ChatGPT for Macの脆弱性、チャット履歴や連携アプリの情報にアクセスされる恐れ

Objective-See Foundationの研究者は、ChatGPTのmacOSアプリで、信頼されていないスクリプトからの命令を、信頼されたアプリ部品から届いたものと誤認する可能性のある脆弱性を発見しました。攻撃には、まず被害者のMac上でコードを実行させる必要がありましたが、管理者権限などの昇格した権限は不要でした。悪用されると、ChatGPTアプリを乗っ取り、アプリが扱える情報にアクセスされる恐れがありました。247

信頼されたスクリプト実行環境を悪用

ChatGPTのmacOSアプリは、プロセスやコード署名を確認し、信頼できる部品とそうでないコードを区別していました。問題は、攻撃者が信頼されたスクリプト実行環境を経由させることで、未検証のスクリプトをアプリに渡せた点です。実行環境が信頼できることは確認しても、そこから渡されるスクリプトや命令まで信頼できるかを十分に確かめられていませんでした。45

これは、インターネット経由で遠隔から直ちに侵入できるタイプの攻撃ではありません。悪意あるコードが先に同じMac上で実行されている必要があり、報告によれば、そのコードに管理者やrootの権限は必要ありませんでした。78

会話履歴や連携サービスに及ぶ可能性

命令がChatGPTの信頼された部品から来たものとして受け入れられると、攻撃者は保存済みの会話を読み取ったり、アプリを通じて命令を実行したりできる可能性がありました。報告では、ブラウザーのセッションなど、ChatGPTの連携機能を通じて利用できるデータやサービスも影響範囲として挙げられています。247

ただし、この脆弱性によってMac全体を無制限に操作できることが示されたわけではありません。アクセス範囲は、侵害されたアプリがもともと扱えるデータや連携機能に関わるものでした。27

OpenAIは修正版を公開

OpenAIのmacOS版変更履歴によると、脆弱性「CVE-2026-100754」は2026年9月25日、ChatGPTバージョン26.924.20706で修正されました。問題が公に報じられたのは10月2日です。Macアプリの利用者は、修正版またはそれ以降のバージョンに更新してください。247

AIアシスタントの「信頼され方」も攻撃対象に

この問題が示すのは、AIアプリが生成する内容だけでなく、アプリ自身が何にアクセスでき、どんな操作を実行できるかも攻撃者にとって価値を持つということです。会話履歴や接続サービスを扱うアシスタントが侵害されれば、機微な情報にたどり着く経路になり得ます。2

セキュリティ上の教訓は、信頼の境界を正しく見極めることです。プロセスの署名や信頼性を確認しても、そのプロセスが未信頼の命令をアプリへ運べるなら、それだけでは十分ではありません。Objective-SeeはAIエージェントの安全性に関する研究を続けると述べており、アシスタントの機能や連携先が増えるほど、命令の出所をどう検証するかが重要になります。14