ChatGPTの共有リンク経由で非公開チャットを読めた脆弱性、修正済み

Parameterの研究者Mukul Goyal氏が2026年10月28日、ChatGPTの共有リンクを通じて他の利用者の非公開チャットにアクセスできた脆弱性を公表しました。同氏の報告によると、OpenAIは公表に先立つ10月26日に修正を完了しています。

共有していない別の会話にもアクセスできた

研究チームは、正規のchatgpt.com上に作った共有会話を通じて、別アカウントでログインしている利用者の権限でコードを動かす実験を行いました。会話一覧と、攻撃側には一度も共有していない別のチャットの内容を取得し、応答から選んだ少量のデータを研究チーム管理下の外部サーバーへ送信できたと報告しています。

安定して再現した手順では、細工した共有リンクを開き、通常の「Preview」ボタンを1回押す必要がありました。その後、HTMLプレビューが自動で開くようにした研究用の会話では、リンクを開くだけでコードが動く形も別アカウントで3回再現しています。最終的な共有リンクでの実証には、アプリの導入やプロジェクトへの参加、コードの貼り付けなどは不要でした。

隔離されたプレビューの指示を、本体側が受け入れてしまった

HTMLプレビュー自体の隔離は機能しており、そこからChatGPT本体のページを直接読むことはできませんでした。一方、同じ会話内のグラフが読み込んだ数式入力ライブラリ「MathLive」は、別のフレームから届く設定変更メッセージの送り主を適切に確かめず、仮想キーボードのレイアウトとしてHTMLを受け入れていました。

この経路でChatGPT本体に隔離されていない文書が作られ、chatgpt.comと同じ権限で動く足場になりました。さらに、スクリプトの読み込み制限で許可されていたYouTubeのAPI応答を利用することで、JavaScriptの実行に至っています。AIへの指示で回答を操る問題でも、YouTube動画に不正コードが仕込まれていた問題でもありません。

修正はWeb側に適用済み

研究チームがOpenAIに報告したのは10月18日です。同チームによると、OpenAIは深刻度をP1と評価し、10月26日には対象となるWebフロントエンドの両バージョンで、報告されたMathLiveのフレーム間メッセージを拒否する修正を完了しました。

今回公表されたのは管理された環境での実証であり、実際の犯罪利用や大規模な情報流出が確認されたという報告ではありません。一般的な注意として、心当たりのない共有リンクは、送信者や届いた文脈を確かめてから開くとよいでしょう。