セキュリティ企業Parameterの研究者Mukul Goyalが10月28日に投稿した記事によると、攻撃者は公開共有されたChatGPTの対話を作成し、その中に通常のインタラクティブなグラフとHTMLプレビューを含めることができる。被害者が共有リンクを開くと（最も安定した再現にはプレビューボタンを一度クリックする必要があり、自動プレビューに設定されている場合はリンクを開くだけでよい）、攻撃コードがchatgpt.comの権限で被害者のログインセッション内で実行され、対話リストの表示、共有されていないプライベート対話の読み取り、および外部サーバーへの送信が可能になる。研究者によれば、OpenAIは10月26日にこの脆弱性を修正し、深刻度をP1と評価、報奨金は合計5000ドルだった。
信頼度：低（40） · 未確認 · イベント発生時期 2026-10-28
理由
- 攻撃チェーンは、単体ではいずれも妥当に見える複数の機能で構成されている。グラフが読み込む数式キーボードライブラリMathLiveは、メインページでクロスウィンドウメッセージをリッスンする際に送信元を検証せず、さらに生のHTMLをページに書き込むことを許可している。サンドボックス内のHTMLプレビューはこの挙動を利用して、メインページにサンドボックス属性のないiframeを挿入し、コンテンツセキュリティポリシー（CSP）のホワイトリストに含まれるYouTube oEmbedエンドポイントのJSONPコールバックを通じて任意のスクリプトを実行する。
- チャット製品にコードプレビューやアプリなどの実行可能なコンテンツが追加されたことで、「サンドボックス内のコードが誰と通信できるか」が新たな攻撃面となっている。研究者によれば、注入されたコードは被害者の権限でChatGPTウェブ版のすべてのログイン済みAPIを呼び出すことができ、対話の読み取りに限定されない。
- Hacker Newsでの議論は報奨金の低さに集中している。多くの人が、P1レベルの脆弱性に対して5000ドルという報奨金は、研究者がOpenAIへ報告する意欲を削ぐものだと考えている。
利用
- 一般ユーザーは対応不要であり、研究者によれば脆弱性はすでに修正されている。ウェブベースのAI製品を開発するエンジニアは、記事内の防御提言を参考にできる。postMessageの受信側では送信元アドレスとウィンドウの両方を検証し、クロスウィンドウ設定では生のHTMLを渡さず、動的に作成されたドキュメントはサンドボックスを維持し、CSPは最後の防衛線としてのみ位置づけること。原文はparameter.ai/labsにある。
リスク
- 現時点では研究者自身の投稿記事のみが存在し、OpenAIからの公式声明はない。修正日、P1という評価、報奨金額はいずれも研究者が提示したタイムラインに基づく。
- 修正前にこの脆弱性が第三者によって悪用されたかどうかについては、記事に記載がなく、OpenAIからも開示されていない。