投稿者 global-ai-media 
ローカル環境で動作するAIエージェント「OpenClaw」に、悪意あるWebサイトから制御を乗っ取られる脆弱性「ClawJacked」が発見されました。プラグイン経由ではなくコアシステムに起因するこの問題は、日本企業が推進する「ローカルLLM活用」や「AIエージェント導入」におけるセキュリティ設計に重要な教訓を与えています。
ローカルAIエージェントを襲う「ClawJacked」の衝撃
AIエージェント（自律的にタスクを遂行するAIプログラム）のフレームワークである「OpenClaw」において、重大なセキュリティ脆弱性が報告されました。「ClawJacked」と名付けられたこの脆弱性は、ユーザーがブラウザで悪意のあるWebサイトにアクセスするだけで、ローカル環境（ユーザーのPC内）で動作しているAIエージェントが乗っ取られるというものです。
通常、セキュリティ侵害というと、ユーザーが怪しいプラグインをインストールしたり、不審なファイルをダウンロードしたりすることで発生するイメージがあります。しかし、今回の脆弱性の特筆すべき点は、「OpenClaw」のコアシステム自体に起因しており、追加の拡張機能やマーケットプレイスのアプリを一切使用していなくても攻撃が成立する点です。これは、WebSocket（ウェブアプリケーションとサーバー間でリアルタイム通信を行う技術）の実装における不備を突いたもので、外部サイトからローカルのAIエージェントに対して不正なコマンドを送信・実行させることが可能になります。
「ローカル＝安全」という神話の崩壊
日本国内の企業において、ChatGPTなどのパブリッククラウド型AIサービスではなく、自社PCやオンプレミスサーバー内で動作する「ローカルLLM」や「ローカルAIエージェント」への関心が高まっています。その主な理由は「機密情報を外部（特に海外サーバー）に出したくない」というセキュリティおよびコンプライアンス上の懸念です。
しかし、今回の事例は「ローカルで動かしていればインターネットの脅威から隔離される」という考え方が、必ずしも正しくないことを示しています。AIエージェントは、ファイルの読み書きやコマンド実行など、強力な権限（Agency）を持つことが一般的です。もしローカルエージェントの通信ポートが適切な認証なしに開かれていれば、ブラウザを経由して外部からその権限を悪用されるリスクがあります。これは、従来の「情報漏洩対策」だけでなく、「機能の乗っ取り」という新たなリスクに対処する必要があることを意味します。
AIエージェント特有のリスクと対策
AIエージェントは、単に質問に答えるだけのチャットボットとは異なり、ツールを使用して現実世界に作用する能力を持ちます。例えば、ローカルファイルを整理するエージェントが乗っ取られれば、機密ファイルを外部サーバーに送信させられたり、ランサムウェアのような挙動をさせられたりする可能性があります。
開発者やエンジニアは、ローカルで動作するAIツールであっても、以下の対策を徹底する必要があります。
- 認証の強制：ローカルホスト（localhost）上の通信であっても、トークン等による認証を必須にする。
- CORS（Cross-Origin Resource Sharing）の厳格化：ブラウザからのアクセス許可を厳密に制限し、不審なオリジンからのリクエストを拒否する。
- サンドボックス化：AIエージェントがアクセスできるファイルシステムやネットワーク範囲を物理的・論理的に制限する。
日本企業のAI活用への示唆
今回の「ClawJacked」の事例を踏まえ、日本企業は以下のポイントを再確認すべきです。
1. シャドーAI（Shadow AI）の管理強化
現場のエンジニアや業務担当者が、生産性向上のためにオープンソースの便利なAIツールを個人の判断で業務PCにインストールするケースが増えています。これらが適切なセキュリティ設定なしに使用されると、企業のファイアウォールの内側にいながらにして、外部からの攻撃の踏み台になるリスクがあります。禁止するだけでなく、安全な利用環境やガイドラインを整備することが急務です。
2. 「外部に出さない」だけでは不十分
AIガバナンスの議論は「データの入力」に集中しがちですが、「AIエージェントの操作権限」に対するガバナンスも重要です。特にローカルで動作するツールはセキュリティ監査が甘くなりがちなため、導入前にWebSocket通信や認証周りの仕様を確認する必要があります。
3. オープンソース利用のリスク評価
OpenClawのような新興のAIツールは開発スピードが速い反面、セキュリティ検証が不十分なままリリースされることもあります。業務で利用する場合は、開発コミュニティの信頼性や脆弱性対応の履歴を確認し、定期的なアップデート運用を計画に組み込むことが不可欠です。