ChatGPT共有リンクの脆弱性：リンク1つで社員のチャットが漏れる恐れ、10月26日の修正後に確認すべき5つのこと

社員が契約書や顧客リスト、価格をChatGPTに貼り付けているなら、この脆弱性はあなたの会社に関係します。2026年10月28日、Parameterの研究者は、ChatGPTの会話の公開共有リンク1つで、開いた人のアカウント内で攻撃者のコードを実行し、非公開のチャットを読み、本人になりすまして操作できたと公表しました。OpenAIは10月26日に穴をふさいでおり、あなたが何かを更新する必要はありません。残る問いはあなた自身のものです。攻撃者は社員のチャット履歴で何を読めたでしょうか。今週見直すべき5つの手順を紹介します。

何が起きたのか

共有リンクは誰もが使う機能です。会話のリンクをコピーして、同僚や顧客に送ります。研究者は、ChatGPTのグラフ機能がMathLiveという数式ライブラリを読み込んでおり、このライブラリがページ内のどのフレームから届いたメッセージも送信元を確認せずに受け付けていたことを発見しました。これをHTMLプレビュー機能と組み合わせると、悪意のある会話を作って共有した人は誰でも、chatgpt.comそのものとして自分のコードを実行できました。

報告によると、そのコードは次のことができました。

• 被害者の最近の会話を一覧表示する。
• 被害者が誰とも共有していない非公開の会話を読む。
• 選んだデータを外部サーバーへ送る。
• 被害者としてChatGPTのAPIを呼び出す。研究者はこれを事実上のアカウント乗っ取りと表現しています。

被害者に求められる操作はごくわずかでした。最も安定した攻撃手順ではプレビューボタンを1回クリックするだけ、その後の手順ではリンクを開くだけで十分でした。アプリのインストールもパスワードの入力も不要です。

数字で見る経緯

• 2026年10月13日：研究者が本番サイトで攻撃経路を確認。
• 10月18日：バグ報奨金プログラムを通じてOpenAIに報告。
• 10月21日：OpenAIが脆弱性を再現し、深刻度をP2からP1に引き上げ。
• 10月22日と23日：2つあるウェブフロントエンドのうち1つを修正し、その後セキュリティポリシーの変更で攻撃チェーンの一部を遮断。
• 10月26日：OpenAIが両方のフロントエンドで悪用メッセージが拒否されることを確認し、報告をクローズ。
• 10月28日：研究者が詳細を公開し、報奨金は5,000ドルだったと説明。

Ostorlabの分析は、CVE番号は割り当てられておらず、実際の悪用も報告されていないと指摘しています。ただし10月26日より前に、ログインした状態で細工されたリンクを開いたユーザーは誰でも被害者になり得ました。

経営者にとってなぜ重要か

本当のリスクはリンクではなく、チャット履歴の中身にあるからです。営業担当者のChatGPT履歴には見積もりや顧客名が、経理担当者の履歴には財務の数字が、開発者の履歴には連携キーやシステムのコードの一部が含まれているかもしれません。この履歴を開く脆弱性は、社員自身が何も共有していなくても、会社の機密まで一緒に開いてしまいます。

OpenAIの公式ヘルプページは、個人アカウントで作成したリンクは持っている人なら誰でも内容を見られる一方、ChatGPT Business、Enterprise、Eduのワークスペースで作成したリンクは、そのワークスペースの対象メンバーしか開けないと説明しています。この違いがあるからこそ、社員がどこで作業しているか、つまり個人アカウントか会社が管理するワークスペースかを把握する価値があります。以前の記事でAIのリスクから会社を守る方法を取り上げましたが、今回の脆弱性はその実例です。

今週見直すべき5つの手順

• 誰がどのアカウントでChatGPTを使っているかを把握する：社員の名前と、それぞれが個人アカウントと会社のワークスペースのどちらで作業しているかをまとめた簡単な一覧を作ります。
• ChatGPTに絶対に入力しないものをルールとして書く：顧客の個人データ、契約書、パスワード、システムの連携キーです。書面のルールは口頭の注意より強い効果があります。
• 履歴と古いリンクを整理する：機密データを含む会話を削除し、設定、データコントロール、共有リンク、管理の順にリンクを見直します。OpenAIは、リンクを削除すると今後のアクセスは止まるものの、元の会話や他の人がすでに保存したコピーは削除されないと注意しています。
• 共有リンクを添付ファイルと同じように扱う：知らない送信者からのChatGPTリンクには、見知らぬファイルと同じ注意が必要です。この攻撃にはログイン中のセッションが必要だったため、怪しいリンクは自分のアカウントにログインしていないブラウザで開けば、届く範囲を限定できます。
• Enterpriseのワークスペースがある場合：チームに必要がなければ、管理者はワークスペースの設定にある権限とロールから会話の共有をオフにできます。

Origamiの見方

私たちはこの脆弱性を、AIツールが誰の判断もないまま会社の機密の保管庫になっているという警告だと受け止めています。社員は仕事を進めるために必要なものを貼り付け、履歴は日々増え続け、誰も見直していません。答えはツールを禁止することではなく、何をどのアカウントに入れるかを決めることです。

技術チームにはもう1つの教訓があります。今回の脆弱性は、送信元を確認せずにメッセージを受け付けるサードパーティ製ライブラリから始まりました。外部ソースのコンテンツを表示するオーダーメイドのシステムを構築する際、私たちはブラウザの制限だけに頼らず、フレーム間のすべてのメッセージの送信元を検証し、信頼できないコンテンツを隔離しています。

まとめ

脆弱性は10月26日に修正済みで、あなた側での更新は不要です。しかし、社員のチャット履歴が会社で最も価値のあるファイルかもしれないことが明らかになりました。今週1時間を確保して、アカウントの一覧、絶対に貼り付けないもののルール、履歴とリンクの整理を進めてください。チームのAIツールの使い方を見直したい場合は、お問い合わせいただくか、サービスをご覧ください。

出典

• Parameter — Do the Math: How We Took Over ChatGPT Accounts、2026年10月28日：攻撃チェーン、経緯、攻撃者ができたこと、報奨金。
• OpenAI Help Center — Sharing conversations and scheduled tasks in ChatGPT：リンクを見られる人、リンクの管理と削除、ワークスペースでの共有権限。
• Ostorlab — ChatGPT Shared-Link Account Takeover via MathLive Sandbox Escape：修正日、CVEおよび悪用報告がないこと、開発者向けの推奨事項。