要点
- ChatGPT で守りを固めるための設定「Lockdown Mode」を有効にしていても、会話の履歴を外部のサーバーへ送れてしまう欠陥があったと、Check Point Research が報告した。
- デスクトップ版の「ChatGPT Classic」では、利用者がクリックしなくても、会話をしただけで中身がこっそり送られうる状態だったという。
- OpenAI は2026年9月18日に修正した。
何が起きたか
Check Point Research は、2026年11月5日に報告を公開した。調べたのは Alexey Bukhteyev 氏である。
問題があったのは、ChatGPT の「HTML のページプレビュー」という機能だ。回答の中にウェブページのコードが出たとき、それを画面の中でページとして表示してくれる。OpenAI は2026年2月にこの機能を加えたと、報告は書いている。
このプレビューは、サンドボックス（外のデータや通信に触れないよう閉じ込めた箱）の中で動く。ところが Check Point によると、箱の中から新しいウィンドウ（ポップアップ）を開く許可が残っていた。開いたウィンドウは箱の制限を受けない。これを使うと、Lockdown Mode が止めているはずの外への通信ができてしまった。
報告によると、起こりえたことは次のとおりだ。
- 会話の履歴や、アップロードしたファイルを、知らないうちに外部のサーバーへ送る。Check Point は、Lockdown Mode を有効にした状態で会話の全体が送られる様子を動画で示した。
- ChatGPT のアイコンのままのウィンドウに偽の画面を出し、パスワードを入力させる。
- 「アプリの更新」を装って、マルウェア（悪意のあるプログラム）をダウンロードさせる。
攻撃の入り口として、報告は3つを挙げる。仕込まれた指示文（プロンプト）、悪意のある独自の GPT（カスタム GPT）、そして共有されたチャットである。
条件には違いがある。デスクトップ版の ChatGPT Classic では、ポップアップが利用者の操作なしで開けたため「会話をするだけで」持ち出しが起きたと、報告は書く。ブラウザで使う場合は、ふつうは利用者のクリックが要る。ブラウザについて報告がはっきり挙げているのは、共有チャットを通じたマルウェアの配布だ。
OpenAI は9月18日、修正を出したと Check Point に伝えた。Check Point は、試し直してこの手口がもう使えないことを確かめたという。OpenAI 自身の説明は、報告の中には載っていない。
日本の利用者への影響
ChatGPT は日本でも、仕事と私用の両方で広く使われている。日本の組織や利用者への影響は、分かっていない。
Lockdown Mode は、OpenAI が2026年2月に企業・教育機関の向けに始め、6月にはログインしているすべての利用者が使えるようにしたとされる。この設定を使っているのは、もともと情報の扱いに気を配る人や組織である。その人たちの守りが破られうる状態だったことが、この件の重いところだ。
ChatGPT Classic が Windows 版か macOS 版かは、報告に書かれていない。
今すぐやること
- 修正は OpenAI の側で済んでいる。 それでも、デスクトップ版の ChatGPT は最新の状態にしておく。
- 知らない人から届いた ChatGPT の共有リンクや、出どころの分からないカスタム GPT は開かない。 Check Point は、どちらも攻撃の入り口になると報告している。
- ChatGPT の中に「更新してください」「もう一度ログインしてください」という画面が急に出ても、従わない。 アプリの更新は公式の手順で行い、ログインは自分で ChatGPT を開き直してから行う。
- Lockdown Mode を「完全な守り」だと思わない。 OpenAI も、データの持ち出しの危険を大きく減らす機能であり、なくせるとは言っていない。とくに秘密の情報は、そもそも入力しないことを考える。
- 会社で ChatGPT を使っているなら、 誰がデスクトップ版を使っているか、共有リンクやカスタム GPT の使い方をどう決めているかを見直す。
背景
Lockdown Mode は、プロンプトインジェクションへの守りとして作られた。プロンプトインジェクションとは、読み込ませたウェブページや文書に指示を隠し、AI をだまして勝手に動かす攻撃だ。Lockdown Mode は、だまされた AI が情報を外へ送る道をふさぐ。ウェブの閲覧を保存済みの内容だけにし、Deep Research や Agent Mode、ファイルのダウンロードなどを止める。
今回の穴は、AI そのものではなく、画面に表示する仕組みの側にあった。Check Point の Eli Smadja 氏は The Hacker News に、AI の守りは周りのアプリの作りと同じ強さにしかならない、という主旨を話している。
ChatGPT の欠陥の報告は、ほかにも続いている。この少し前には Parameter Labs が、共有リンクを開くだけでアカウントを乗っ取られうる欠陥を報告した。それとは原因が違う、別の件である。Check Point は9月にも、別のアカウントの間で情報が漏れうる欠陥を報告し、今年の初めにはコードを動かす環境の欠陥も報告している。
技術者向けの詳細
- 報告: Check Point Research（Alexey Bukhteyev 氏）、2026年11月5日公開。CVE 番号の記載はない。
- 対象の機能: コードブロックの HTML ページプレビュー（2026年2月に追加）。入れ子の iframe のサンドボックスの中で、利用者が操作できる HTML を表示していた。
- 原因: 外側のプレビュー用 iframe に
allow-popupsとallow-popups-to-escape-sandboxが付いていた。ChatGPT はウィンドウを開く直接の呼び出しを横取りしていたが、さらに入れ子にした frame からは手を加えていない関数に届き、サンドボックスの外のポップアップを開けたと報告されている。 - 修正: OpenAI は外側の iframe から上の2つの許可を外した（2026年9月18日に Check Point へ連絡）。Check Point は試し直して効かないことを確かめた。
- 操作なしの持ち出し: Electron 製の ChatGPT Classic で確認された。利用者の操作なしにポップアップが開けたため。ブラウザではふつうクリックが要る。
- 影響として示されたもの: 会話の履歴・アップロードしたファイルの外部への送信、ChatGPT の見た目を保ったフィッシング、更新を装ったマルウェアの配布、強制的にログアウトさせてから偽のページで認証させる手口。
- 実際の悪用: 悪用されたかどうかについて、報告にも The Hacker News にも言及はない。
- 当たる範囲: 報告は、この手口が HTML サンドボックスの制限そのものを抜けるもので、Lockdown Mode も越えるとしている。共有チャットを使う場合は、被害者がアカウントを持っていなくてもよく、共有チャットの中の中身をクリックすること自体が危ないと書いている。
- 防ぐ側の考え方: HTML プレビューのように「中身を描く」機能は、モデルの守りとは別に攻撃の面を広げる。組織では、AI の道具を機能の単位ではなく、全体として評価することが勧められている（Check Point）。
