ChatGPTがWebページのMarkdownコンテンツを表示前に十分に無害化（サニタイズ）しないために、モデルが閲覧するあらゆる第三者のページがフィッシングの踏み台になり得るのです。これはOpenAIのサーバーインフラを狙った攻撃ではなく、ユーザーがChatGPTの視覚的な出力に対して抱く「ブラウザ上の信頼」を悪用する、クライアントサイドのレンダリングの弱点です。

進化の系譜：ChatGPhishに至るプロンプトインジェクションの歴史

ChatGPhishは突然現れたわけではありません。ChatGPTに新機能（Webブラウジング、コード実行、プラグイン、メモリ機能など）が追加されるたびに、攻撃者はその隙を突いて命令を注入し、データを盗み出す手法を編み出してきました。その長年にわたる攻撃の進化の最新章が、この脆弱性です。

ChatGPhishに至るまでの主な節目は以下の通りです。

• 2022年11月 — プロンプトインジェクションの誕生: ChatGPTが公開されるわずか13日前の2022年11月17日に、GPT-3に対するプロンプトインジェクションが命名・実証されました。ChatGPTの公開から数時間後には、ユーザーがロールプレイ（役割演技）を用いてAIの安全策を回避しています 。
• 2023～2024年 — 間接的プロンプトインジェクションとMarkdown経由のデータ窃取: ChatGPTがMarkdown画像をレンダリングする機能が、会話データの漏洩に悪用されることが判明。攻撃者は公開Webサイトに悪意あるプロンプトをアップロードし、ChatGPTがそのサイトを処理すると、盗み出したデータを含む画像URLをMarkdownタグで自動的に読み込ませることで、外部に情報を流出させました 。
• 2024年5月 — メモリ機能を経由した個人情報の窃取: ある研究論文で、ChatGPT 4および4oが、ユーザーの個人データを引き出すプロンプトインジェクションに対して脆弱であることが報告されました。特に、AIがユーザー情報を記憶する「メモリ機能」が、このリスクを増幅していました 。
• 2025年3月 — 共通脆弱性識別子CVE-2025-43714（SVG/HTMLインジェクション）: ChatGPTがSVG文書をコードブロック内にテキストとして表示せず、ブラウザ上で直接レンダリングしてしまう脆弱性が見つかりました。これにより、攻撃者はChatGPTのインターフェース内で直接フィッシング攻撃を仕掛けるための任意のHTMLを注入できるようになりました 。
• 2026年2～3月 — DNSを悪用したデータ流出とMarkdown画像インジェクション: Check Point社が、ChatGPTのコード実行環境にある脆弱性（DNSトンネリングを用いて会話データを吸い出すもの）を公表。OpenAIは2026年2月20日にこの問題を修正しました。また同月、悪意あるMarkdown画像リンクを用いて、チャットログやシステムプロンプト、ユーザーの入力をDNSクエリ経由で盗み出す別の攻撃経路も明らかになりました 。
• 2026年5月 — ChatGPhish: この脆弱性は、「間接的プロンプトインジェクション」「信頼できないMarkdownのレンダリング」「Webページ要約機能」という複数の攻撃の流れを一つに統合したものです。これまでと大きく異なるのは、ChatGPhishが、単なるデータの密かな窃取ではなく、信頼できるChatGPTのUI上にフィッシングの罠を表示する「能動的なフィッシング」を可能にした点です 。

この年表が示すのは、ChatGPTに新機能が追加されるたびに新たなプロンプトの「注入経路」が生まれ、そのたびにMarkdownレンダラーが外部ページのコンテンツを無条件に信頼する「ウィークポイント」として繰り返し問題になってきた、というパターンです。

OpenAIの2026年5月末時点での対応

2026年5月29日から30日にかけての時点で、入手可能な報告によれば、Permiso Securityが5月29日にChatGPhishに関する詳細を公表しましたが、この脆弱性に特化したOpenAIからの公式声明や修正パッチの発表は報告されていませんでした 。

この間もOpenAIがセキュリティ対策に手をこまねいていたわけではなく、ChatGPhishとは無関係の二つのインシデント対応に追われていました。

• 2026年5月13日 — OpenAIは、広く使われているオープンソースライブラリが乗っ取られたTanStack npmサプライチェーン攻撃（通称「ミニ・シャイ・フルド」）に関する対応を公表し、従業員2名のデバイスが侵害されたものの、ユーザーデータへの不正アクセスは確認されなかったと発表しました 。
• 2026年5月14日 — 同社は、前述のサプライチェーン攻撃への封じ込め策の一環として、macOS版ChatGPTアプリのアップデートを強制しました 。

ChatGPhishの公開と、OpenAIからの公式認識との間にギャップがあることは重大です。この間、ChatGPTのWeb要約機能は無防備な状態に置かれており、ユーザーが巧妙に細工されたWebページの要約をChatGPTに依頼するだけで攻撃が成立する経路が、世間に知れ渡っている状態だったからです。

より広い文脈とその影響

ChatGPhishが深刻な問題である理由は、AIアシスタントを有用なものにしているユーザーインターフェース（UI）への信頼そのものを攻撃対象にしているからです。ChatGPTがWebを閲覧し、ページを要約し、自身のUI内にリンクを表示するとき、ユーザーは、そのリンクがOpenAI自身ではなく、信頼できない第三者から来たものだという視覚的な手がかりを一切得られません。

OpenAIが修正プログラムをリリースするまでは、従業員にChatGPTのブラウジング機能の使用を許可している組織は、Web要約機能を「信頼できないコンテンツソース」として扱うべきです。この脆弱性は、AIアシスタントが自社のUIとサードパーティのデータを融合させる際、すべての外部コンテンツを単なる表示テキストとしてではなく、潜在的に有害なものとして扱うレンダラーが必要だという、繰り返し浮上するアーキテクチャ上の緊張関係を浮き彫りにしています。

ChatGPTがWebページのMarkdownコンテンツを表示前に十分に無害化（サニタイズ）しないために、モデルが閲覧するあらゆる第三者のページがフィッシングの踏み台になり得るのです。これはOpenAIのサーバーインフラを狙った攻撃ではなく、ユーザーがChatGPTの視覚的な出力に対して抱く「ブラウザ上の信頼」を悪用する、クライアントサイドのレンダリングの弱点です。

進化の系譜：ChatGPhishに至るプロンプトインジェクションの歴史

ChatGPhishは突然現れたわけではありません。ChatGPTに新機能（Webブラウジング、コード実行、プラグイン、メモリ機能など）が追加されるたびに、攻撃者はその隙を突いて命令を注入し、データを盗み出す手法を編み出してきました。その長年にわたる攻撃の進化の最新章が、この脆弱性です。

ChatGPhishに至るまでの主な節目は以下の通りです。

• 2022年11月 — プロンプトインジェクションの誕生: ChatGPTが公開されるわずか13日前の2022年11月17日に、GPT-3に対するプロンプトインジェクションが命名・実証されました。ChatGPTの公開から数時間後には、ユーザーがロールプレイ（役割演技）を用いてAIの安全策を回避しています 。
• 2023～2024年 — 間接的プロンプトインジェクションとMarkdown経由のデータ窃取: ChatGPTがMarkdown画像をレンダリングする機能が、会話データの漏洩に悪用されることが判明。攻撃者は公開Webサイトに悪意あるプロンプトをアップロードし、ChatGPTがそのサイトを処理すると、盗み出したデータを含む画像URLをMarkdownタグで自動的に読み込ませることで、外部に情報を流出させました 。
• 2024年5月 — メモリ機能を経由した個人情報の窃取: ある研究論文で、ChatGPT 4および4oが、ユーザーの個人データを引き出すプロンプトインジェクションに対して脆弱であることが報告されました。特に、AIがユーザー情報を記憶する「メモリ機能」が、このリスクを増幅していました 。
• 2025年3月 — 共通脆弱性識別子CVE-2025-43714（SVG/HTMLインジェクション）: ChatGPTがSVG文書をコードブロック内にテキストとして表示せず、ブラウザ上で直接レンダリングしてしまう脆弱性が見つかりました。これにより、攻撃者はChatGPTのインターフェース内で直接フィッシング攻撃を仕掛けるための任意のHTMLを注入できるようになりました 。
• 2026年2～3月 — DNSを悪用したデータ流出とMarkdown画像インジェクション: Check Point社が、ChatGPTのコード実行環境にある脆弱性（DNSトンネリングを用いて会話データを吸い出すもの）を公表。OpenAIは2026年2月20日にこの問題を修正しました。また同月、悪意あるMarkdown画像リンクを用いて、チャットログやシステムプロンプト、ユーザーの入力をDNSクエリ経由で盗み出す別の攻撃経路も明らかになりました 。
• 2026年5月 — ChatGPhish: この脆弱性は、「間接的プロンプトインジェクション」「信頼できないMarkdownのレンダリング」「Webページ要約機能」という複数の攻撃の流れを一つに統合したものです。これまでと大きく異なるのは、ChatGPhishが、単なるデータの密かな窃取ではなく、信頼できるChatGPTのUI上にフィッシングの罠を表示する「能動的なフィッシング」を可能にした点です 。

この年表が示すのは、ChatGPTに新機能が追加されるたびに新たなプロンプトの「注入経路」が生まれ、そのたびにMarkdownレンダラーが外部ページのコンテンツを無条件に信頼する「ウィークポイント」として繰り返し問題になってきた、というパターンです。

OpenAIの2026年5月末時点での対応

2026年5月29日から30日にかけての時点で、入手可能な報告によれば、Permiso Securityが5月29日にChatGPhishに関する詳細を公表しましたが、この脆弱性に特化したOpenAIからの公式声明や修正パッチの発表は報告されていませんでした 。

この間もOpenAIがセキュリティ対策に手をこまねいていたわけではなく、ChatGPhishとは無関係の二つのインシデント対応に追われていました。

• 2026年5月13日 — OpenAIは、広く使われているオープンソースライブラリが乗っ取られたTanStack npmサプライチェーン攻撃（通称「ミニ・シャイ・フルド」）に関する対応を公表し、従業員2名のデバイスが侵害されたものの、ユーザーデータへの不正アクセスは確認されなかったと発表しました 。
• 2026年5月14日 — 同社は、前述のサプライチェーン攻撃への封じ込め策の一環として、macOS版ChatGPTアプリのアップデートを強制しました 。

ChatGPhishの公開と、OpenAIからの公式認識との間にギャップがあることは重大です。この間、ChatGPTのWeb要約機能は無防備な状態に置かれており、ユーザーが巧妙に細工されたWebページの要約をChatGPTに依頼するだけで攻撃が成立する経路が、世間に知れ渡っている状態だったからです。

より広い文脈とその影響

ChatGPhishが深刻な問題である理由は、AIアシスタントを有用なものにしているユーザーインターフェース（UI）への信頼そのものを攻撃対象にしているからです。ChatGPTがWebを閲覧し、ページを要約し、自身のUI内にリンクを表示するとき、ユーザーは、そのリンクがOpenAI自身ではなく、信頼できない第三者から来たものだという視覚的な手がかりを一切得られません。

OpenAIが修正プログラムをリリースするまでは、従業員にChatGPTのブラウジング機能の使用を許可している組織は、Web要約機能を「信頼できないコンテンツソース」として扱うべきです。この脆弱性は、AIアシスタントが自社のUIとサードパーティのデータを融合させる際、すべての外部コンテンツを単なる表示テキストとしてではなく、潜在的に有害なものとして扱うレンダラーが必要だという、繰り返し浮上するアーキテクチャ上の緊張関係を浮き彫りにしています。