ハッカーがAIエージェントを騙し、ユーザー自身にマルウェアをインストールさせる手口

OpenClawを標的としたサプライチェーン攻撃キャンペーンにより、脅威アクターが自律型AIエージェントを悪用し、説得力のあるマルウェア配布の仲介役に変えてしまう手法が明らかになりました。

攻撃者はエクスプロイトコードだけに頼るのではなく、ClawHubスキルレジストリを一見正規に見える拡張機能で汚染し、その拡張機能の指示によってユーザーに偽の前提条件ツールをインストールさせたり、難読化されたコマンドをターミナルに貼り付けさせたりしました。

ClawHavocと呼ばれるこのキャンペーンは、エージェントが生成する案内内容に対してユーザーが抱く信頼を悪用するものです。

これらのパッケージにはClickFix方式のインストール手順が埋め込まれており、パスワード保護されたアーカイブをダウンロードさせたり、Base64エンコードされたシェルコマンドを実行させたりして、最終的に情報窃取型マルウェアを配布していました。

マルウェア削除ツール

OpenClawの魅力は、オペレーティングシステムとの深い統合にあります。このオープンソースのエージェントフレームワークは、ファイルの読み取り、連携サービスへのアクセス、ターミナルコマンドの実行が可能で、ClawHubからスキルをインストールすることで機能を拡張できます。

こうした機能は同時に、高リスクな信頼境界も生み出します。LLMはスキルのMarkdownドキュメントを読み取り、攻撃者が制御する指示を必須のセットアップ手順としてユーザーに提示してしまう可能性があるのです。

ClawHavocの攻撃チェーンでは、悪意あるスキルが「要求された機能を使う前に『AuthTool』またはヘルパーユーティリティをインストールする必要がある」とユーザーに伝えていました。

macOSでは、被害者はペイロードを取得するエンコード済みシェルコマンドを実行するよう誘導されました。Windowsでは、ZIPアーカイブや、検証ツールを装ったものが誘導手口として一般的に使われていました。

これは従来型のドライブバイ攻撃ではありません。被害者は自らコマンドを実行するよう説得されますが、その指示は信頼できると認識されているAIアシスタントを通じて届けられます。

このキャンペーンには当初341個の悪意あるスキルが関与しており、そのうち335個はAtomic macOS Stealer(AMOS)を展開するために偽の前提条件手順を使用していました。

Trellixの研究者は、数百個の悪意あるOpenClawスキルが暗号資産ユーティリティ、開発者向けツール、ソーシャルメディア連携ツールを装っていることを特定しました。ClawHubの過去のリポジトリからは、12個の作成者IDに関連する1,184個の悪意あるパッケージが確認されており、レジストリ汚染の問題が最初の波よりもさらに広範囲に及んでいたことが示されています。

ハッカーがAIエージェントを騙す手口

確認されたペイロードは、認証情報、ブラウザデータ、暗号資産ウォレット、開発者向けのシークレット情報、エージェントに紐づくトークンを狙っていました。

コンピューターサイエンス

セキュリティ関連の報道では、感染したOpenClawホスト上の情報窃取型マルウェアが、エージェントおよび連携サービスへのアクセスを可能にするAPIキーを窃取する可能性があると警告されています。これにより、ローカル環境の侵害がより広範なアカウント乗っ取りリスクへと発展する恐れがあります。

curlを使用してローカルサーバーからNetcat実行ファイル(nc.exe)をダウンロードし、tempフォルダに保存した上で実行し、ポート9999で待ち受けさせます。

開発者やAIパワーユーザーにとって、危険はブラウザの認証情報だけにとどまりません。侵害されたホストからは、SSHキー、クラウドの認証情報、.envファイル、ソースリポジトリ、メッセージング連携情報、さらには永続化されたAIエージェントのメモリまでもが露出する可能性があります。

攻撃者はこれらの資産を、後続の侵入、データ窃取、あるいは横展開に利用できます。

エージェントが無制限のシェルアクセス権を持っている場合、このリスクはさらに増大します。LLMが生成したツール呼び出しがポリシー適用なしにホストのコマンドインタープリタに渡されると、悪意ある指示がプレーンテキストからPowerShell、Bash、curl、スケジュールタスクの作成、あるいはその他の環境依存型(living-off-the-land)の活動へと変換されてしまう可能性があります。

このため、エージェント環境を防御する上では、悪意あるファイルの検出だけでなく、エンドポイントのテレメトリが極めて重要になります。

ClawHavocは経路の一つに過ぎません。間接的なプロンプトインジェクションは、AIエージェントが処理するメール、チャットメッセージ、文書、ウェブサイト、その他の外部コンテンツを武器化することができます。

攻撃者がエージェントに敵対的なテキストを取り込ませ、そのツール利用の判断に影響を与えることができれば、エージェントのチャットインターフェースに直接アクセスする必要はありません。

ウェブページの要約やSlackスレッドの確認といったごく普通の依頼であっても、外部コンテンツが信頼できる指示として扱われてしまえば、危険なものになり得ます。

したがって、セキュリティ上の目標は単に不審なフレーズをフィルタリングすることではなく、信頼できないデータが特権的な操作を許可できないようにすることにあります。

クラウドセキュリティサービス

組織はOpenClawの導入環境を更新し、インストール済みのスキルを棚卸しした上で、信頼できない拡張機能を削除し、漏えいした可能性のある認証情報やトークンをローテーションすべきです。

Flareの報告によれば、リモートコード実行に関連する脆弱性CVE-2026-25253は、バージョン2026.1.29より前のリリースに影響していました。

OpenClawは、最小限の権限、分離されたアカウント、制限的な送信ネットワークルールを備えた専用の隔離システム上で実行し、企業のID管理基盤や機密性の高い本番環境のシークレット情報にはアクセスさせないようにすべきです。

すべてのスキルをサードパーティ製コードとして扱ってください。ソースを確認し、メンテナーを検証し、ターミナルコマンド、エンコードされたペイロード、外部の「コンパニオン」ダウンロードを要求するパッケージは拒否してください。

ここから得られる核心的な教訓は明確です。AIエージェントを認可の境界として決して信頼してはならないということです。

エージェントは行動を推奨することはできますが、その推奨が未検証のまま侵害につながらないようにするのは、オペレーティングシステム、ネットワーク、IDレイヤーが独立して防ぐべき役割です。

侵害指標(IOC)

注: 意図しない名前解決やハイパーリンク化を防ぐため、IPアドレスおよびドメインは意図的に無害化表記(defang、例: [.])にしています。再度有効な表記に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ どのセキュリティツールを削減すべきか?1ページでスコア化 – 継承されたセキュリティスタックガイドをダウンロード