AIにメールやファイルを「読み取り専用」で連携しても情報は漏れる？

ネット・WEB

ChatGPTなどのAIにGmailやGoogle Driveを連携すると、メールの要約やファイルの検索が便利になります。

ただ、個人情報や仕事の書類が入っているアカウントを、そのまま連携してよいのかは気になるところです。

メールの送信やファイルの編集を許可せず、「読み取り専用」にしておけば安全なのでしょうか。

結論から言うと、読み取り専用は有効な安全対策ですが、それだけで情報漏えいを完全に防ぐことはできません。

実際に、ChatGPTがGmailから取得した情報を、メール送信機能を使わずに別のアカウントへ渡した攻撃実証があります。

ただし、その攻撃で使われた具体的な脆弱性はすでに修正されており、現在のChatGPTでも同じ攻撃が成功するという話ではありません。

では、読み取り専用で何を防げて、ほかに何を確認すればよいのでしょうか。

読み取り専用なら、何ができなくなる？

読み取り専用とは、メールやファイルの内容を取得できても、連携元のデータを変更する操作は許可しない状態を指します。

例えば、Google Driveへのアクセスが読み取り専用に限定されていれば、ファイルの内容を確認できても、その権限だけで編集・削除することはできません。

Gmailでも、メールの閲覧に限定した権限と、作成・送信まで許可する権限は区別されています。

このような権限の制限には、不正な操作を防ぐ効果があります。

ただし、読み取り専用で制限できるのは、あくまで連携元に対する操作です。AIが取得した情報を別の通信手段で外部へ送ることまでは防げません。

メールの送信が禁止されていても、AIが外部サイトへのアクセスや別のツールを利用できる場合、それらが情報の流出経路になることがあります。

Google側のアクセス権限とAIの確認設定は別

ChatGPTで注意したいのが、「Allow read actions」という設定です。

OpenAIの公式ヘルプによると、この設定では読み取り操作を事前確認なしで実行できます。一方、変更操作では確認が求められます。

より厳しい「Always ask」を選ぶと、読み取りの前にも確認を求める設定になります。

ただし、利用できる設定はアカウントや連携アプリによって異なります。

そして、これらは主にChatGPTが操作前に確認を求めるかどうかを決める設定です。Googleアカウントから付与されたアクセス権限そのものを変更するものではありません。

実際、OpenAIのGoogleアプリに関する公式FAQには、Google Workspace管理者向けのGmail権限として gmail.modify が掲載されています。

これは、連携するアプリに許可する操作の範囲を定める「OAuthスコープ」の一つです。

Googleの公式仕様では、gmail.modify にメールの閲覧・作成・送信の権限が含まれます。

この記載だけで、すべての個人利用者のGmail連携に同じ権限が付与されていると断定はできません。実際の権限は、接続時の許可内容や利用環境によって確認する必要があります。

「Allow read actions」に設定していても、Google側の権限まで厳密な読み取り専用になるわけではありません。

連携時には、AI側の確認設定だけでなく、Google側で何を許可するのかも確認する必要があります。

実際にメールの情報が流出した攻撃実証

読み取り操作と情報流出の関係を示す事例が、2026年9月に公表されています。

ChatGPTとGmailを使った2026年の実証

2026年9月8日、セキュリティ企業Check Point Researchは、「The Shared Clipboard Inside the Sandbox: Cross-Account Data Leakage in ChatGPT」という研究を公表しました。

研究者は、異なるChatGPTアカウントのコード実行環境からアクセスできる内部サービスを利用し、アカウント間で情報を受け渡せる経路を発見しました。

通常、別々の利用者の実行環境は隔離されており、互いの情報をやり取りできないようにする必要があります。

ところが、当時の環境では、ソフトウェアの部品を管理する内部サービスの一部機能を通じて、別アカウントとの情報の受け渡しが可能でした。

研究者はこの経路を利用し、ChatGPTに隠れた指示を実行させる攻撃を検証しました。

実証では、悪意ある指示を含む共有ChatGPT会話を用意し、被害側の利用者がそこで普通の質問を送信する状況を再現しています。

するとChatGPTは、画面上では通常の質問に回答しながら、裏で接続済みGmailからメール情報を取得し、別アカウントへ渡しました。

画面にはGmailを利用したことを示す小さな表示が出ましたが、その操作が実行される前に利用者の承認を求めるものではありませんでした。

この攻撃では、Gmailのメール送信機能は使われていません。

情報を外に渡すために利用されたのは、ChatGPTのコード実行環境からアクセスできた内部サービスです。

ただし、この実証には重要な条件があります。

  • 研究者による攻撃実証であり、一般利用者への大規模な実被害が確認された事例ではない。
  • 悪意ある指示は、共有されたChatGPT会話などを通じて導入された。
  • Gmailから情報を取得する能力に加え、別アカウントとの通信に利用できる内部サービスが存在した。
  • 研究で利用された具体的な通信経路は、報告完了時点ですでに使えなくなっていた。

Check Pointは、OpenAIから該当する内部サービスが廃止されたとの確認を得たと報告しています。

また、この研究では、Google側のOAuth権限を厳密な読み取り専用に限定した状態で同じ攻撃が成功したかまでは確認できません。

実証されたのは、Gmailの読み取り操作で取得した情報が、別の経路から流出し得るという点です。

今回の事例は、読み取り操作と外部への情報送信が別々の仕組みで成立することを示しています。

Webアクセスも情報の送信経路になり得る

メールを送信せずに情報を外へ出す方法は、ほかにもあります。

OpenAIは2026年1月28日に公開した「Keeping your data safe when an AI agent clicks a link」で、URLを使った情報流出について説明しています。

例えば、AIが取得した個人情報をURLの一部に含め、そのURLへアクセスするよう誘導されるケースです。

実際にアクセスが行われると、接続先のサーバーにはリクエストされたURLが伝わります。そのため、URLに埋め込まれた情報を攻撃者が取得できる場合があります。

利用者の画面に、その個人情報が回答として表示される必要もありません。

もちろん、URLを生成しただけで情報が漏れるわけではありません。外部への通信が実際に行われることが条件です。

OpenAIはこの問題への対策として、AIがアクセスしようとするURLを、利用者の会話とは独立した公開Webの情報と照合する仕組みを説明しています。

公開Webで確認できないURLについては、自動取得を避けたり、利用者に確認を求めたりする設計です。

こうした対策はすでに導入されていますが、すべての情報流出経路を防ぐ保証ではありません。

なぜ、メールや文書を読むだけで攻撃につながるのか

ここまでの攻撃に関係するのが、「プロンプトインジェクション」です。

簡単に言えば、AIが読む文章に、攻撃者が悪意ある指示を紛れ込ませる手法です。

例えば、AIに受信メールを要約させる場合、AIはメール本文を要約するための情報として扱うはずです。

ところが、そのメールにAIの行動を変えようとする指示が埋め込まれていると、AIが影響され、本来頼まれていない操作を実行してしまうことがあります。

利用者が直接その指示を出していなくても、メールや共有文書、Webページなどを通じて攻撃が届くため、「間接プロンプトインジェクション」と呼ばれます。

Googleのセキュリティチームも、メール、文書、カレンダー招待などに隠された悪意ある指示が、情報流出や意図しない操作につながる問題を説明しています。

ただし、悪意あるメールを受信しただけで、必ずAIが攻撃を実行するわけではありません。

AIがその内容を処理し、悪意ある指示に従ってしまうことが必要です。情報を外部へ持ち出すには、取得できるデータや通信経路などの条件も関係します。

サービス提供元も対策を進めています。

Googleは、悪意ある指示を検出する仕組み、モデルの強化、不審なURLの除去、利用者への確認などを組み合わせています。

英国の国家サイバーセキュリティセンター（NCSC）も、プロンプトインジェクションに関する解説で、大規模言語モデルが外部の文章に含まれる指示の影響を受ける問題を指摘しています。

現在も完全に解決したとは言えないため、仮にAIが悪意ある指示に従っても、取得できる情報や実行できる操作を制限しておくことが有効な防御策になります。

AIにメールやファイルを連携するなら、何を確認すべき？

今回の調査から、利用者が確認したい項目を整理すると次のようになります。

確認すること 減らせるリスク
AIが読めるアカウントやファイルを限定する 攻撃が成立した場合に取得され得る情報の範囲を狭める
不要な送信・編集・共有・削除の権限を与えない 連携元の機能を使った不正操作を制限する
外部Webアクセスや不要なツールを制限する URLや別ツールを経由した情報流出の経路を減らす
読み取りや重要な操作に確認を求める 意図しないアクセスや操作を承認前に止める機会を作る
使わない連携を解除する 不要なアクセス経路を残さない

これらは、OpenAI、Google、NCSCなどが重視する多層防御や最小権限の原則に沿った対策です。

ただし、一般利用者がこれらを実行すると、実際の被害確率が何％下がるのかを示す信頼できるデータは確認できませんでした。

メインのアカウントをそのまま連携する必要はある？

例えば、普段使っているGmailに銀行、通販、仕事、本人確認、パスワードリセットなどのメールがまとめて届く場合を考えてみます。

AIに必要なのが一部のメールの要約だけなら、すべてのメールへアクセスできる状態にする必要があるかを検討する価値があります。

AIで処理したい情報を別アカウントに分けたり、機密性の高いファイルを連携対象から外したりすれば、万一問題が起きた際に取得され得る情報を限定できます。

ただし、既存のアカウント内で特定のメールやファイルだけにアクセスを限定できるかは、連携サービスの仕様によります。

このような運用について、実際の被害率がどの程度下がるかを測定した研究は確認できていません。それでも、アクセスできる情報の範囲を狭めるという点で、合理的な対策です。

AIに処理させる必要のない機密情報は、できるだけアクセス対象から外すことをおすすめします。

外部通信を制限する方法もある

AIが外部サイトや別のサービスにアクセスする必要がなければ、その機能を制限することも有効です。

OpenAIのLockdown Modeは、外部への通信を制限し、プロンプトインジェクションによる情報流出リスクを減らすための機能です。

このモードでは、ライブのWeb閲覧やエージェントモードなど、一部の機能が制限または無効化されます。

ただし、利用できるかどうかや連携アプリへの制限は、アカウントやワークスペースの設定によって異なります。また、すべてのプロンプトインジェクションを防止する機能ではありません。

利用する際は、現在の公式説明と実際の設定画面を確認してください。

AIサービスによるデータの処理・保存も確認する

ここまで扱ってきたのは、主に悪意ある第三者へ情報が流出するリスクです。

これとは別に、連携したメールやファイルが、AIサービス提供元でどのように処理・保存されるかも確認しておきたいところです。

例えばOpenAIは、接続したGoogleアプリから直接取得したデータや、その派生情報について、原則として一般モデルの学習に使わないと説明しています。

ただし、フィードバックの送信、データの手動コピー・アップロード、ChatGPTの回答に情報が含まれた場合など、例外があります。

また、連携先の内容を検索しやすくするためにデータを同期・索引化する場合があり、メモリ機能が有効ならパーソナライズに利用されることもあります。

詳しくはOpenAIのGoogleアプリ向けデータコントロールFAQで確認できます。

連携を解除した場合、OpenAIは同期されたデータの索引コピーを30日以内に削除すると説明しています。ただし、会話内に取り込まれた情報などは別途管理されます。

連携の解除だけでなく、データの保存・学習利用に関する設定も確認しておくと安心です。

結局どうなの？

AIにメールやファイルを読み取り専用で連携しても、条件がそろえば情報漏えいは起こり得ます。読み取り専用は有効な対策ですが、それだけで十分とは言えません。

実際に、ChatGPTのGmailから取得した情報を、メール送信機能を使わずに別のアカウントへ渡した攻撃実証があります。ただし、その具体的な脆弱性は修正済みです。

今回確認した資料からは、現在の一般利用者がこの種の攻撃で被害に遭う確率までは分かりません。

AIへの連携を一律に避ける必要があるとまでは判断できませんが、どのアカウントでも無条件につないでよいということでもありません。

利用するなら、次の点を確認してください。

  • AIが読む必要のある情報だけに、アクセス範囲を限定する。
  • 不要な送信・編集・削除などの権限は与えない。
  • 外部Webアクセスや別のツールを使わせる必要があるか確認する。
  • 重要な操作は確認を求める設定にし、不要な連携は解除する。

銀行や仕事の情報、本人確認書類などが含まれるアカウントでは、連携による利便性と、AIがアクセスできる情報の範囲を慎重に比較する価値があります。

「読み取り専用」に設定したら終わりではなく、何を読めるか、何を操作できるか、どこへ情報を送れるかまで確認する。

これが、今回の調査から導ける実用的な判断です。

参考資料

コメント

タイトルとURLをコピーしました