ChatGPT が SSRF 脆弱性を悪用したカスタム GPT を使用してハッキングされる

OpenAIの大規模言語モデルChatGPTは、今週初めに研究者によってカスタムGPTの「アクション」機能内に発見されたセキュリティ上の欠陥を修正しました。研究者によると、攻撃者はサーバーサイドリクエストフォージェリ（SSRF）のバグを悪用し、AIモデルのクラウド内の内部dent情報を漏洩させる可能性がありました。.

オープンセキュリティエンジニアでありバグハンターでもあるSirLeeroyJenkins氏は、初めてのカスタムGPTを作成中にSSRF脆弱性の存在を「察知」しました。アクション機能を使用すると、ユーザーはOpenAPIスキーマを使用して外部APIを defiし、AIが気象データの取得などの特定のタスクを実行する際にそれらを呼び出すことができます。.

SirLeeroyJenkins氏は自身のAPIをテストしていた際、システムがユーザー指定のURLからデータを返すことを発見しました。この動作に不安を感じた彼は、SSRFの問題の可能性を疑い、さらにテストを実施しました。.

「この機能がユーザーが指定したURLからデータを返す可能性があることに気づいた瞬間、ハッカーの本能が働き始めました」と彼は語った。「SSRFをチェックせざるを得ませんでした。」

SSRF の脆弱性によりカスタム GPT が安全でなくなる可能性がある 

今週初めに公開されたジェンキンスのMedium記事で説明されているように、サーバーサイドリクエストフォージェリ（SSF）は、アプリケーションを騙して意図しない宛先にリクエストを送信させるWebの脆弱性です。アプリケーションがユーザーから提供されたURLを適切に検証しない場合、攻撃者はサーバーのアクセス権限を利用して内部ネットワークやクラウドメタデータサービスに侵入することができます。

SSRF は 2021 年に OWASP トップ 10 リストに載るほど蔓延しており、クラウド環境における安全でないデフォルト構成によって重要なシステムが危険にさらされる可能性があるため、潜在的な被害が拡大しています。.

ジェンキンス氏は、SSRFには主にフルリード型とブラインド型の2種類があると説明しました。フルリード型SSRFは、標的のサービスから攻撃者に直接データを返します。一方、ブラインド型SSRFはレスポンスを開示しませんが、タイミングベースのポートスキャンなどを通じて内部サービスとのやり取りを可能にします。.

を保存するAzureのインスタンスメタデータサービス（IMDS）にAPI URLを向けることで、脆弱性をテストしたdentが必要となる Metadata: True ため、最初の試みで要求されたヘッダーを提供できなかったことに彼は驚いた。

カスタムGPT機能は当初、HTTPS URLを強制していたため、このエクスプロイトをブロックしました。Azure IMDSはHTTP経由で動作しますが、カスタムGPT機能はHTTPS URLを強制していました。外部HTTPSエンドポイントから内部メタデータURLへの302リダイレクトを使用して、サーバーはリダイレクトに従いました。しかし、Azureは必要なヘッダーがないアクセスをブロックしました。.

「サーバーは302リダイレクトに従ったため、内部メタデータURLからのレスポンスを返しました。これでミッション完了、ですよね？ 違います。メタデータサービスからのレスポンスは、必要なヘッダーが設定されていないことを示していました」とSirLeeroyJenkins氏は指摘しました。.

レスポンスの調査を続けた後、この機能では任意の名前を付けられるカスタムAPIキーが許可されていることがわかりました。彼は、メタデータサービスへのGPTアクセスを許可するために必要なヘッダーが挿入された、値trueを持つキーMetadata の名前を試しました。

ジェンキンス氏はすぐに OpenAI の Bugcrowd プログラムに脆弱性を報告し、この問題には高い重大度が割り当てられ、その後修正プログラムが適用されました。.

また、Open Security 社は以前、セキュリティ監査のために大手グローバル金融機関の脆弱な請求書生成機能を悪用するために、このタイプの SSRF 攻撃チェーンを使用していたとも述べています。.

OpenAI、バージョン5.0の混乱を経てGPT-5.1をリリース

ChatGPT関連のニュースとして、OpenAIはGPT-5.1のリリースを発表し、バージョン5.0からいくつかのアップデートを行い、指示に従う能力と適応推論能力を向上させたと謳っている。. 

「GPT-5.1がリリースされました！素晴らしいアップグレードです。特に、指示に従う能力と適応思考力の向上が気に入っています。知能とスタイルの向上も素晴らしいですね」と、CEOのサム・アルトマン氏は水曜日の夜遅くにXに書き込みました。

テクノロジーライターのメフル・グプタ氏は、GPT-5.1を前身のGPT-5と比較テストし、 GPT-5は洗練されていて役に立つものの、単純なタスクを過度に複雑にしてしまうことがあると指摘した。GPT-5.1のインスタントバージョンは、理解力が向上し、微妙な適応的な間合いによって、より「文脈を意識した」応答が得られるとされている。

あるテストで、グプタ氏は両方のモデルに6語で回答するよう指示しました。GPT-5は過剰な説明を試みましたが、GPT-5.1は簡潔で正確な回答を返しました。. 

アルトマン氏はまた、デフォルト、フレンドリー、効率的、プロフェッショナル、率直、または奇妙な 7 つの新しいプリセットが追加されたが、ユーザーはそれを「自分で調整する」こともできると発表しました。