CyberSecurityAction

サイバー攻撃トレンド

ChatGPTに仕込まれた命令がGmailデータを盗み出す脆弱性

セキュリティ研究者がChatGPTのプロンプトインジェクション攻撃を実証。会話に紛れ込ませた悪意ある命令が、ユーザーのGmailデータを攻撃者のアカウントへ密かに転送できることが明らかになりました。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
ChatGPTに仕込まれた命令がGmailデータを盗み出す脆弱性

THREAT GAUGE算出基準

IMPACT（影響範囲）7.5
URGENCY（対応緊急度）7.0
EXPLOIT（悪用の容易さ）6.5

“外部ツール連携時のみ成立するが、Gmail連携は広く普及”

01 · Overview

ニュースの概要

セキュリティ企業Check Point Researchは2026年9月8日、ChatGPTの会話に悪意ある命令（プロンプト）を一行埋め込むだけで、ユーザーが気づかないうちにGmailのデータが攻撃者のアカウントへ横流しされる攻撃手法を実証しました。

この攻撃は「プロンプトインジェクション」と呼ばれる手法の応用です。AIが処理するテキストの中に、ユーザーではなく攻撃者の意図した指示を紛れ込ませることで、AIを乗っ取ったように動かします。

Check Pointの概念実証（PoC）では、ChatGPTの会話内に仕込まれた隠し命令が、ユーザーのGmailアカウントに接続してデータを読み取り、隠れたチャンネルを通じて別のChatGPTアカウントへ送信することが示されました。表面上はChatGPTが普通に質問へ回答しているため、ユーザーは何も気づかないまま情報が漏れる仕組みです。

GmailとChatGPTを連携させて使っているユーザーは特に注意が必要です。日本でもビジネス用途でGmailとAIツールを組み合わせて使う企業・個人が増えており、同様のリスクにさらされる可能性があります。

攻撃手法
プロンプトインジェクション
発見者
Check Point Research
標的データ
連携中のGmailアカウント
情報の送り先
攻撃者の別ChatGPTアカウント
ユーザーへの通知
なし（気づかずに漏洩）

情報源: The Hacker News（2026年9月8日付）/ Check Point Research レポートをもとに構成

02 · Analysis

詳細な原因解説

根本的な原因は、ChatGPTが「ユーザーからの命令」と「会話内のテキストに混入した命令」を確実に区別できないアーキテクチャ上の課題にあります。AIは与えられたテキスト全体をコンテキストとして処理するため、悪意あるテキストが入り込むと、それも正規の命令として実行してしまうリスクがあります。

外部サービスとの連携機能（ここではGmail）が攻撃の被害を大きくする要因です。AIが外部ツールへのアクセス権限を持つことで、データの読み取りや送信という実害に結びつきます。AI単体ではデータを持ち出せなくても、連携アプリを踏み台にすることで深刻なデータ漏洩につながります。

「隠しチャンネル」を通じた情報の外部転送という点も見逃せません。攻撃者は別のChatGPTアカウントを受け取り先にすることで、通常の通信ログには記録されにくい経路でデータを持ち出します。これにより、従来のセキュリティ監視ツールでの検知が難しくなります。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

Substitute（代替）：Gmailを別サービスに置き換えたら？

攻撃者がGmailの代わりに別のツール（カレンダー・Slackなど）を標的にした場合、脅威はどう変わるか？

今回の実証はGmailを対象としていましたが、ChatGPTが連携できる外部サービスはカレンダー・Slack・OneDriveなど多岐にわたります。プロンプトインジェクション自体はAI側の問題であるため、連携先を変えても同様の攻撃が成立しうると考えるべきです。特に業務チャットツールや社内ファイルストレージと連携している場合、漏洩情報が機密性の高い企業データになるリスクがあります。防御策としては、AIに連携させるサービスを必要最小限に限定し、定期的に棚卸しすることが効果的です。

Adapt（応用）：この手法はどう応用・拡張されうるか？

攻撃者がこの手法をより高度化・自動化するとしたら、どのようなシナリオが考えられるか？

今回の手法は「会話に命令を仕込む」という比較的シンプルなものですが、応用の余地は広いです。たとえば、ウェブサイトやPDFに不可視テキストでプロンプトを埋め込み、ユーザーがAIに要約させた瞬間に発動させる「間接プロンプトインジェクション」への拡張が想定されます。日本のビジネス環境でも、取引先から受け取った資料をAIで要約・翻訳する機会が増えているため、外部由来コンテンツをAIに処理させる際のリスク管理が急務です。

信頼の連鎖：AIへの権限委譲が生む新しいリスク構造

ユーザー・AI・外部サービスの三者が連携する構造において、どこに最も脆弱な結節点があるか？

従来のサイバー攻撃は「ユーザー→サービス」の二者間が中心でしたが、AI連携の普及により「ユーザー→AI→外部サービス」という三者構造が生まれました。この構造では、AIが信頼の中継地点となるため、AIを騙すことがそのまま外部サービスへの不正アクセスに直結します。ユーザーはAIを信頼し、外部サービスはAIからの要求を正規のものとして受け入れる——この「暗黙の信頼の連鎖」こそが攻撃者の悪用する隙間です。セキュリティ設計では、AIを単なる便利ツールではなく「権限を持つエージェント」として捉え直す必要があります。

フィードバックループ：AI活用普及が脅威面を拡大する構造

AI外部連携の普及と攻撃手法の高度化はどのように相互に影響し合うか？

AIツールの利便性が高まるほど外部サービスとの連携が増え、連携が増えるほど攻撃者が悪用できる経路が広がる——という正のフィードバックループが形成されています。企業がDXや業務効率化のためにAIを積極導入すればするほど、プロンプトインジェクションのリスク面が拡大します。このループを断ち切るためには、技術的な修正（AIのセキュリティ強化）と組織的な対応（利用ポリシーの整備）の両輪が不可欠です。セキュリティを後付けで考えるのではなく、AI導入の計画段階からリスク評価を組み込む文化が求められます。

AI外部連携を安全に使うための実践的防御策

最も効果的な防御は「最小権限の徹底」です。ChatGPT等のAIツールに付与するGmailやカレンダーの権限は、実際に必要な操作（読み取り・書き込みなど）と範囲（全メール vs 特定ラベルのみ）を絞り込んでください。広すぎる権限は攻撃成功時の被害を拡大させます。

企業のセキュリティ担当者は、従業員が業務で使用しているAIツールとその連携サービスを一覧化し、定期的な棚卸しと権限レビューを実施することを推奨します。野良ツール（IT部門未承認のAIサービス）への無制限な業務データ連携は特にリスクが高いと認識してください。

06 · AI Prompt

AI対策プロンプト

あなたは企業のIT・セキュリティ担当者です。以下の条件をもとに、社内向けのセキュリティ注意喚起メールの文章を作成してください。 【組織情報】 - 組織名: [組織名] - 従業員規模: [従業員規模] - 業種: [業種] 【状況】 ChatGPTなどのAIツールに悪意ある命令（プロンプト）を仕込み、連携しているGmailなどのデータを攻撃者へ横流しする「プロンプトインジェクション」攻撃の手法が研究者によって実証されました。 【メールの要件】 - 対象読者: [技術的知識のレベル（例: 非技術者中心 / 全社員）] - メール本文は200〜300字程度の簡潔な日本語で - 従業員に取ってほしい具体的な行動を2〜3点箇条書きで記載 - 不安を煽らず、落ち着いたトーンで 上記の条件で注意喚起メールを作成してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

注意喚起メールを送る組織・会社の名称

組織の従業員数またはおおよその規模感

組織の業種・事業内容

メールの受信者の技術的知識の水準

キーワード

  • プロンプトインジェクション
  • ChatGPT
  • Gmail
  • AIセキュリティ
  • Check Point Research

SOURCES · 参考情報源