Engadgetによると、OpenAIのChatGPTデスクトップアプリ for Macで、セキュリティ侵害が発生しました。とはいえ、ここでいきなり「ユーザーの会話が全部漏れた！」と身構える必要はなさそうです。OpenAIは、ユーザーデータがアクセスされた証拠は見つかっていないと説明しています。
今回影響を受けたのは、社内の社員2名のデバイスだったとのこと。つまり、一般ユーザーのMacが直接やられた、という話ではありません。ここはまず安心材料です。
ただし、だからといって「たいしたことない」と切り捨てるのも違います。こういう話は、被害の広がりが小さいうちに止められたのかが重要で、OpenAIはその点では迅速に対応したようです。
記事によると、今回のきっかけはopen-source libraryに関わるセキュリティ問題です。
open-source libraryとは、ざっくり言えばみんなで使い回せる部品集みたいなものです。アプリ開発では便利ですが、ひとつの部品に問題があると、そこを使っている別のシステムにも火の粉が飛ぶことがあります。
正直、この仕組みは便利さと危うさが表裏一体だなと思います。
「車輪の再発明をしなくて済む」というメリットがある一方で、有名な部品が壊れると、広範囲に影響が出ることがあるからです。今回もまさにそのタイプの話です。
OpenAIは、問題を見つけたあとに調査・封じ込め・保護の措置を急いで行ったと説明しています。さらに、第三者のデジタルフォレンジックとインシデント対応企業を雇って、何が起きたのか詳しく調べているとのことです。
デジタルフォレンジックは、簡単に言えばデジタル版の調査・証拠解析です。事故現場を片付ける前に、何が起きたかを丁寧に追うイメージですね。
OpenAIは、限定的な credential material（認証情報の一部）だけが流出したとしています。
credential materialというのは、アカウントやシステムに入るための合鍵の材料みたいなものです。全部が抜かれたわけではない、というニュアンスです。
さらに重要なのは、OpenAIが
と説明している点です。
ここはかなり大事で、もし本当にユーザー会話や個人情報が抜かれていたなら、話はかなり重くなります。現時点ではそこまでには至っていない、というのが公式説明です。
もちろん、セキュリティの世界では「今のところ証拠なし」と「絶対に無傷」は別物なので、油断は禁物です。でも、少なくとも現時点の情報では、被害は社内に限定されている可能性が高いと見てよさそうです。
Macユーザーには、アプリのアップデートが配信中です。
ただし、すべてのユーザーにすぐ届くわけではなく、6月12日までに順次行き渡るとのこと。
なので、MacでChatGPTデスクトップアプリを使っている人は、アップデート通知が出たらすぐ適用するのがいちばんです。セキュリティ系の更新は、後回しにしても得することがほぼありません。むしろ放置すると損です。
一方で、WindowsやiOSのユーザーは対応不要とされています。
これは地味に大きい情報で、対象プラットフォームが限定されているのは安心材料です。
個人的に気になったのは、このMac版アプリは2024年にもセキュリティ問題があったという点です。
そのときは、ユーザーの会話がplain text（暗号化されていないそのままの文字列）でローカル保存されていた、つまり端末内に平文で残っていたという話でした。
平文保存はかなり気になります。たとえるなら、日記を鍵付きの引き出しではなく、机の上にそのまま置いておくようなものです。誰かに端末を触られたら、内容を見られるリスクが上がります。
今回の件と直接つながるかは別として、Mac版ChatGPTアプリは安全面でちょっと落ち着かない印象があるのは正直なところです。
人気サービスだからこそ狙われやすい、という面もあるでしょうし、開発スピードが速い製品はどうしてもセキュリティ管理が後追いになりやすいのかもしれません。これは推測ですが、そういう構図は十分ありそうだと思います。
今回のニュースは、見出しだけ読むとかなりドキッとします。
でも実際には、ユーザーの会話や個人情報が流出した証拠は今のところない、というのが重要なポイントです。
とはいえ、セキュリティ問題で本当に大事なのは「漏れたかどうか」だけではありません。
漏れる前に止められたか、影響範囲をどこまで限定できたか、その後にちゃんと改善されるかが本番です。
個人的には、今回のように「被害は限定的」「調査中」「アップデート対応あり」というケースでも、ユーザー側はアプリ更新を面倒がらずにやる習慣をつけるのが一番の防御だと思います。安全対策って地味ですが、結局いちばん効くんですよね。
参考: The ChatGPT desktop app for Mac just got hit with a security breach - Engadget
