ChatGPT 共有リンクを開くだけで乗っ取り｜修正済みでも見直したい共有の設定
この記事の要点
- ChatGPT の共有リンクを開くだけで、開いた人のログイン状態を使って会話一覧や非公開の会話を読み取れる脆弱性があり、OpenAI は2026年10月26日に修正を完了しました。
- 攻撃には利用者側のアプリ追加やプロジェクト参加などの操作は不要で、最終的な手口ではリンクを開くことが唯一の操作でした。報告から修正完了まで8日で、OpenAI は重大度を P1 と判定しました。
- 原因は数式ライブラリ MathLive のメッセージ受信処理と HTML プレビュー機能の組み合わせにあり、MathLive は10月31日公開の 0.111.2 で送信元の検証を既定にしました。
- 個人アカウントで作った共有リンクはリンクを知っている人なら誰でも開け、どのアカウントでも有効期限や閲覧者の限定は設定できません。ChatGPT の設定「データ コントロール」から一覧の確認と削除ができます。
- Enterprise と Edu のワークスペースでは、権限が利用できる場合に管理者が共有を無効にできますが、Business にはワークスペース全体で無効にする設定がなく、個人アカウントのリンクは誰でも開けます。
ChatGPT の会話を他の人に見せる「共有リンク」を開くだけで、開いた人のアカウントで会話の一覧や非公開の会話の内容を読み取り、外部に送り出せる脆弱性があったと、セキュリティ企業 Parameter の研究チーム Parameter Labs が2026年10月28日に公表しました[1]。OpenAI は報告から8日後の10月26日に修正を完了しており、この脆弱性そのものに対して利用者側で行う対処はありません[1][7]。
原因は ChatGPT の一つの不具合ではなく、数式を表示するためのライブラリ MathLive、会話中の HTML をその場で動かすプレビュー機能、スクリプトの読み込み元を制限する設定、そして共有リンクという、個々には正当な機能の組み合わせにありました[1]。MathLive は10月31日に、メッセージの送信元を既定で検証するよう変更しています[3]。
この記事では、何が起きたのか、どのような仕組みだったのか、修正済みでもなぜ見直しが必要なのか、そして共有リンクの棚卸しやワークスペース設定など今週確認することを整理します。情報は2026年11月3日時点のものです。
何が起きたのか？
2026年10月28日、Parameter Labs は「Do the Math: How We Took Over ChatGPT Accounts」と題した公表文で、ChatGPT の公開共有リンクを開いた利用者のログイン済みセッションの中で、攻撃者の JavaScript を実行できる脆弱性の詳細を明らかにしました[1]。研究チームは、被害者の会話一覧の取得、攻撃者に共有されたことのない非公開の会話の内容の取得、そしてその内容の外部サーバーへの送信を確認しています[1]。
OpenAI の報奨金プログラムには10月18日に報告され、10月21日に重大度が P2 から P1 に引き上げられ、10月26日に修正が完了しました[1]。公表時点でこの脆弱性は修正済みであり、公表文は経路の説明と修正内容、時系列を中心にまとめられています[1]。
Parameter Labs は、セキュリティ企業 Parameter が AI エージェントで実際のアプリケーションやコードを検査した結果を公開する研究ノートで、見つけた問題が修正された後に公表する方針をとっています[8]。今回の公表も修正の2日後でした[1]。公表の3日後には、ソフトウェア開発者の Simon Willison 氏が自身のブログで経路を整理し、5,000ドルという報奨金は深刻さに比べて安いと評しています[2]。
10月13日
本番環境の ChatGPT で経路を確認
Parameter Labs が、MathLive のメッセージから HTML を挿入できる経路を本番のコードで確認[1]。翌14日には通常の画面操作で再現し、任意の JavaScript 実行まで到達[1]。
10月16〜17日
共有リンク経由で別アカウントへの攻撃を確認
別のアカウント・別のワークスペース間で、共有リンクを開いてプレビューを1回クリックすると成立することを確認。17日にはプレビューが自動で開く版を再現し、画面を再読み込みしても再現した[1]。
10月18日
OpenAI の報奨金プログラムへ報告
翌19日には、非公開の会話を読み取れることを示す追加の実証を提出[1]。
10月21日
OpenAI が再現し、重大度を P1 に引き上げ
初期判定の P2 から P1 へ[1]。
10月22〜23日
段階的な修正
ChatGPT のウェブ画面は2系統あり、22日に一方が修正済みと報告。23日には CSP（スクリプトの読み込み元を制限する設定）の変更で経路の一部が遮断された[1]。
10月26日
修正完了、報奨金5,000ドル
OpenAI が両系統で該当のメッセージを拒否することを確認し、解決とした。報奨金は総額5,000ドル[1]。
10月28日
Parameter Labs が公表
経路・時系列・修正内容を含む公表文を公開[1]。
10月31日
MathLive 0.111.2 公開
どのような仕組みで乗っ取られたのか？
鍵になったのは、ChatGPT の画面に数式のグラフを描くために読み込まれるライブラリ MathLive と、会話中の HTML をその場で動かす「プレビュー」機能の組み合わせです[1]。プレビューは別のウェブアドレス上の隔離された枠で動くため、ChatGPT 本体の画面を直接読めない設計になっており、この隔離自体は機能していました[1]。しかし、本体側に読み込まれた MathLive が、枠の外から届く「メッセージ」を送信元を確かめずに受け取り、その中身に含まれる HTML を本体の画面に書き込んでしまったのです[1]。
4つの段階
- 攻撃者が、グラフと HTML のプレビューを含む会話を作り、通常の共有機能で公開リンクを作ります。グラフが MathLive を本体の画面に読み込み、数式用の仮想キーボードのためのメッセージ受信口を用意してしまいます[1]。
- 被害者がリンクを開くと、プレビュー枠の中のコードが本体の画面へメッセージを送ります。MathLive は送信元を検証しない設定（origin policy が none）で動いており、キーボードの配置として渡された HTML をそのまま本体の画面に挿入しました[1]。
- 挿入された HTML が、隔離指定のない新しい枠を本体の画面の中に作ります。本体の画面が作った枠なので chatgpt.com としての権限を持ち、スクリプトの読み込み元を制限する CSP も、許可されていた YouTube のドメインを経由して回避されました[1]。
- 攻撃者のコードが被害者として ChatGPT の内部 API を呼び、会話一覧と非公開の会話の内容を取得して外部に送信しました。研究チームは「被害者のアカウントで事実上どのような操作もできた」としています[1]。
被害者は、アプリをインストールする必要も、プロジェクトに参加する必要も、コードを貼り付ける必要も、開発者ツールを開く必要もありませんでした。共有リンクを開くことが、唯一必要な操作でした。
The victim did not need to install an App, join a Project, paste code, or open developer tools. Opening the shared link was the only required action.
最も安定して再現した版では、被害者が共有リンクを開いた後にプレビューのボタンを1回押す必要がありました[1]。研究チームはその後、HTML ブロックが自動でプレビューされるように細工し、リンクを開くだけで約4.5秒後にコードが動く版を、別のアカウントで3回再現しています[1]。攻撃者のリンクは、メール、チャット、問い合わせの窓口、SNS の投稿など、ふだん共有リンクを受け取るのと同じ経路で届きます[1]。
Parameter Labs は、問題を本格的な攻撃に変えた設計上の判断として、送信元を証明させずに状態を変えるメッセージを受け付けたこと、設定の中に生の HTML を渡せたこと、その HTML が chatgpt.com の権限を受け継ぐ隔離なしの文書を作れたことの3点を挙げています[1]。YouTube 経由の読み込みは CSP を回避する最後の手段にすぎず、そこだけを塞いでも、信頼されていないプレビューが本体に HTML を挿入できる状態は残ったと説明しています[1]。
修正済みなのに、なぜ取り上げるのか？
この脆弱性そのものは OpenAI 側で修正されており、利用者が行うべき対処はありません[1][7]。それでも取り上げる理由は3つあります。第一に、原因の一端だった MathLive は ChatGPT 専用ではなく誰でも使える公開ライブラリで[3][9]、組み込んでいる各サイトが自分で修正版に更新しなければ直らないこと。第二に、共有リンクの性質（個人アカウントのリンクは誰でも開ける・期限がない・転送できる）は今回の修正で変わっていないこと[4]。第三に、ChatGPT の「リンク」をめぐる問題が、編集部が確認した範囲でこれで3件目になることです[5][6]。
MathLive 側の修正
MathLive は2026年10月31日に公開した 0.111.2 で、仮想キーボードなどのメッセージを既定で同一オリジン（同じウェブアドレス）からのものだけ受け付けるように変え、別の枠から独自のキーボード配置（HTML）を渡すことは、検証を無効にしていてもできなくしました[3]。別のオリジンと連携する場合は、信頼する相手を明示的に許可する必要があります[3]。ChatGPT に組み込まれていた版が送信元を検証しない設定で動いていたことが、攻撃の起点でした[1]。なお、この変更履歴には ChatGPT や OpenAI、Parameter の名前は出ていません[3][7]。
共有リンクの性質は変わっていない
OpenAI のヘルプによると、個人アカウントで作った共有リンクは、リンクを知っている人なら誰でも開けます[4]。閲覧者を特定の人に限定する設定や有効期限はなく、「検索エンジンに登録されることを想定していませんが、リンクが非公開になるわけではありません」と明記されています（日本語版は機械翻訳のため、英語原文でも確認しています）[4]。リンクを受け取った人はそれを転送できるため、社内向けのつもりで作ったリンクが社外に渡る可能性は常にあります[4]。共有リンクは既定で匿名ですが、会話の中に入力した名前や個人情報は表示される場合があります[4]。
| 時期 | 出来事 | その後 |
|---|---|---|
| 2025年8月 | 共有リンクを検索エンジンに登録できる「Make this chat discoverable」の選択肢により、個人情報を含む会話が検索結果に表示された[5] | OpenAI の CISO が「短期間の実験」として選択肢を撤去し、検索エンジンからの削除作業を進めると表明[5] |
| 2025年11月 | Tenable が ChatGPT の7件の脆弱性・攻撃手法を公表。chatgpt.com/?q= 形式のリンクを開くだけで指示が自動送信される、1クリックのプロンプトインジェクションを含む[6] | Tenable は全件を OpenAI に開示し一部の修正に協力したが、複数の手法が GPT-5 でも有効だと確認したと報告[6] |
| 2026年10月 | 共有リンクを開くだけで、開いた人のセッションで攻撃者のコードが動き、非公開の会話を読み取れる脆弱性を Parameter Labs が報告[1] | 10月26日に OpenAI が修正。MathLive も10月31日に既定の動作を変更[1][3] |
2026年11月3日時点。各出典の記載に基づく。
2025年の件では、利用者が自ら選択肢にチェックを入れた上で共有していましたが、OpenAI の CISO である Dane Stuckey 氏は「意図せず共有してしまう機会があまりに多かった」として機能を撤去しました[5]。英メディア The Register は、検索結果に個人情報が多数含まれていたこと、機密を共有しないよう明示の警告があっても利用者がそうしていたことを報じています[5]。共有リンクという機能は、仕組みの上でも使い方の上でも、情報が意図しない相手に届く経路になりやすいと言えます。
自社への影響をどう判断するか？
影響の大きさは、社員がどの種類の ChatGPT アカウントを使い、会話に何を入れているかで決まります。今回の攻撃は、被害者が ChatGPT にログインした状態で攻撃者の共有リンクを開くことで成立し、取得できたのは会話一覧と非公開の会話の内容、そしてアカウントで可能な操作でした[1][7]。会話に顧客情報や社内文書を貼り付けていれば、それが漏えいの対象になります。アカウントの種類ごとに、共有リンクの扱いは次のように異なります[4]。
| アカウント | 誰がリンクを開けるか | 管理者の制御 | 今回の件で見直す点 |
|---|---|---|---|
| 個人アカウント（ワークスペースに属さないアカウント） | リンクを知っている人なら誰でも[4] | （管理者はいない）作成者本人が一覧から削除する[4] | 業務で個人アカウントを使っている社員の把握。会話に機微な情報を入れない運用 |
| ChatGPT Business | 同じワークスペースの対象メンバーだけ[4] | ワークスペース全体で共有を無効にする設定はない[4] | メンバーが外部の共有リンクを開くときのルール。個人アカウントのリンクを開けるかどうかはワークスペース設定による[4] |
| ChatGPT Enterprise / Edu | 同じワークスペースの対象メンバーだけ[4] | 「ワークスペース設定 > 権限とロール」で共有を無効にできる（この権限が利用できる場合）[4] | 共有を許可しているなら、その必要性の再確認 |
OpenAI ヘルプの記載に基づく。ヘルスケア向け ChatGPT のワークスペースも Business・Enterprise・Edu と同じく、リンクは同じワークスペースのメンバーに限定される[4]。
重要なのは、Business や Enterprise のワークスペースで作られたリンクが同じワークスペースのメンバーにしか開けないのに対し、攻撃者が個人アカウントで作ったリンクをワークスペースのメンバーが開けるかどうかは、ワークスペースの設定次第である点です[4]。会社として ChatGPT を契約していても、社員が個人アカウントを業務に使っていれば、そちらには個人アカウントのルールが適用されます。今回の脆弱性は「自分が作ったリンク」の問題ではなく「他人が作ったリンクを開く」ことの問題だった点も、社内への説明では区別して伝える必要があります[1]。
今すぐやることは何か？
この脆弱性に対する修正は OpenAI 側で完了しているため、「ChatGPT を更新する」といった作業は不要です[1][7]。やるべきことは、共有リンクという機能の性質に合わせて自社の運用を整えることです。情シスや総務の担当者が今週中に確認できる項目を挙げます。
今週中に確認すること
- 自分と部署のメンバーが作った共有リンクを棚卸しする。ChatGPT の「設定」→「データ コントロール」→「共有リンク」の「管理」で一覧を表示し、不要なものは削除する（「すべての共有リンクを削除」も選べる）[4]。
- 共有リンクを削除しても、相手がすでに「会話を続ける」で保存したコピーは相手のアカウントに残ることを周知する[4]。
- 受け取ったリンクを開く前に、アドレスが https://chatgpt.com/share/ （会話）または https://chatgpt.com/s/ （スケジュール済みタスク）で始まり、信頼できる送信者からのものか確認する運用にする[4]。
- 見知らぬ相手からの共有リンクは、業務アカウントにログインしていないブラウザ（別のプロファイルやプライベートウィンドウ）で開くか、開かない。今回の攻撃はログイン済みの状態でなければ成立しなかった[7]。
- Enterprise・Edu のワークスペースでは、「ワークスペース設定 > 権限とロール」の「ワークスペースでチャットとスケジュール済みタスクを共有」（この権限が利用できる場合）を見直し、業務上の必要がなければ無効にする[4]。
- Business のワークスペースでは全体の無効化ができないため、共有の可否を社内ルールで定め、個人アカウントのリンクをメンバーが開けるかどうかの設定を確認する[4]。
- 個人アカウントで業務に ChatGPT を使っている社員がいないか把握する。いる場合は、顧客情報や社内文書を会話に入れないこと、共有リンクを作らないことを徹底する。
- チャットの「ロック」は既存の共有リンクを削除しないことを周知する。アクセスを止めるにはリンクを別途削除する[4]。
- 自社のウェブサイトや社内ツールで MathLive を使っている場合は 0.111.2 以上（2026年11月3日時点の最新は 0.111.4）に更新し、送信元の検証（originValidator）を既定に頼らず明示する。開発を外注している場合は、別の枠からのメッセージを受け取る処理で送信元を確認しているかを問い合わせる[1][3][9]。
AI利用ルールにどう反映するか？
今回の件が示したのは、生成AI サービスが「会話をするだけの道具」ではなく、プレビューやグラフ描画、アプリ連携、スケジュール実行といった機能を持つウェブアプリケーションだということです[1][4]。AI の利用ルールを「入れてよい情報」と「使ってよいサービス」の2軸で作っている組織は多いですが、そこに「共有の条件」と「見直しのきっかけ」を加える必要があります。
- 共有の条件を書く：共有リンクを作ってよい相手（社内のみ、取引先も可、不可）、作ってよい会話の種類、作ったリンクを削除する時期（たとえば案件の終了時）を決める。ChatGPT 自体には有効期限の機能がないため、運用で補う[4]。
- アカウントの区分を揃える：業務での利用はワークスペースのアカウントに限り、個人アカウントの業務利用を認めない。ワークスペースで作ったリンクは同じワークスペースの外では開けないため、共有の範囲を会社の管理下に置ける[4]。
- 見直しのきっかけを決める：サービス側に新しい機能（プレビュー、アプリ、スケジュール済みタスクなど）が追加されたときと、脆弱性や仕様変更の公表があったときに、利用条件を再確認する。今回の経路も、プレビューという機能と共有の組み合わせでした[1]。
- 開くときの作法を教える：生成AI の共有リンクも、ふだんのフィッシング対策と同じく「送信者とドメインを確かめる」対象に含める。OpenAI 自身がヘルプで、開く前に chatgpt.com ドメインと信頼できる送信者であることを確認するよう求めています[4]。
当サイトでは、生成AI 利用の3つのリスクと社内ルールの考え方をAIセキュリティとはで、よくある質問をFAQで整理しています。生成AI に入力した情報が外部に出た国内の事例は生成AIでの情報漏えいを解説した記事で、AI コーディングツールの設定ファイルが乗っ取られる手口はClaude Code・Codex の指示ファイル乗っ取りの記事で扱っています。社内で使うサービスごとに「入れてよい情報」「使ってよい機能」「共有の条件」を一覧にしておくと、今回のような公表があったときに、どの部署に何を伝えればよいかがすぐに分かります。
まとめ
ChatGPT の共有リンクを開くだけで、開いた人のアカウントで会話を読み取り操作もできる脆弱性が、2026年10月に報告され、OpenAI は10月26日に修正を完了しました[1]。原因は、隔離されたプレビュー枠からのメッセージを、本体側の数式ライブラリ MathLive が送信元を確かめずに受け取り、HTML を本体の画面に書き込んでしまったことにあります[1]。MathLive も10月31日に、送信元の検証を既定にする修正版を公開しました[3]。
利用者がこの脆弱性に対して行う作業はありませんが、個人アカウントの共有リンクが「リンクを知っている人なら誰でも開け、期限がなく、転送できる」機能であることは変わっていません[4][7]。作った共有リンクの棚卸しと削除、受け取ったリンクを開く前の送信者とドメインの確認、Enterprise・Edu での共有権限の見直し、個人アカウントの業務利用の把握を、今週の作業として進めてください[4]。
そして、生成AI サービスは機能の追加が速く、安全だと判断した時点の構成はすぐに変わります。AI の利用ルールに「共有の条件」と「見直しのきっかけ」を書き込み、新機能の追加や脆弱性の公表をきっかけに利用条件を再確認する体制を整えることが、今回の件から得られる最も実務的な教訓です。
よくある質問
ChatGPT の共有リンクを開いただけで、今も乗っ取られる可能性はありますか？
Parameter Labs が報告した脆弱性については、OpenAI が2026年10月26日に修正を完了しており、利用者側で行う対処はありません。ただし、個人アカウントの共有リンクが誰でも開けて転送もできる機能であることは変わっていません。受け取ったリンクは、アドレスが https://chatgpt.com/share/ で始まるか、信頼できる送信者からのものかを確認してから開き、見知らぬ相手からのリンクは業務アカウントにログインしていないブラウザで開くか、開かないようにしてください。
自分が作った共有リンクは、どこで確認・削除できますか？
ChatGPT の「設定」から「データ コントロール」を開き、「共有リンク」の「管理」を選ぶと、共有した会話とスケジュール済みタスクのリンクが一覧で表示されます。個別に削除するか、「すべての共有リンクを削除」で一括削除できます。削除すると以後そのリンクからは開けなくなりますが、相手がすでに「会話を続ける」で保存したコピーは相手のアカウントに残ります。会話そのものを削除した場合も、その共有リンクは削除されます。
ChatGPT Business や Enterprise を使っていれば安全ですか？
Business・Enterprise・Edu のワークスペースで作られた共有リンクは、同じワークスペースの対象メンバーしか開けません。Enterprise と Edu では、この権限が利用できる場合に管理者が「ワークスペース設定 > 権限とロール」で共有を無効にできますが、Business にはワークスペース全体で無効にする設定がありません。また、今回の脆弱性は他人が作ったリンクを開くことで成立したため、メンバーが個人アカウントのリンクを開けるかどうかの設定と、リンクを開くときのルールが重要です。
原因となった MathLive とは何ですか？
数式の入力や表示を行うためのオープンソースのライブラリで、ChatGPT ではグラフを描くために読み込まれていました。数式用の仮想キーボードの設定を他の枠からのメッセージで受け取る仕組みがあり、ChatGPT に組み込まれていた版は送信元を検証しない設定で動いていたため、隔離されたプレビュー枠からの HTML を本体の画面に挿入してしまいました。MathLive は2026年10月31日公開の 0.111.2 で、既定で同一オリジンからのメッセージだけを受け付け、他の枠から独自のキーボード配置を渡せないよう変更しています。
OpenAI は何を修正したのですか？
Parameter Labs の公表によると、OpenAI は報告された内容を再現し、重大度を P1 と判定しました。修正は ChatGPT のウェブ画面の2系統に対して段階的に行われ、CSP（スクリプトの読み込み元を制限する設定）の変更で経路の一部を遮断したうえで、2026年10月26日に両系統で該当する枠間のメッセージを拒否することを確認し、解決としました。報奨金は総額5,000ドルでした。OpenAI 自身による独自の声明は、2026年11月3日時点で編集部が確認できた範囲ではありません。
過去にも ChatGPT の共有リンクで問題はありましたか？
2025年8月には、共有時に「Make this chat discoverable」を選ぶと会話が検索エンジンに登録される仕組みにより、個人情報を含む会話が検索結果に表示されました。OpenAI の CISO は「短期間の実験」としてこの選択肢を撤去し、検索エンジンからの削除作業を進めると表明しました。2025年11月には Tenable が、chatgpt.com/?q= 形式のリンクを開くだけで指示が自動送信される1クリックのプロンプトインジェクションを含む7件の脆弱性・手法を公表しています。
出典・参考資料
- 調査レポートDo the Math: How We Took Over ChatGPT Accounts
- 記事How We Took Over ChatGPT Accounts
- 公式発表mathlive/CHANGELOG.md at master · arnog/mathlive · GitHub
- 公式発表ChatGPT での会話とスケジュール済みタスクの共有
- 記事OpenAI removes ChatGPT self-doxing option
- 調査レポートHackedGPT: Novel AI Vulnerabilities Open the Door for Private Data Leakage
- 記事ChatGPT flaw let a shared link read your private chats
- 公式発表Parameter Labs - Security research and engineering notes - Parameter
- 公式発表mathlive
本記事の事実関係は、2026.11.03 時点で上記の出典をすべて再確認しています。 OpenAI ヘルプの日本語版は機械翻訳のため、英語原文でも照合しました。MathLive の最新版や OpenAI ヘルプの記載は変わる可能性があります。最新の情報は各出典を確認してください。
AIセキュリティの基本は「AIセキュリティとは」で解説しています。
