ChatGPTの個人情報漏洩をOpenAIが発表!対象ユーザーや影響範囲、原因は？
ChatGPTの開発元であるOpenAIが、日本時間2023年3月25日にChatGPTで個人情報漏えいを発表しました。
個人情報漏えいが起きたのはアメリカ時間の3月20日午前1時から10時までです。
この時間帯にChatGPTのサービスが一時的に利用できなくなる障害が起きていました。
個人情報漏えいにつながる事象が起きていたため、ChatGPTを停止していたようです。
ChatGPTで発生した個人情報漏えいについて、個人情報が漏れてしまった対象ユーザーの範囲と、なぜ起きてしまったか原因と対策を解説します。
OpenAIがChatGPTの個人情報漏洩を発表
日本時間2023年3月25日に、OpenAIがChatGPTで個人情報漏えいが起きていたことを発表しました。
OpenAIの公式ブログで、個人情報漏洩の詳細が説明されています。
アメリカ時間の3月20日午前1~10時に個人情報が漏洩してしまう事象が発生していたようです。
ちょうど日本時間で午後6時頃にはChatGPTのサービスが短時間停止していました。
OpenAIの発表によると、個人情報漏洩が発生していたため、サービスを停止していたとのことです。
個人情報漏洩の対象はChatGPT Plus加入者
ChatGPTで個人情報漏洩は、有料版のChatGPT Plusに加入していたユーザーが対象です。
ChatGPT Plusを利用していない無料ユーザーへの影響はありません。
有料版のChatGPT Plusユーザーは、サブスクリプション管理画面にアクセスできます。
管理画面では、クレジットカードの下四桁や名前、住所が表示されています。
これらに加えて登録メールアドレスの4つが個人情報として漏洩した情報です。
本来ChatGPT Plusユーザーは自分の情報が表示されるはずが、別のユーザーの情報が表示されて個人情報漏洩しました。
※クレジットカード番号は下4桁のみのため、クレカ悪用は起きません。
ChatGPT Plusの約1.2%が個人情報漏洩の可能性
どれぐらいのChatGPT Plusユーザーが個人情報漏洩の対象だったか、気になるポイントです。
OpenAIによると、ChatGPT Plusユーザーの約1.2%が対象だったとのことです。
該当のユーザーで20日の午前1時から10時までにさきほどのサブスクリプション管理画面を表示すると発生していました。
そのため、約1.2%のユーザーのうち、10時間の間に管理画面を表示したユーザーのみのため、実際に個人情報が見られてしまった数はさらに少数です。
個人情報漏洩の影響があったChatGPT PlusユーザーにはOpenAIから個別連絡が行われているとのことです。
ChatGPTの個人情報漏洩の原因は？
なぜChatGPTで個人情報漏洩が起きてしまったのでしょうか？
その原因はChatGPTが利用しているデータベースシステムのライブラリにバグがあったためです。
技術的な個人情報の漏洩の原因について、OpenAIが説明しています。
当該の英文をDeepLで日本語に翻訳してみました。
このバグは、Redisクライアントのオープンソースライブラリであるredis-pyで発見されました。バグを特定するとすぐに、私たちはこの問題を解決するためのパッチをRedisのメンテナに連絡しました。バグの仕組みは以下の通りです：
- 私たちはRedisを使ってユーザー情報をサーバーにキャッシュし、リクエストごとにデータベースをチェックする必要がないようにしています。
- この負荷を複数のRedisインスタンスに分散させるために、Redis Clusterを使用しています。
- Asyncioで動作するPythonサーバーからRedisに接続するために、redis-pyライブラリを使用しています。
- このライブラリは、サーバーとクラスタ間の接続の共有プールを維持し、一度完了した接続を別のリクエストに使用するために再利用します。
- Asyncioを使用する場合、redis-pyのリクエストとレスポンスは2つのキューとして動作します：呼び出し側はリクエストを受信キューにプッシュし、送信キューからレスポンスをポップし、その後接続をプールに返します。
- リクエストが着信キューにプッシュされた後、応答が送信キューからポップされる前にキャンセルされた場合、私たちはバグを発見しました。
- ほとんどの場合、これは回復不可能なサーバーエラーとなり、ユーザーはリクエストを再試行する必要があります。
- しかし、場合によっては、破損したデータが、要求者が期待していたデータ型と一致し、キャッシュから返されたものが、たとえそれが別のユーザーのものであっても、有効に見えることがある。
- 3月20日（月）午前1時（太平洋時間）、私たちは不注意にもサーバーに変更を加え、Redisのリクエストキャンセルの急増を招きました。これにより、各接続が不良データを返す確率がわずかに発生しました。
このバグは、Redis Cluster用のAsyncio redis-pyクライアントでのみ発生し、現在は修正されています。
バグによって、別のユーザーに見えるようになり、OpenAIがChatGPTにサービスに変更を加えたことで、別ユーザーの個人情報が表示される事象が発生してしまったとのことです。
このようにデータベースライブラリのバグがあったことに加え、OpenAIがサーバーの設定変更したことが個人情報漏洩の原因です。
なお、すでにバグは修正済みとなっており、ChatGPT Plusで個人情報漏洩対策は完了済みです。
別ユーザーのチャット履歴が見える事象も
なお、ChatGPTの個人情報漏えいのタイミングでは、別のユーザーのチャット履歴が見えるようになる事象も発生していました。
サービス画面ではChatGPTとの過去のやり取りの履歴を確認できます。
しかし、自分の会話履歴ではない、別のユーザーの履歴が見えるようになってしまっていたようです。
ChatGPT自体が多くのユーザーが利用するサービスのため、こうしたバグによる不具合や障害、さらには個人情報漏洩のインシデントは今後も起こり得ることが推測されます。
まとめ・終わりに
今回、ChatGPTで個人情報漏洩が起きていたことを紹介しました。
2023年3月25日にOpenAIがChatGPTで個人情報漏洩があったことを発表しました。
発生時間はアメリカ時間3月20日の午前1時～10時で、有料版のChatGPT Plusユーザーが対象です。
サブスク管理画面で、別のユーザーの名前や住所、クレカの下4桁が見えるようになり個人情報が漏洩していました。
原因はChatGPTが利用するデータベースのライブラリのバグで、現在対応済みで個人情報漏洩は発生していません。
個人情報漏洩が起きていた場合にはOpenAIから連絡が来ているので、登録アドレスに来ていないか確認しましょう。