ChatGPTのHTMLプレビューを悪用、共有URLから個人データを窃取できた脆弱性

何が報告されたのか

Parameter Labsは、ChatGPTのHTMLプレビュー機能に対する攻撃手法を公表した。HTMLプレビューは、対話の中で生成されたインタラクティブなHTMLアプリをサンドボックス化されたiframe内に表示する仕組みで、記事によればOpenAIは以前これを「Canvas」と呼んでいたという。攻撃が成立すると、共有URLを開いた別のサインイン済みユーザーの個人データを窃取したり、そのユーザーに代わって操作を実行したりできた。

この報告を紹介したのは、2026年10月31日付でSimon Willison氏が自身のブログに投稿したリンク記事である。同氏は、OpenAIが穴を塞いで5,000ドルの報奨金を支払ったと伝えたうえで、この深刻さに対しては報奨金が安すぎるとの見方を示している。

攻撃チェーンの仕組み

起点は、OpenAIがグラフ機能の一部に使っているJavaScriptライブラリ「MathLive」だった。このライブラリは独自の仮想キーボードを備えており、サンドボックス化されたiframeからpostMessage()を送ることで親ページ側で呼び出せる。問題は受け手側のコードがinnerHTMLを使っており、他のサンドボックス化されたフレーム（HTMLプレビューのフレームを含む）からの呼び出しを防ぐ仕組みがなかったことだ。

結果として、iframe内の信頼できないコードが親ページに任意のHTMLを挿入できた。innerHTMLはscript要素を直接には実行しないが、サンドボックス制限のない新しいiframeを注入する用途には使えた。さらにCSPがインラインスクリプトを禁じ、スクリプトの読み込み元を数ドメインに限っていたものの、その一つにYouTubeが含まれていたため、YouTubeのoEmbedエンドポイントを使ってJavaScriptを反射させ、実行に持ち込めたという。

ChatGPT上でJavaScriptが動いてしまえば、APIから非公開のユーザーデータを取得し、画像参照を経由して外部へ送り出すのは容易だった、と記事は述べている。

入り口が共有URLだった点

この脆弱性で特に注意すべきは、攻撃の入り口が「共有URL」だった点である。攻撃者が用意したChatGPTの共有URLを、サインイン済みの別ユーザーが開くだけで、データ窃取や代理操作につながった。ユーザー側には特別な操作も、不審なファイルの実行も求められない。

防御は多層に見えるが、各層のわずかな設計判断が連鎖して回避された。postMessageの受け口、innerHTMLによるDOM挿入、CSPの許可ドメインという三つの前提が組み合わさって成立した攻撃チェーンであり、単一のバグとして片付けられるものではないと解釈できる。

修正と残る不明点

OpenAIはこの穴を塞ぎ、5,000ドルのバグバウンティを支払った。Willison氏は金額面に疑問を呈しているが、記事の範囲では修正自体は完了している。

一方、発見から修正までの期間や、実際に影響を受けたユーザーがいたかどうかは明らかにされていない。同様のpostMessage受け口が他の機能に残っていないか、Parameter Labsの技術解説がどこまで詳細に公開されているかも、この記事からは分からない。