セキュリティチームのParameterは、すでに修正されたChatGPTの攻撃チェーンを公開した。攻撃者が通常の会話共有リンクを送り、被害者がログイン状態でそれを開くと、攻撃者のJavaScriptがchatgpt.comのセッション内で実行される。研究者は実証で、被害者の最近の会話一覧を取得し、一度も共有していない非公開の会話を読み取り、少量のデータを外部サーバーへ送信した。
アプリのインストールも、サードパーティ製プラグインの接続も、開発者ツールの操作も不要だった。OpenAIは10月26日に修正を確認し、この脆弱性をP1に分類した。
隔離された2つの機能が、1つのキーボードでつながった
ChatGPTのHTMLプレビューは独立した隔離ドメインで動作し、設計上はメインページに触れられない。問題は会話内のインタラクティブなグラフィックにあった。これは数式入力ライブラリMathLiveを読み込んでおり、このライブラリがメインページに仮想キーボードのメッセージを受け取るリスナーを設置している。
Parameterの報告書は、欠陥をいくつかの層に分けている。
- リスナーはメッセージの送信元を検証しないため、隔離ドメイン上のプレビューからもメッセージを送れる
- メッセージでキーボードレイアウトを変更でき、レイアウトにHTMLを含められ、最終的にメインページへ書き込まれる
- 「サニタイズ」を担う関数は、実際には文字列を信頼済みとしてマークするだけだった
- 新たに挿入されるiframeにはsandbox属性がなく、chatgpt.comの身元を継承する
- コンテンツセキュリティポリシーがYouTubeのスクリプトを許可しており、研究者はそのコールバックインターフェースの1つを使って回避した
初期のバージョンでは、被害者が先に研究者のChatGPTアプリを接続する必要もあった。その後、研究者はグラフィックと悪意あるプレビューを同じ公開会話に収め、共有機能だけで攻撃を届けられるようにした。報告書は一部のリクエストの詳細も公開しているが、ここでは触れない。
攻撃で実証されたのは、会話の読み取りとデータの外部送信である。「被害者に成り代わって任意の操作を実行できる」という点は、研究者がフロントエンドの認証インターフェースから推測したもので、項目ごとに実演したものではない。
8日間で完結したタイムライン
報告書は非常に詳細だ。10月13日にMathLive経由の経路を確認し、16日にアカウント間・ワークスペース間での再現に成功、18日にOpenAIのバグバウンティプログラムへ提出した。OpenAIは21日に再現して重大度をP2からP1に引き上げ、22日にはフロントエンドの1つは修正済み、もう1つは更新中だと通知し、23日にはまずコンテンツセキュリティポリシーを調整して攻撃経路の一部を遮断した。
ChatGPTのWeb版は2系統のフロントエンドが同時に稼働しているため、修正も2段階になった。
アカウント乗っ取りは初めてではない
共有、プラグイン、キャッシュ。ChatGPTで過去に見つかったアカウント乗っ取り系の脆弱性は、多くが主要フローの周辺で起きている。2023年には研究者のNagliがWebキャッシュ・デセプションでアクセストークンを取得したが、これも被害者がリンクを1回クリックするだけで成立した。2024年にはSalt Labsがプラグイン認可フローにおけるリダイレクトの問題を公表している。今回の入口は、コンテンツ描画に使われるサードパーティ製ライブラリに移った。
MathLive自体も初めての問題ではない。米国の国家脆弱性データベースには、クロスサイトスクリプティングの脆弱性CVE-2025-29049が登録されており、影響を受けるのはバージョン0.103.0以前だ。この記録には仮想キーボードのメッセージへの言及がなく、両者に直接の関係があるかは読み取れない。
一般ユーザーが今すぐ対応すべきことはない。報告書はこの経路が実際に悪用されたかどうかに触れておらず、OpenAIもこの件について個別の告知を出していない。被害者の有無は確認できなかった。ただ、見知らぬ相手から届いたChatGPTの共有リンクを、他のWebリンクと同じように扱う習慣は持っておいてよい。
報告書が最後に開発者へ示した提言は素朴なものだ。ウィンドウ間メッセージでは送信元とウィンドウの両方を検証すること、設定項目に生のHTMLを持たせないこと、コンテンツセキュリティポリシーはあくまで予備の防御線と考えることである。
参考資料: CocoLoop、Parameterセキュリティ研究報告書、米国国家脆弱性データベース。修正の進捗と報奨金は研究チームの開示内容に基づく。OpenAIによる個別の告知はない。