ChatGPT がコンネクター間でデータを静かにやり取りし、賞金稼ぎが身分証明書を狙っています。

2026/11/07 7:50

ChatGPT がコンネクター間でデータを静かにやり取りし、賞金稼ぎが身分証明書を狙っています。

RSS: https://news.ycombinator.com/rss

要約▶

Japanese Translation:

2026 年 11 月 5 日、重大なセキュリティ欠陥により、ChatGPT はフォローアップツール呼び出しを不正なコンネクター経由で静かにルーティングし、ユーザーの安全性境界を迂回しました。この問題は、単一のユーザーアカウントが別々のコンネクター(Connector A(開発者モード)および Connector B(アプリディレクトリ))を同じ MCP サーバーにリンクさせたときに発生しました。バックエンドは共有されていますが、各コンネクターには独自の OAuth クライアントが存在しており、動作中にこれら異なる信頼領域が誤って統合されました。

この脆弱性は、セキュリティ境界が基盤となるサーバー URL ではなく、特定のコンネクター ID とその OAuth クライアントによって定義されたために現れました。アクションに対するユーザー確認は Connector A のウィジェット経由で生成されましたが、フォローアップ呼び出しが Connector B を介してルーティングされると、これらのコードを元のクライアントを検証せずに受け入れます。したがって、機密データが明示的なユーザー同意なしにアプリケーション間を流動くすることができます。コンネクターが同じプロバイダーまたは MCP サーバー URL を共有しても、URL だけに依存すると危険な脆弱性が発生するため、セキュリティは特定のコンネクターとその独自の OAuth クライアントに厳密に紐付ける必要があります。この行動により、共有エンドポイントにもかかわらず、別々の OAuth グラントを有するアプリケーション間で不正なデータ転送が可能になります。

本文

MCP コネクター切り替えによる認証境界侵害リスクと対応事例

概要

2 つのコネクター(連携ツール)が同時に有効化された会話において、ChatGPT がフローを開始したコネクターとは異なる別のコネクターを使ってフォローアップのツールコールを実行しました。

  • ユーザーにはこの切り替えについて一切通知されませんでした。
  • 実行されたコールには、最初のコネクターから発行されたワンタイム確認コードが含まれていました。

環境設定

以下の条件が再現されています:

  • 1 つの ChatGPT アカウントで、同一の MCP サーバーに接続する 2 つのコネクターが有効化。
  • コネクター A:開発者モードで追加されたカスタムコネクター。
  • コネクター B:アプリディレクトリから公開されている標準アプリ。
  • 両コネクターは独立した OAuth クライアントを持ち、サーバー側では同一ユーザーに対して2 つの異なるクライアントとして認識されています。

問題発生手順

  1. 両コネクターが有効化された会話において、ユーザーの確認が必要なアクションをリクエストする。
  2. モデルは確認ツールをコールし、コネクター A を通じて MCP Apps ウィジェットを表示。ユーザーが承認すると、ウィジェットからワンタイム確認コードが
    ui/message
    経由で会話に送信される。
  3. モデルはそのコードを使用してフォローアップコールを実行する際、静かに(silenciously)コネクター A を回避し、コネクター B を経由させる処理が行われる。

結果とサーバー側の挙動

  • サーバーはコールを拒否。これは確認コードがコネクター A の OAuth クライアントにバインドされているためです。
  • コードの詳細なログ分析から、以下の手順で試みが行われたことが判明:
    • 確認コードは コネクター A 経由で承認(確認)された。
    • 同コードが コネクター B 経由で換金(redeem)を試みた。
  • ユーザーには切り替えの事実は告知されず、この試みはすべて失敗した。

なぜこれが問題なのか

  • ユーザーはコネクター A でフローを開始し、同ウィジェットで承認を行うが、フォローアップコールは知らぬうちにコネクター B へルーティングされる。
  • 各コネクターは独立した OAuth グラントを持つため、この「静かな切り替え」はユーザーの同意を得ずにアプリ間をデータが横断する状態を招く。
  • 今回のケースでは両コネクターが同一プロバイダーのためサーバーでブロックされたが、サードパーティのコネクターも有効化されている場合、「静かな切り替え」によってアプリのデータが別のプロバイダーへ渡される可能性は依然存在する。
  • 共有されている MCP URL だけで 2 つのコネクターを同一のものとして扱うことはできない。URL ではなく、独立した OAuth クライアントを持つコネクターそのものが境界線となる。

期待される動作(正しい実装)

  • ツールコールは MCP サーバーの URL ではなく、OAuth クライアントに基づいてコネクターに紐付ける必要がある。
  • フォローアップコールは、フローを開始した同じコネクターおよび OAuth クライアントを経由すべきである。

AldiPower 様への謝辞と分析

事例の共有へのご礼

AldiPower 様にはご明確な事例の共有をいただき感謝申し上げます。特に以下の点が重要です:

  • ツール選択と認証継続性の区別についてご指摘いただいた点。
  • サーバー側の保護措置が機能し、コネクター A の OAuth クライアントにバインドされた確認コードに対して、コネクター B からの換金試行が拒否された事実。

残される懸念とアーキテクチャ上の要件

しかし、コールの拒否自体が根本的な問題を解消するものではありません。ユーザーに知らせず別の経路をたどられる事実は看過できません。 より健全なアプローチとして以下が必要です:

  • 待機中の処理および承認を、元のコネクターおよび検証済みの OAuth グラントにバインドする。
  • 承認または実行中の状態で、自動的なコネクター切り替えを禁止する。
  • コネクターを変更する必要がある場合は、明示的なユーザーの同意を求める。
  • サーバー側で、短期有効な確認コードが意図された操作、クライアントアイデンティティ、および認証コンテキストと一致するか厳密に検証する。
  • 機密となる情報を晒さずに、コネクタールート決定を診断トレース(diagnostic traces)に記録する。

責任の分離について

  • MCP サーバー:認証の実行を担当。
  • クライアントサイドのオーケストレーション層:ワークフローで選択されたコネクターの保持を担当すべき。

根本原因の特定に向けた問いかけ

トラース(Trace)の確認結果次第で原因が異なります:

  • 承認処理中にコネクターアイデンティティが変更されたのか?
  • それとも、モデルがフォローアップツールのコールを選択した際に変更されたのか?

認証境界に関わるため、公的議論のみに依存するだけでは不十分です。技術的証拠を提出し、**OpenAI の「協調的な脆弱性情報開示プロセス(CVD)」**を通じて報告することを強くお勧めします。


追記:バグ Bounty プログラムへの対応状況

個人が OpenAI のバグ Bounty プログラム経由で報告しようと試みました。しかし、以下の理由によりレポート提出を断念しました:

  • レポート提出前に、生物認証情報や身分証明書の個人データを提供することを要求された。
  • 第三者に対して、何もしない段階でこれらを提供するのは許容しがたい。

したがって、バグ Bounty プログラムへの報告は行いませんでした。

同じ日のほかのニュース

一覧に戻る →

2026/11/07 4:48

Opus に助けてもらうことができる Jev は、コストを 1/4 に抑えつつ Opus の精度を実現します。

## Japanese Translation: ハイブリッド AI アーキテクチャの識別解決における核心的な利点は、低コストの決定モデルを高精度の frontier モデルと組み合わせることで、トップクラスの性能を維持しながら経費を大幅に削減できる点にあります。誤字や双子、兄弟といった不確実で困難なケースを含むレコードを、Opus などの強力な大規模言語モデル (LLM) にルーティングするこのアプローチにより、スタンドアローンシステムに見られる過信エラーを排除します。個体識別(記録を重複なしに単一の個人にマッピングすること)において、ハイブリッドシステムは全てのレコードに対して高価な frontier モデルを実行する場合に比べ、運用コストを 4 倍以上削減します。Jev や Luna のような決定モデルは、frontier LLM に比べて最大 90 倍も低く、1,000 件のアイデンティティあたり約 0.05〜0.10 ドルで提供され、設定だけで約 0.15 秒で回答を返します。標準的な LLM は日常業務においてレイテンシと高料金を苦にしますが、ハイブリッド戦略は迅速性を保つために安価な決定ツールを活用し、信頼性が低い場合にのみプレミアムモデルを呼び出します。この「2 段階」のアーキテクチャは、困難なデータ課題に対しても堅牢さを保証します。簡単なテストでは Luna が Jev をわずかに上回りますが、難しいベンチマークでは性能差が消え、ハイブリッド Jev はハイブリッド Luna(1,000 件あたり 1.15 ドルで 91.6% の精度)を上回り、2.94 ドル/1k で 95.3% の高精度を達成します。将来の展開においては、高コストモデルのみへの依存よりもこの混合戦略を優先すべきです。それは、大規模データ管理において frontier レベルの精度を実現すると同時に、著しく高速な処理速度と低い財務負荷を提供するからです。テストデータは、ワシントン大学の Institute for Health Metrics and Evaluation から提供される「pseudopeople」ツールを用いて生成され、例示に実際の人物は一切含まれていません。 ## Text to translate: The core advantage of hybrid AI architectures for identity resolution lies in combining low-cost decision models with high-accuracy frontier models to drastically cut expenses while maintaining top-tier performance. By routing uncertain or difficult cases—such as those involving typos, twins, or siblings—to powerful large language models (LLMs) like Opus, this approach eliminates overconfidence errors common in standalone systems. In identity resolution—mapping records to single individuals without overlaps—hybrid systems reduce operational costs by more than four times compared to running expensive frontier models for every record. Decision models such as Jev and Luna are up to 90× cheaper and over 10× faster than frontier LLMs, costing $0.05–$0.10 per 1,000 identities and answering in about 0.15 seconds out of the box. While standard LLMs struggle with latency and high fees on routine tasks, hybrid strategies leverage cheap decision tools for speed, invoking premium models only when confidence is low. This "two-tier" architecture ensures robustness even against difficult data challenges. On easier tests, Luna slightly outperforms Jev, but on harder benchmarks the performance gap disappears and hybrid Jev achieves 95.3% accuracy at $2.94/1k, surpassing hybrid Luna's 91.6% accuracy at $1.15/1k. Future deployments should prioritize this mixed strategy over relying solely on high-cost models, as it delivers frontier-level accuracy with significantly faster processing speeds and lower financial overhead for large-scale data management. Test data was generated using the "pseudopeople" tool from the Institute for Health Metrics and Evaluation at the University of Washington, ensuring no real people appear in examples.

2026/11/07 5:27

AI が AI 研究を劇的に加速している

## Japanese 翻訳: Anthropic の最新の報告書(S1)は、AI の開発が直ちに「責任あるスケーリングポリシー」(RSP)によって定義される臨界点に達することを示しています。この「劇的に加速した進歩」は、AI システムが自身の研究開発を自動化することによって引き起こされており、計算資源またはその他の入力による歴史的な成長率よりも能力向上が 2 倍速く達成されています。深層アクセス調査では、2025 年 10 月から 2026 年 10 月までの間に Anthropic の能力が前年と比較して約 2 倍の速度で進化したことが確認されました。しかし、多くの証拠資料が削除されており、科学的な外部検証を妨げています(研究者は生データを検査したりモデルを検証したりできません)。 AI の自動化は計算リソース乗数で約 2〜3 倍のスピードアップをもたらしますが、そのような進歩のペースを維持するために研究職の労働力を約 4〜9 倍(あるいは最大約 10 倍)増やす必要性を生み出します。国家レベルのデータ窃取を防ぐために設計された現在の安全性基準は、すでに OpenAI や Anthropic という大手企業が breach(突破)しており、分野全体が脆弱化しています。即時かつ堅牢なロギング、監視、共謀への対抗策、原則に基づいたアライメント訓練、ガバナンスインフラの導入を行わない限り、このフィードバックループは 1 年以内に極端な超知能の実現を可能にし、その後進歩を指数関数的に加速させます。もしボトルネックなしで誤整合したシステムがこの状態に至れば、人類文明を圧倒できる新たな兵器を急速に開発することが可能です。したがって、業界は現時点でこれらの不可欠なガバナンス要件を満たしておらず、特定のインフラストラクチャ対策が直ちに導入されない場合、壊滅的な結果につながる高いリスクがあります。

2026/11/07 4:33

ファイアクラッカーVMエスケープ:PwnEscape パート2

## Japanese Translation: 重要なセキュリティの突破が明らかとなり、Firecracker ハイパーバイザーを迂回してホストシステムで完全な root アクセスを取得できることが、CVE-2026-99999 として追跡されています。このエクスプロイトは、拡張ページテーブル(EPT)の解決、ホストのページテーブルへの逆マッピング、ASLR 下でのバイナリに対するイメージマッピング、そしてアクティブな `pt_regs` 構造体の所在を特定する「4 つのリゾルブ段階」に依存し、KVM_RUN から直ちに戻った生きている vCPU スレッドをハイジャックします。この復帰中に保存されたレジスタを変更することで、研究者たちは隔離から脱出し、管理者権限でコードを実行することに成功しました。特筆すべきは、攻撃がペイロードの配信後に一時スタック語を復元する可逆的な手順を含んでいることであり、その結果、Firecracker インスタンスは通常通り実行され続け、SSH アクセスも保持されており、侵害されているにもかかわらず機能的と見なされます。特定バージョンの Firecracker とホストカーネルでテストされたこの概念実証(PoC)は、jailer プロセスを必要とせずに、ホストメモリおよびプロセス制御を直接操作できることを示しており、unjailered インスタンスが脆弱であることを実証しています。

ChatGPT がコンネクター間でデータを静かにやり取りし、賞金稼ぎが身分証明書を狙っています。 | そっか~ニュース