ChatGPTのロックダウンモード、HTMLプレビューのサンドボックス脱出により回避される

Check Pointのサイバーセキュリティ研究者らは、OpenAIのChatGPTにおいて、アプリケーションのロックダウンモード保護を回避できる重大な脆弱性を公開しました。この欠陥はデスクトップアプリに存在しており、被害者からの直接的な操作を一切要求することなく、データの静かな流出やマルウェアの配布を可能にしていました。OpenAIは2026年9月18日にパッチをリリースし、この問題に対処しました。

何が起きたか

ロックダウンモードは、プロンプトインジェクションによるデータ流出リスクを最小限に抑えるために設計されたオプションのセキュリティ設定として、OpenAIが2026年6月に導入したものです。アウトバウンドネットワークリクエストを制限することで、機密情報が攻撃者の制御下にあるインフラストラクチャへ転送されるのを防ぐ障壁として機能します。しかし、Check Pointの研究チームは、コードブロック内のHTMLページプレビューをアプリケーションが処理する方法に穴があることを発見し、これらの保護機能を事実上無効化してしまいました。

この脆弱性は、ChatGPTがインターフェース内でHTMLコンテンツを描画する仕組みに起因しています。アプリケーションはこのコンテンツをサンドボックス内に配置し、Cookieやローカルストレージへのアクセスを防いでいますが、実装にはポップアップウィンドウに関する弱点がありました。ネストされたサンドボックス化フレームを悪用することで、攻撃者はサンドボックスの制限から脱出することができました。この脱出経路により、悪意あるコンテンツはロックダウンモードを完全に回避し、細工されたプロンプトや共有チャットを通じてチャットメッセージの窃取やマルウェアの配布が可能になりました。

今回の開示は、AIエコシステムにおける関連する一連のセキュリティ発見に続くものです。わずか1週間前には、Parameter Labsが、悪意ある共有リンクを送信することでChatGPTのサンドボックスおよびコンテンツセキュリティポリシーを回避する方法を明らかにしました。また、Check Pointは以前にも、攻撃者が被害者のセッションを使用して隠れたタスクを実行できる、コvertなアカウント間コマンドチャネルを実証していました。これらの事象は、周辺アプリケーション環境の弱点がAI固有のセキュリティ制御を損なうという、拡大しつつあるパターンを浮き彫りにしています。

仕組み

脆弱性の核心は、HTMLプレビューの処理にあります。ChatGPTがユーザー提供のHTMLを描画する際、コンテンツを隔離するためにネストされたサンドボックス化フレームを使用します。アプリケーションはセキュリティ維持のため、これらのフレームからの新しいウィンドウを開く直接の試みをインターセプト（遮断）します。しかし、基盤となるサンドボックス権限では、依然としてポップアップの作成が許可されていました。研究者らは、描画されたページ内にもう一つのネストフレームを作成することで、変更されていないポップアップ関数にアクセスできることを発見しました。

この技術により、攻撃者は元のHTMLプレビューに課せられた制限を回避することができました。この新しいルート経由で開かれたコンテンツは、同じサンドボックス制限の対象外となり、ロックダウンモードを迂回する直接的な経路を提供しました。制限が解除されると、攻撃者はポップアップウィンドウに表示されるコンテンツを完全に制御できるようになります。これを利用し、偽のアプデート通知など説得力のあるソーシャルエンジニアリングの誘い文句を描画し、ユーザーを騙してマルウェアをダウンロードさせたり、認証情報を漏洩させたりすることが可能でした。

主要な詳細

• この脆弱性により、ChatGPTデスクトップアプリケーションでのゼロクリックデータ流出が可能になりました。
• 2026年6月に導入されたロックダウンモードは、HTMLプレビュー処理の欠陥により回避されました。
• エクスプロイトは、変更されていないポップアップ関数にアクセスするために、ネストされたサンドボックス化フレームを利用しました。
• OpenAIは責任ある開示に従い、2026年9月18日にこの脆弱性にパッチを適用しました。
• 攻撃者はこの欠陥を利用し、偽のChatGPTアプデート誘導を通じてマルウェアを配布することができました。
• この問題は、AIセキュリティ制御がより広いアプリケーション環境に依存していることを強調しています。

なぜ重要なのか

AIを組み込んだ製品を開発する開発者やエンジニアリングリーダーにとって、この事件はモデルレベルの安全性だけでは不十分であるという厳しい教訓となります。ロックダウンモードのようなセキュリティ制御は、それを取り囲むアプリケーションレイヤーと同じ強さしかありません。HTMLレンダリングやサンドボックス管理といった標準的なWebテクノロジーの弱点は、高度なAI安全策を回避するサイドチャネルを生み出す可能性があります。つまり、AI製品のセキュリティ確保には、入力検証やサンドボックス整合性を含む、従来のアプリケーションセキュリティプラクティスに対する厳格な注意が必要なのです。

より広範な影響としては、AIエージェントやアシスタントが、独自の攻撃表面を持つ複雑なソフトウェア環境になりつつある点が挙げられます。SkillJackingやEmbraceなどの最近の他の脆弱性で見られたように、攻撃者はAIモデルと外部ツール間の統合ポイントをますます標的にしています。チームはプロンプトインジェクションを持続的な脅威であると想定し、予期しない入力が発生した際に安全に失敗するようにシステムを設計する必要があります。ホストアプリケーションの挙動を監査せず、AIプロバイダーのセキュリティ機能だけに頼ることは、重大なリスクです。

対応策

• ChatGPTデスクトップアプリケーションが2026年9月18日以降の最新バージョンに更新されていることを確認してください。
• 信頼できないソースからのすべてのHTMLプレビューおよび共有チャットリンクを、潜在的に悪意あるものとして扱ってください。
• HTMLレンダリングコンポーネントにおける同様のサンドボックス脱出ベクトルについて、自社AIアプリケーションを監査してください。
• 埋め込みコンテンツからのアウトバウンドリクエストを制限するため、厳格なコンテンツセキュリティポリシー（CSP）を実装してください。
• データ流出の兆候として、AIエージェント環境からの異常なアウトバウンドネットワークトラフィックを監視してください。
• AI生成プレビューからのリンククリックやファイルダウンロードに伴うリスクについて、ユーザー教育を行ってください。