ChatGPTエージェント悪用の脆弱性、OpenAIが修正
- Zenity Labsが「AgentForger」と名付けたChatGPTエージェントの脆弱性を発見
- フィッシングリンク1回で、被害者に気づかれず攻撃者が遠隔操作するAIエージェントを作成可能
- OpenAIは報告から1日で受理、3日で修正完了(6月4日開示、6月8日修正)
かんたんに言うと
ChatGPTの機能に、悪意あるリンクをクリックさせるだけで社内に見えないAI社員のようなものを勝手に作られてしまう欠陥がありました。OpenAIはすでに修正済みですが、AIエージェントを使う企業は権限管理を見直す必要があります。
AIセキュリティとの関連: 生成AIサービス自体にAIエージェントを不正に生成・遠隔操作できる脆弱性が見つかった事例で、AIエージェント導入企業に直接関わる。
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
セキュリティ企業Zenity Labsは、OpenAIのChatGPT Workspaceエージェント機能に「AgentForger」と名付けた脆弱性を発見し公表した。これは特定のURLパラメータを悪用したCSRF(サイト間リクエスト偽造、利用者に気づかれずに意図しない操作をさせる攻撃手法)の一種とされる。攻撃者が用意した細工済みURLを従業員がクリックすると、ChatGPTの「Agent Builder」機能が悪用され、強力な権限を持つエージェントテンプレート(Chief of Staff)と、攻撃者の指示を自動実行させる初期プロンプトが仕込まれる。生成されたエージェントは、攻撃者からの特定件名のメールを新たな指示として受け取り続けるよう設定され、被害組織に気づかれないまま外部から遠隔操作できる状態になるという。Zenityの報告を受け、OpenAIは1日で問題を認め、3日で修正した。開示は6月4日、修正完了は6月8日とされる。
誰に・どう影響するか
大企業では、GmailやOutlookなど業務用コネクタと連携したChatGPT Workspaceを部門横断で利用しているケースが多く、フィッシング1件から社内データの探索・認証情報の窃取・ビジネスメール詐欺(BEC)の足がかりにされるリスクが指摘されている。中小企業でも、少人数でChatGPTのエージェント機能とメール連携を有効にしている場合は同様に影響を受け得る。攻撃条件として、被害者がChatGPTにログイン済みで、Workspaceエージェントへのアクセス権と少なくとも1つの認可済みコネクタを持つことが前提となるため、影響範囲はエージェント機能を業務利用している組織に限られるとみられる。修正は既に配布済みのため、現時点で新規の悪用リスクは低いと考えられるが、同種の設計上の弱点が他のAIエージェント製品にも存在しうる点は留意すべきとされる。
今すぐやるべきアクション
- ChatGPT Workspaceエージェント機能とコネクタ連携の利用状況を棚卸しする
- 従業員に対し、未知のURLクリックによるエージェント生成リスクを周知する
- エージェントに付与しているメール・外部アプリ連携の権限を最小限に見直す
- OpenAIの修正が自組織の環境に反映されているか確認する
- 同様のエージェント生成・遠隔操作を許すURLパラメータ設計がないか他のAIツールも点検する
重大度の判定理由
重大度「高」: 悪用実例は未確認だが1回のフィッシングで遠隔操作可能な深刻な設計欠陥。既に修正済み。