AIアプリ構築基盤Difyに重大脆弱性「DifyTap」が4件発覚、100万超のアプリで他テナントのAI会話が盗聴される恐れ

「自社のAIチャットの会話内容が、知らない第三者に見えていたらどうしよう……」
「DifyでAIアプリを構築しているけど、セキュリティ面で大丈夫なの？」

チップス

ボス、Difyに重大な脆弱性が見つかったって聞いたでしゅ。うちも社内AIツールをDifyで作っているでしゅ……

ボス

「DifyTap」のことだな。他テナントのAI会話履歴を丸ごと盗聴できる脆弱性が4件発見された。日本のAI活用企業にも直接影響する話だ、すぐ確認が必要だぞ。

100万件超のAIアプリを動かすオープンソースプラットフォーム「Dify」に、AIチャット履歴を盗聴できる重大脆弱性群「DifyTap」が発覚しました。
Zafran Securityが発見した4件の脆弱性のうち2件は最高ランクの深刻度で、日本企業のAI導入環境にも直接影響します。

この記事では、DifyTapの技術的な仕組みと攻撃リスク、そして今すぐ取るべき対応を解説します。

発覚の経緯とDifyTapの全体像

セキュリティ企業Zafran Securityが、AIアプリ構築プラットフォームDifyの深刻な構造欠陥を発見しました。

Difyとは何か

DifyはオープンソースのAIアプリ開発プラットフォームで、LLMを活用したチャットボット・自動化ワークフロー・RAGシステムなどを低コードで構築できます。
その手軽さから世界で100万件超のAIアプリが稼働しており、日本企業でも社内AIツール構築に広く採用されています。
SaaS版のマルチテナント環境では、複数の組織がひとつの基盤を共有して利用する構造になっています。

今回発見された4件の脆弱性の概要は以下の通りです。

攻撃で何が起きるのか

チップス

標準ユーザー権限だけで攻撃できるんでしゅか？管理者じゃなくてもでしゅか？

ボス

そうだ。無料アカウントでサインアップするだけで、他のテナントが使っているAIの会話内容を丸ごと盗聴するチャネルを設定できてしまう。

CVE-2026-41947の攻撃シナリオは次の通りです。
攻撃者はDifyの標準ユーザーアカウントを取得し、アプリケーションIDを入手します。
次に、テナント所有権を検証しないトレースエンドポイントを悪用して、被害テナントのアプリにトレース設定を仕込みます。
以降、そのアプリに届くすべてのAI会話（プロンプトとモデルの応答）が、攻撃者の指定したサーバに流れ続けます。
一度設定すれば持続的なデータ抽出チャネルが完成し、被害テナントは気づく手段がありません。

日本企業への影響と今すぐ取るべき対応

AI活用が広がる日本企業にとって、DifyTapは業務情報漏洩に直結する重大なリスクです。

影響を受けるケースと情報漏洩のリスク

DifyのSaaS（クラウド版）とセルフホスト版の両方が影響を受ける可能性があります。
特にリスクが高い利用形態は以下の通りです。

特に顧客との会話・契約情報・医療データなどを扱うAIアプリでは、情報漏洩が直接的なコンプライアンス違反につながります。

今すぐ確認すべき対応手順

チップス

うちはDifyをセルフホストで使っているでしゅ。何をすればいいでしゅか？

ボス

まず使っているバージョンを確認する。1.14.2未満なら今すぐアップデートだ。その間にAI会話に機密情報を流していなかったかも見直してほしい。

対応の優先順位は以下の通りです。

まとめ

ボス

AIプラットフォームの脆弱性は、AIに入力した情報がそのまま攻撃者に届くという従来とは異なるリスクを生む。今後も生成AI基盤の脆弱性は増えていく。「使う前にセキュリティを確認する」が当たり前になってほしい。

チップス

バージョン確認とアップデート、すぐやるでしゅ！ログも一緒に確認するでしゅ！

DifyのAIプラットフォームに、他テナントのAI会話履歴を盗聴できる重大脆弱性「DifyTap」が4件発覚しました。
最高深刻度の2件を含む脆弱性は、標準ユーザー権限だけで悪用可能な深刻さで、日本企業のAI活用環境にも直撃します。
バージョン1.14.2へのアップデートと、AIへの入力情報の棚卸しを今すぐ着手することが得策です。