要約
Parameter Labsは、ChatGPTの実装における脆弱性を発見しました。この脆弱性は、インタラクティブなカスタムHTMLアプリがサンドボックス化されたiframe内で表示される際に発生します。具体的には、MathLive JavaScriptライブラリを利用しており、このライブラリが親ページにメッセージを送信することができるため、信頼できないコードがHTMLを挿入できる可能性があることが問題です。
この脆弱性を悪用することで、攻撃者はJavaScriptを実行し、ChatGPTのAPIからユーザープライベートデータを取得し、それを悪用することが可能になります。最終的には、他のユーザーがその共有URLを訪れることで、自身のプライベートデータが流出するか、代わりに行動をとられるリスクが生じます。
OpenAIはこの問題を修正し、$5,000のバグバウンティを支払いましたが、脆弱性の深刻さに対しては低い金額であるとの意見もあります。この事件は、AIサービスにおけるセキュリティの重要性を再認識させるものです。
元記事: https://simonwillison.net/2026/Oct/31/how-we-took-over-chatgpt-accounts/
公開日: Sun, 01 Nov 2026 15:41:41 +0000
この記事はAIアシスト編集により作成されています。
📰 元記事: 元記事を読む