投稿者 global-ai-media 
AIエージェント「OpenClaw」がマルウェアの標的となり、設定情報や暗号鍵、さらには「個人的なコンテキスト」までが窃取される事案が発生しました。生成AIの活用が「チャット」から「自律的なエージェント」へと進化する中、この事例は企業におけるAIセキュリティのあり方に重大な問いを投げかけています。
AIエージェントを狙うマルウェアの出現
先日、オープンソースのAIエージェントプロジェクトである「OpenClaw」を標的としたインフォスティーラー（情報窃取マルウェア）の存在が報じられました。従来のマルウェアは主にブラウザのCookieやクレジットカード情報を狙っていましたが、今回の攻撃は明確に「AIエージェント」をターゲットにしています。
特筆すべきは、単にAPIキーや暗号鍵が盗まれただけでなく、エージェントが保持していた「個人のコンテキスト（Personal Context）」までが窃取対象となった点です。AIエージェントはユーザーの指示や嗜好、過去の対話履歴を記憶し、よりパーソナライズされたタスク実行を行います。攻撃者はこの「記憶」を盗むことで、AIエージェントのアイデンティティそのものを乗っ取り、ユーザーになりすまして高度な詐欺や不正アクセスを行うことが可能になります。
なぜ「チャット」よりも「エージェント」が危険なのか
現在、日本企業の多くがChatGPTやMicrosoft Copilotなどの対話型AIの導入を進めていますが、次のフェーズとして注目されているのが「AIエージェント」です。AIエージェントとは、LLM（大規模言語モデル）が自律的に思考し、外部ツール（メール、カレンダー、社内データベース、SaaSなど）を操作してタスクを完遂するシステムを指します。
チャットボットが「相談相手」であるのに対し、エージェントは「実行者」です。もしエージェントの認証情報やセッションが盗まれれば、それは単なる情報漏洩にとどまらず、社内システムへの侵入、不正な送金、機密データの削除といった「実害」に直結します。OpenClawの事例は、AIが便利になればなるほど、その権限管理がクリティカルになることを示しています。
「コンテキスト」という新たな資産の保護
今回の事例で注目すべきは「コンテキスト（文脈・記憶）」の窃取です。日本企業において、ベテラン社員の暗黙知や業務フローをAIに学習させ、継承させる取り組みが進んでいます。しかし、AIエージェントが記憶する「業務の進め方」や「人間関係の相関図」、「未公開のプロジェクト情報」自体が、攻撃者にとっては極めて価値の高い情報となります。
従来のセキュリティ対策は、データベースやファイルサーバーの防御が中心でした。しかし、AIエージェントの実装では、ローカル環境のDockerコンテナ内や、簡易的なベクターデータベース（ベクトル化された記憶領域）に重要な情報が無造作に保存されているケースが散見されます。これらは従来のウイルス対策ソフトやDLP（情報漏洩対策）製品の監視対象から外れていることが多く、盲点となりがちです。
日本企業の現場におけるリスク要因
日本の開発現場やPoC（概念実証）環境では、スピードを優先するあまり、APIキーをコードに直接書き込んだり、機密情報を含む設定ファイルを個人のPCに保存したまま運用したりするケースが少なくありません。特にエンジニアが個人の判断でオープンソースの便利なAIツールを導入する「シャドーAI」の問題は、ガバナンスの網をすり抜ける原因となります。
また、日本特有の商習慣として、稟議書や契約書などの非構造化データに依存する業務が多く、これらをAIに読み込ませる際のリスク管理も課題です。AIエージェントが「どの情報を記憶し、誰に対して開示してよいか」というアクセス制御（ACL）の設計が追いついていないのが現状です。
日本企業のAI活用への示唆
OpenClawの事例は、AIエージェント活用におけるセキュリティ対策の転換点を意味しています。日本企業が今後、安全にAIエージェントを活用していくためのポイントを整理します。
1. AIエージェントへの「最小権限の原則」適用
AIエージェントには、業務遂行に必要な最小限の権限（Read/Writeの範囲や有効期限）のみを付与してください。例えば、全社データベースへのアクセス権を無条件に与えるのではなく、特定のプロジェクトフォルダのみに限定するなど、厳格なIAM（Identity and Access Management）設計が必要です。
2. クレデンシャルと「記憶」の保護
APIキーや設定情報を平文で保存しないことは基本ですが、今後はAIの「長期記憶（Long-term Memory）」データの暗号化とアクセス管理が重要になります。Vector DBやローカルストレージに保存されるコンテキスト情報も、機密情報として扱う必要があります。
3. 開発・検証環境のガバナンス強化
「とりあえず手元のPCで動かしてみる」という開発スタイルは、マルウェア感染時に致命的なリスクとなります。AI開発においては、サンドボックス環境の利用を徹底し、ローカル環境から本番のクレデンシャルや顧客データにアクセスさせない仕組み作りが急務です。
4. 異常検知の高度化
AIエージェントが通常とは異なる操作（大量のデータダウンロードや、普段アクセスしないシステムへの接続など）を行った場合に、即座に検知・遮断できるモニタリング体制を構築してください。人間だけでなく、AIの振る舞いをも監視する時代に入っています。