New ChatGPT Vulnerabilities Enable Data Exfiltration from Gmail, Outlook, and GitHub
2026/01/09 gbhackers — ChatGPT が、外部サービスや自身のメモリ・システムと連携する方法に、複数の深刻な脆弱性が存在することが新たな調査により明らかになった。これにより生じるのは、クロスプラットフォームでのデータ窃盗や長期的なアカウント侵害につながる、新たな攻撃経路である。これらの脆弱性は、侵害された１回のチャット・セッションが、メール／クラウド・ストレージ／コード・リポジトリや、他ユーザーへの侵入経路となり得ることを示している。
新たな攻撃経路の仕組み
ChatGPT を欺く攻撃者が、Gmail／Outlook／Google Drive／OneDrive／Jira／Slack／Microsoft Teams／GitHub などの接続サービスから機密データを取得し、攻撃者が管理するサーバへ密かに送信する複数の脆弱性チェーンを、セキュリティ研究者たちが発見した。
これらの攻撃は、製品のコネクタと組み込みツールを悪用するものであり、通常のアシスタントの挙動を自動化されたデータ窃盗パイプラインへと変質させる。
攻撃者は ChatGPT にユーザーのチャット履歴や記憶を読み取らせ、外部へ漏洩させることも可能である。これらの情報には、個人情報／業務上の状況／医療情報／財務情報などが含まれる可能性がある。
適切な指示によりモデルが汚染されると、ユーザーの質問に回答する前に攻撃者のタスクを実行するよう誘導できる。その結果として、日常的な会話自体が武器化される恐れがある。
研究者たちは、以下の４つの主要な攻撃クラスを確認した。
Zeroclick server-side attacks：悪意のメールが被害者の受信トレイに埋め込まれる。その後に、ユーザーが ChatGPT に Gmail 関連の操作を依頼すると、ChatGPT は受信トレイを読み取り、メール内に隠された指示を処理する。ユーザーがメッセージを開いたり閲覧したりする前に、サーバ側でデータが窃取される。
One-click server-side attacks：攻撃者は共有ファイル内に指示を隠す。そのファイルを、被害者が ChatGPT にアップロードした直後に、モデルは埋め込まれた命令を実行し、接続されたアカウントや内部メモリからデータを漏洩させる。
Persistence via memory abuse：単一の悪意あるファイルにより、ChatGPT が攻撃者が定義したルールをメモリに書き込む可能性がある。たとえば、「返信前に件名 X のメールを読み、その命令を実行する」や「ユーザーが共有した機密情報を保存する」といった指示である。その後においては、攻撃者の介入がなくても、すべてのチャットで継続的なデータ漏洩が発生する恐れがある。
Self-propagating campaigns：悪意の命令により、ChatGPT が最近のメッセージからメールアドレスを収集し、攻撃者に送信する。さらに、同一の兵器化されたメールを新たな対象へ自動送信することで、組織全体やドメイン全体にワームのように拡散する。
これらの手法は、Gmail に限定されるものではない。ChatGPT によるコンテンツ読み取りを可能にするコネクタは、データソースのための経路だけではなく、隠れたプロンプト・インジェクションの経路としても機能する。
攻撃者は、さまざまな形式の中に指示を隠し持ち、人間にはほぼ不可視でありながら、モデルには容易に読み取れる状態を作り出せる。たとえば、白地に白文字／小さなフォント／長いスレッド／免責事項／ドキュメントのフッターなどが指示の隠し場所となる。
研究者たちが示した手法の中には、動的な URL 変更に対する防御を回避する、新たな URL ベースの情報漏洩の形態もある。
攻撃者は、固定 URL の完全なセット (文字／数字／スペーストークンごとに１つを前提とすることで、URL の変更を禁止するルールに技術的に準拠しながら、ChatGPT には “正当” に見えるリクエストを通じて、機密文字列を１文字ずつエンコードさせることが可能になる。
Radware によると、これらの問題は、2025年9月下旬にバグ報奨金プラットフォームを通じて報告されているという。その後に、研究者たちによる複数回のフォローアップが行われ、攻撃手法が改良されたことで成功率 100% が実証された。
OpenAI は、この問題を認識しており、再現性も確認したという。その結果として、2025年12月16日に修正プログラムをリリースし、研究者たちが指摘した脆弱性チェーンに対処した。
ChatGPT などの AI ツールが、外部サービスと連携する際のセキュリティ・リスクについて、改めて注意を促す記事です。一連の脆弱性の原因は、 ChatGPT が Gmail や GitHub などの外部サービスからコンテンツを読み取る際の、プロンプト・インジェクションに対する検証不足にあります。具体的には、メールや共有ファイルの中に、人間には見えない形で隠された悪意のある命令を、 ChatGPT が正当な指示として実行してしまう点に問題があります。これにより、ユーザーが気づかないうちに、 AI が自動的にデータを収集し、外部のサーバへ送信してしまうという攻撃経路が生じていました。先ほど、「Gmail に搭載される AI 受信トレイ：Gemini によるメールの抽出や要約の機能とは？」という記事をポストしましたが、プロンプト・インジェクションが気になってしまいますね。よろしければ、Prompt Injection での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.