ChatGPhish：ChatGPTの「Web要約」をフィッシングの罠に変える攻撃手法

ChatGPTがWebページを要約し、その中に表示されたリンクやボタンを、あなたはAIの回答の一部として当然のように信頼するでしょう。その信頼こそが、ChatGPhishと呼ばれる新たな脆弱性によって悪用される対象です。

2026年5月29日にPermiso Securityによって公開されたChatGPhishは、ChatGPTのWebページ要約機能をフィッシング（Phishing）攻撃の配信手段に変える、ブラウザベースのプロンプトインジェクション手法です 。これまでの攻撃がひそかにデータを盗み出すことに主眼を置いていたのに対し、この攻撃は、AIアシスタント自身のインターフェースを武器に変え、攻撃者が仕込んだリンクや偽のログインフォーム、なりすましのセキュリティ警告を、さもChatGPTの正規の出力であるかのように表示します。ここでは、その仕組み、この攻撃に至るまでのプロンプトインジェクションの系譜、そして公表時点でOpenAIが明らかにしていたこと（といなかったこと）を解説します。

ChatGPhishがChatGPTのMarkdownレンダラーを悪用する仕組み

この攻撃が効果的なのは、ChatGPTの根本的な信頼の前提を突いているからです。それは、「ChatGPTの応答レンダラーは、第三者のWebページに由来するMarkdownのリンクや画像URLを信頼できるコンテンツとして扱い、画像を自動取得し、リンクをクリック可能な要素としてAI自身のUI内に表示する」という点です 。

攻撃は以下の3段階で成立します。

1. 悪意あるWebページを作成 — 攻撃者は、一見すると無害なWebページに、隠しリンクや偽の警告文といったMarkdown形式の指示を埋め込みます。ページ自体は普通に見えますが、ChatGPTの要約システムに解析させるための悪意ある「指示書き」が潜んでいます。
2. 要約を実行させる — ユーザーがChatGPTにこのページの要約を依頼します。ChatGPTはページの内容を処理しますが、その際に攻撃者が仕込んだMarkdownの指示を、正規の応答の一部として解釈してしまいます。
3. フィッシングの仕掛けを表示 — 信頼できるChatGPTのインターフェース上に、攻撃者のリンクや偽の警告がアシスタントの通常の回答のように表示されます。ユーザーがそれをクリックしたり、指示に従ったりすると、個人情報を盗むための偽サイトや悪意あるプログラムのダウンロードページ、あるいはフィッシングサイトへ誘導するQRコードなどに誘導されます 。

ChatGPTがWebページのMarkdownコンテンツを表示前に十分に無害化（サニタイズ）しないために、モデルが閲覧するあらゆる第三者のページがフィッシングの踏み台になり得るのです。これはOpenAIのサーバーインフラを狙った攻撃ではなく、ユーザーがChatGPTの視覚的な出力に対して抱く「ブラウザ上の信頼」を悪用する、クライアントサイドのレンダリングの弱点です。

進化の系譜：ChatGPhishに至るプロンプトインジェクションの歴史

ChatGPhishは突然現れたわけではありません。ChatGPTに新機能（Webブラウジング、コード実行、プラグイン、メモリ機能など）が追加されるたびに、攻撃者はその隙を突いて命令を注入し、データを盗み出す手法を編み出してきました。その長年にわたる攻撃の進化の最新章が、この脆弱性です。

ChatGPhishに至るまでの主な節目は以下の通りです。

• 2022年11月 — プロンプトインジェクションの誕生: ChatGPTが公開されるわずか13日前の2022年11月17日に、GPT-3に対するプロンプトインジェクションが命名・実証されました。ChatGPTの公開から数時間後には、ユーザーがロールプレイ（役割演技）を用いてAIの安全策を回避しています 。
• 2023～2024年 — 間接的プロンプトインジェクションとMarkdown経由のデータ窃取: ChatGPTがMarkdown画像をレンダリングする機能が、会話データの漏洩に悪用されることが判明。攻撃者は公開Webサイトに悪意あるプロンプトをアップロードし、ChatGPTがそのサイトを処理すると、盗み出したデータを含む画像URLをMarkdownタグで自動的に読み込ませることで、外部に情報を流出させました 。
• 2024年5月 — メモリ機能を経由した個人情報の窃取: ある研究論文で、ChatGPT 4および4oが、ユーザーの個人データを引き出すプロンプトインジェクションに対して脆弱であることが報告されました。特に、AIがユーザー情報を記憶する「メモリ機能」が、このリスクを増幅していました 。
• 2025年3月 — 共通脆弱性識別子CVE-2025-43714（SVG/HTMLインジェクション）: ChatGPTがSVG文書をコードブロック内にテキストとして表示せず、ブラウザ上で直接レンダリングしてしまう脆弱性が見つかりました。これにより、攻撃者はChatGPTのインターフェース内で直接フィッシング攻撃を仕掛けるための任意のHTMLを注入できるようになりました 。
• 2026年2～3月 — DNSを悪用したデータ流出とMarkdown画像インジェクション: Check Point社が、ChatGPTのコード実行環境にある脆弱性（DNSトンネリングを用いて会話データを吸い出すもの）を公表。OpenAIは2026年2月20日にこの問題を修正しました。また同月、悪意あるMarkdown画像リンクを用いて、チャットログやシステムプロンプト、ユーザーの入力をDNSクエリ経由で盗み出す別の攻撃経路も明らかになりました 。
• 2026年5月 — ChatGPhish: この脆弱性は、「間接的プロンプトインジェクション」「信頼できないMarkdownのレンダリング」「Webページ要約機能」という複数の攻撃の流れを一つに統合したものです。これまでと大きく異なるのは、ChatGPhishが、単なるデータの密かな窃取ではなく、信頼できるChatGPTのUI上にフィッシングの罠を表示する「能動的なフィッシング」を可能にした点です 。

この年表が示すのは、ChatGPTに新機能が追加されるたびに新たなプロンプトの「注入経路」が生まれ、そのたびにMarkdownレンダラーが外部ページのコンテンツを無条件に信頼する「ウィークポイント」として繰り返し問題になってきた、というパターンです。

OpenAIの2026年5月末時点での対応

2026年5月29日から30日にかけての時点で、入手可能な報告によれば、Permiso Securityが5月29日にChatGPhishに関する詳細を公表しましたが、この脆弱性に特化したOpenAIからの公式声明や修正パッチの発表は報告されていませんでした 。

この間もOpenAIがセキュリティ対策に手をこまねいていたわけではなく、ChatGPhishとは無関係の二つのインシデント対応に追われていました。

• 2026年5月13日 — OpenAIは、広く使われているオープンソースライブラリが乗っ取られたTanStack npmサプライチェーン攻撃（通称「ミニ・シャイ・フルド」）に関する対応を公表し、従業員2名のデバイスが侵害されたものの、ユーザーデータへの不正アクセスは確認されなかったと発表しました 。
• 2026年5月14日 — 同社は、前述のサプライチェーン攻撃への封じ込め策の一環として、macOS版ChatGPTアプリのアップデートを強制しました 。

ChatGPhishの公開と、OpenAIからの公式認識との間にギャップがあることは重大です。この間、ChatGPTのWeb要約機能は無防備な状態に置かれており、ユーザーが巧妙に細工されたWebページの要約をChatGPTに依頼するだけで攻撃が成立する経路が、世間に知れ渡っている状態だったからです。

より広い文脈とその影響

ChatGPhishが深刻な問題である理由は、AIアシスタントを有用なものにしているユーザーインターフェース（UI）への信頼そのものを攻撃対象にしているからです。ChatGPTがWebを閲覧し、ページを要約し、自身のUI内にリンクを表示するとき、ユーザーは、そのリンクがOpenAI自身ではなく、信頼できない第三者から来たものだという視覚的な手がかりを一切得られません。

OpenAIが修正プログラムをリリースするまでは、従業員にChatGPTのブラウジング機能の使用を許可している組織は、Web要約機能を「信頼できないコンテンツソース」として扱うべきです。この脆弱性は、AIアシスタントが自社のUIとサードパーティのデータを融合させる際、すべての外部コンテンツを単なる表示テキストとしてではなく、潜在的に有害なものとして扱うレンダラーが必要だという、繰り返し浮上するアーキテクチャ上の緊張関係を浮き彫りにしています。