OpenClaw AIアシスタントに「ClawJacked」脆弱性、設定情報漏えいの恐れ

OpenClaw AIアシスタントの脆弱性が発覚

OpenClawのAIアシスタントに脆弱性が存在することが確認され、新たなセキュリティリスクとして指摘されている。このAIツールはWhatsApp、Telegram、Discordなどの主要なアプリと統合され、会話の要約やスケジュール管理、コード実行など、個人アシスタントとしてさまざまな作業を支援する機能を備えている。

一方で、こうした利便性の裏側にはセキュリティ上の懸念が存在すると研究者は指摘しており、設定情報や機密データの扱いを巡るリスクが浮上している。

ClawJacked脆弱性とその影響

Oasis Securityは最近、OpenClawに存在する脆弱性「ClawJacked」を報告した。この欠陥により、悪意のあるウェブサイトからAIエージェントが不正に操作される可能性があると指摘されている。

問題は、OpenClawがローカルホスト上のWebSocketサーバーを通じて動作する仕組みにある。この接続が既定で信頼されたものとして扱われるため、攻撃者はブラウザ上のJavaScriptを利用してローカルホストへ接続を試みることができる。さらに、パスワード推測を繰り返すことで認証済みセッションを取得できる可能性があるとされる。

この手法が悪用された場合、攻撃者はAIエージェントの操作や設定情報の取得、接続されているデバイスの一覧取得、ログ情報の閲覧などを行える恐れがある。

脆弱性への対応とセキュリティ対策

OpenClawはOasis Securityからの報告を受け、24時間以内に修正パッチを提供したとしている。利用者はOpenClawを2026.2.25以降へ更新し、AIアシスタント／エージェントの設定や連携先の権限を点検することが推奨される。

また組織では、AIエージェント運用を前提に、非人間ID（サービスアカウントやトークン等）の管理を強化し、権限の最小化と監視を徹底する必要がある。

セキュリティと利便性のバランス

ClawJackedの事例は、AIエージェントの開発がセキュリティ対策を上回る速度で進んでいる可能性を示している。Cequence SecurityのCISOであるRandolph Barr氏は、「製品の利便性向上がセキュリティ対策より先行してしまった点が問題だ」と指摘した。OpenClawは開発者の使いやすさを重視して設計されたが、その結果として防御的な制御が十分に機能しない状況が生まれた可能性があるという。

また、SectigoのシニアリサーチャーであるJason Soroko氏は、ローカル環境で動作するAIエージェントの「爆発半径（blast radius）」の問題に言及し、ブラウザ環境が本来の境界を弱め、バックグラウンドで開かれたタブであっても攻撃の足掛かりとなり得ると指摘した。

今回の脆弱性は、AIエージェントの普及に伴う新たなセキュリティリスクを改めて示す事例となった。開発者や利用者には、AIツールの導入と運用において、利便性だけでなくセキュリティを含めた慎重な管理が求められる。