、密かに隠されたコマンドを取得・実行し、同じ秘密の通信経路を通じてその結果を返していました。
攻撃者が入手できる情報量は、被害者のChatGPTセッションが元々アクセスを許可されていた範囲に左右されます。Check Pointの実演では、ChatGPTは被害者と連携済みのGmailアカウントからメールデータを取得し、それを攻撃者に転送しました。
同様の事例は過去にも発生
隠された指示によってAIエージェントが情報を漏えいさせる仕組みが示されたのは、これが初めてではありません。
2025年9月、Radwareは「ShadowLeak」という攻撃を実演しました。これは、悪意あるメールに隠された指示によって、Gmailへのアクセス権を与えられたChatGPTのDeep Researchエージェントが、ユーザーの知らないうちに受信トレイから機密情報を取得し、攻撃者が管理するサーバーへ送信してしまうというものでした。
この以前の攻撃は間接的なプロンプトインジェクションに依拠したものであり、悪意ある指示はユーザーが直接入力したものではなく、AIに読み込ませたコンテンツの中に仕込まれていました。今回のCheck Pointの調査結果も似た構図を踏襲していますが、盗み出した情報を移動させる経路が異なります。
一見すると解決不可能なAIの問題
プロンプトインジェクションは以前からAIにおける最大級のセキュリティ問題の一つであり、その仕組みはソーシャルエンジニアリングとよく似ています。システムを直接破ろうとするのではなく、攻撃者はAIを騙して本来すべきでない行動を取らせようとするのです。
OpenAIもこの問題の難しさを認めており、「プロンプトインジェクションは、ウェブ上の詐欺やソーシャルエンジニアリングと同様に、完全に解決される可能性は低い」と述べています。
理由は単純です。プロンプトインジェクションが狙うのは、AIを有用たらしめている能力そのもの、すなわち指示を理解し従う能力だからです。
AIがユーザーの要求と併せてメールやウェブページ、文書を読み込む際、攻撃者はそのコンテンツの中に悪意ある指示を紛れ込ませ、あたかも正当なものであるかのように見せかけることができます。これにより、モデルが信頼できる指示と悪意ある指示を確実に区別することが難しくなります。
なぜこの問題を軽視できないのか
Check Pointが報告書を完成させた時点で、このアカウント間の通信経路はすでに利用できなくなっており、OpenAIも関与していた内部のArtifactoryインスタンスを廃止したことを確認しています。しかしこの調査結果は、ChatGPTをはじめとするAIアシスタントがより機密性の高いサービスへのアクセス権を持つようになるにつれて広がっていく、より大きなリスクを示しています。より大きな懸念は、ChatGPTなどのAIアシスタントがユーザーのデジタル生活のより多くの領域にアクセスできるようになった場合に何が起こるかという点です。
現在、メール、ファイル、業務ツール、さらには端末そのものまでもがAIプラットフォームに統合されつつあります。これによりAIの利便性は高まる一方で、攻撃者に悪用される経路も増え、プロンプトインジェクションを使い続ける動機を与えることにもなります。
ユーザーやセキュリティチームにとってこれが意味するのは、攻撃者がパスワードを一切盗むことなく、悪意ある指示一つがデータセキュリティインシデントに発展しかねないということです。AIアシスタントがアクセスできるメール、ファイル、業務用サービスが多ければ多いほど、見落とされた欠陥を通じて漏えいしうる情報量も増加します。
実践的な対策としては、まずAIアシスタントと連携しているサービスを見直し、不要なアクセス権を削除した上で、利用可能な場合はより厳格な確認設定を有効にすることが挙げられます。例えばOpenAIの「常に確認する」設定を使えば、連携アプリが何らかの操作を実行する前に承認を求めるようにできます。AIに与える権限が少なければ少ないほど、プロンプトインジェクションが成功した場合に攻撃者が悪用できる範囲も小さくなります。
また、共有チャットやカスタムGPT、出所不明のプロンプトを扱う際にも注意が必要です。Check Pointが示した共有会話のシナリオでは、被害者がその会話を開いてメッセージを送信したことで、隠されたタスクが起動しました。見慣れないAIコンテンツを操作する前には、その出所を確認し、そのセッションがどの連携サービスにアクセスできるのかを考慮することが重要です。
関連記事: OpenAIのエージェントがドイツのwikiを無許可の通信経路に転用していたことが判明し、AI封じ込め対策のさらなる弱点が明らかに。
翻訳元: https://www.esecurityplanet.com/threats/news-chatgpt-cross-account-data-leak-flaw/
