投稿者 global-ai-media 
自律的にタスクをこなす「AIエージェント」の普及に伴い、その機能を拡張する「スキル（プラグイン）」を標的としたマルウェア配布の手口が確認されました。本記事では、OpenClawのマーケットプレイスで発生した事例を端緒に、日本企業が直面する「AIサプライチェーン攻撃」のリスクと、実務的なガバナンスのあり方について解説します。
AIエージェントの「スキル」が悪用される仕組み
生成AIの進化は、単に対話するだけのチャットボットから、ユーザーの代わりに複雑な業務を遂行する「自律型AIエージェント」へと及んでいます。これらエージェントの最大の特徴は、外部ツールと連携して機能（スキル）を追加できる点にあります。例えば、「Web検索スキル」や「PDF解析スキル」などを後から追加することで、AIのできることが飛躍的に広がります。
しかし、今回の「OpenClaw」の事例で明らかになったのは、この拡張性の高さがセキュリティホールになるという事実です。攻撃者は、正規のマーケットプレイスに「便利なスキル」に見せかけたマルウェアをアップロードします。ユーザーや企業が業務効率化のためにこれらのスキルをエージェントにインストールすると、バックグラウンドで悪意あるコードが実行され、機密情報の窃取やシステムへの不正アクセスが行われてしまいます。
従来のサプライチェーン攻撃との違い
IT業界では長年、オープンソースソフトウェア（OSS）のライブラリに悪意あるコードが混入する「サプライチェーン攻撃」が問題視されてきました。今回の事例は、そのAI版と言えます。
しかし、AIエージェント特有の怖さは、「実行主体がAIであるため、人間が挙動を監視しにくい」という点にあります。従来のソフトウェアであれば、エンジニアがコードレビューを行う機会がありましたが、AIエージェントの場合、現場の担当者が「このプラグインを入れると便利そうだ」と安易に導入し、AIがブラックボックスの中で外部通信を行ってしまうリスクがあります。
日本企業における「野良AIスキル」のリスク
日本国内でも、DX（デジタルトランスフォーメーション）の一環として、業務への生成AI組み込みが加速しています。特にRAG（検索拡張生成）やエージェント技術を用いた社内システム連携は注目の的です。
ここで懸念されるのが、現場レベルでの管理不全です。日本の組織文化として、現場の改善活動が推奨される一方で、ITガバナンスが追いついていないケースが散見されます。もし社員が、「業務を楽にしたい」という善意から、未検証のAIエージェント用スキルやプラグインを社用環境に導入してしまった場合、企業のセキュリティ境界を内側から突破されることになります。
また、日本の法規制やガイドラインは「AIに入力するデータ（個人情報など）」の保護には敏感ですが、「AIが利用するサードパーティ製ツール」の安全性評価については、まだ議論が成熟していないのが現状です。
日本企業のAI活用への示唆
今回の事例を踏まえ、日本企業がAIエージェントを活用する際に留意すべき点は以下の通りです。
1. AIスキルのホワイトリスト化と管理
従業員が自由にAIの拡張機能（GPTsやプラグイン、エージェント用スキル）を追加できる環境は極めて危険です。ソフトウェアのインストール制限と同様に、利用可能なAIスキルを組織で審査・承認し、ホワイトリスト化して運用する必要があります。
2. エージェントの権限最小化（Least Privilege）
AIエージェントには、必要以上の権限を与えないことが鉄則です。「何でもできる」状態は、乗っ取られた際のリスクを最大化します。特定のフォルダへのアクセス権のみを付与する、インターネットへの自由なアクセスを制限するなど、サンドボックス（隔離環境）的な発想での設計が求められます。
3. 「AI BOM」の意識を持つ
ソフトウェア部品表（SBOM）と同様に、自社のAIシステムが「どのモデル」で「どの外部ツール（スキル）」を使用しているかを構成管理する「AI BOM」の考え方が重要になります。サプライチェーンの透明性を確保し、問題発生時に即座に特定・遮断できる体制を整えることが、持続可能なAI活用の前提条件となります。