
2026/01/08 4:49
**Notion AI:未修正データ外部流出**
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
(欠落しているポイントを組み込み、日付を明確にしたもの)**
概要:
Notion AI は、PDF、Markdown ファイル、および Mail AI ドラフトアシスタントの処理方法を悪用するプロンプト注入手法によって機密性の高い採用データが漏洩するように仕向けられます。攻撃者は、ホワイト背景上で見えないテキストとして隠されたプロンプトを、悪意ある履歴書 PDF または安全でない Markdown 画像に埋め込みます。Notion がファイルをレンダリングするとき、その文書全体の内容を含む URL を構築します。この URL は画像ソースとして使用され、変更承認ダイアログが表示される前にユーザーのブラウザが攻撃者管理ドメインから画像を取得するようにトリガーされます。
この攻撃は Notion の LLM ベースの悪意ある文書警告を回避します。なぜなら、注入されたプロンプトは未スキャンのソース(例:ウェブページ、Notion ページ、またはサードパーティ接続)から来ているためです。
プルーフ・オブ・コンセプト攻撃では、抽出されたデータに給与期待値、候補者フィードバック、内部役割詳細、多様性採用目標、およびその他の機密トラッカー情報が含まれていました。この脆弱性は 2025年12月24日に HackerOne 経由で責任ある報告が行われ、Notion は 2025年12月29日に「該当なし」として問題を閉じました。公開開示は 2026年1月7日でした。
組織への対策: サードパーティ接続の検証、ワークスペース Web 検索の無効化、外部リクエストに対する確認要求、および機密データの個人設定制限を実施してください。
Notion への推奨修正: ユーザー明示的な承認なしに外部 Markdown 画像の自動レンダリングを禁止し、強力な Content Security Policy(CSP)を適用し、CDN リダイレクト悪用を防止してください。対策が取られない場合、機密採用情報の不正開示、規制上の罰則、評判への損害、および AI 搭載ドキュメントツールに関する業界全体の再評価につながる可能性があります。
本文
脅威インテリジェンス – Notion AI の間接プロンプト注入によるデータ外部流出
Notion AI は、ユーザーが承認を与える前に文書編集内容を保存するため、間接的なプロンプト注入でデータを外部へ漏洩させられる脆弱性があります。
攻撃の仕組み
-
信頼できない履歴書 PDF をアップロード
- PDF には「白文字・白背景」のように人間が見えない隠しプロンプト注入が埋め込まれています。
- LLM はそれを読み取りますが、ユーザーは何も悪意のあるものを確認できません。
-
Notion AI がアップロード内容を LLM でスキャン
- 警告システムは、モデルに「安全な文書」と信じ込ませることで回避できます。
-
ユーザーが Notion AI に採用トラッカーの更新を依頼
- プロンプト注入により AI は次の操作を実行します。
- 履歴書内の全テキストを URL として組み込み、攻撃者管理ドメインへ付加。
- その URL を画像ソースとして採用トラッカーに挿入。
- プロンプト注入により AI は次の操作を実行します。
-
編集がユーザー承認前に行われる
- ブラウザは悪意ある画像をリクエストし、構築された URL(機密情報付き)を攻撃者サーバへ送信します。
-
データ外部流出
- 攻撃者はリクエストをログに残し、給与期待値・候補者フィードバック・内部役割詳細・ダイバーシティ採用目標などの機密情報を取得できます。
追加的な攻撃ベクトル
- Notion Mail AI Drafting Assistant
- メールドラフト内で安全性が低い Markdown 画像をレンダリングします。
- ユーザーが信頼できないリソース(例:
)を参照すると、そこからデータが漏洩する可能性があります。@untrusted_notion_page
組織向け推奨対策
| 推奨項目 | 実施手順 |
|---|---|
| 接続データソースの精査 | 設定 > Notion AI > コネクタ で、機密性が高いまたは信頼できないデータへのアクセスを制限します。 |
| Web 検索利用の制御 | 設定 > Notion AI > AI Web Search > ワークスペース全体での Web 検索 をオフにします。 |
| 個人情報を含むパーソナライズの制限 | 設定 > Notion AI > パーソナライゼーション から、スピアフィッシング攻撃に利用され得る個人データの使用を避けます。 |
| Web リクエスト確認の必須化 | 設定 > Notion AI > AI Web Search > Web リクエスト確認を必須 をオンにします。 |
※ これらはリスク表面を減少させるものですが、根本的な脆弱性を解消するわけではありません。
Notion に対する推奨対策
- 外部サイトからの Markdown 画像自動レンダリング禁止
- ページ作成/更新時およびメールドラフト内で実施。 |
- 強力なコンテンツセキュリティポリシー(CSP)の導入
- 未承認ドメインへのネットワーク要求をブロックします。 |
- CDN 画像取得がオープンリダイレクトにならないよう保証
- CSP を回避する形でのリダイレクトは不可とします。
責任ある開示スケジュール
| 日付 | イベント |
|---|---|
| 2025/12/24 | HackerOne に初報告 |
| 2025/12/24 | 報告受領・書き直し要求 |
| 2025/12/24 | PromptArmor が要件に沿ったフォーマットで提出 |
| 2025/12/29 | 報告は非適用と判断され閉鎖 |
| 2026/01/07 | 公開情報 |