2026年3月に公表された生成AI関連のインシデント（1件）

社内Wiki「GROWI」のAIアシスタント機能のAPIに権限チェック欠如の脆弱性、他の利用者のスレッドやメッセージを閲覧・改ざんできるおそれ（JVN#46373837）

JVNによると、株式会社GROWIが提供する社内Wiki「GROWI」のv7.4.5およびそれ以前に、AIアシスタント機能のスレッド・メッセージのAPI（JVNの表題では「OpenAIスレッド・メッセージ API」）の権限チェック欠如の脆弱性（CWE-862、CVE-2026-25083）があった。共有AIアシスタントの識別子を知っているログイン済みの利用者が、他の利用者のAIアシスタントのスレッドやメッセージを閲覧したり改ざんしたりできる可能性がある。開発者は、各APIでスレッドの所有者を確かめていなかったと説明している。v7.4.6で修正された。

原因

各APIエンドポイントでスレッドの所有者検証が行われていなかった（開発者がJVNに提供した説明）。

影響

実際に悪用されたかどうかは公表なし。開発者の説明では、共有AIアシスタントの識別子を知るログイン可能な利用者が、他の利用者のスレッド一覧の取得、メッセージの閲覧・投稿・編集、スレッドの削除をできる状態だった。深刻度はCVSS v3で8.3、v4で8.7（IPA値）。

当事者の対応

v7.4.6で修正。JVNと開発者は最新版へのアップデートを呼びかけている。

防ぐには

社内ツールにAI機能が加わったら、AIとのやり取りの履歴も業務データとして扱い、誰が読めるかを確かめる。自社で運用している製品は、修正版が出たら速やかに更新する。