安全なAIエージェントを展開するためのNVIDIA製ツールOpenClawに脆弱性が見つかりました。サイバー攻撃者がこれを悪用すると、大規模言語モデル(LLM)のチャットテンプレートを密かに汚染し、それを利用しているAIエージェントを不正に操作できてしまいます。
Cyera傘下のOasis Identity Researchの研究者らは、NVIDIA製のNemoClaw、より具体的にはそのOllama APIにおけるネットワーク設定の問題を発見したと、本日公開されたレポートで明らかにしています。この研究によれば、この問題によってAPIがブラウザベースの攻撃にさらされる可能性があり、攻撃者はAIエージェントが指示を受け取るモデルを永続的に汚染できてしまうといいます。
NemoClawは、オープンソースのOpenClaw AIエージェントフレームワークをNVIDIAのOpenShellサンドボックス内に展開するためのツールです。一方Ollamaは、ローカルハードウェア上でLLMを実行するための人気の高いオープンソースランタイムです。NemoClawでは、このAPIがポート11434経由のHTTP APIを通じて、ツールにローカルモデル推論機能を提供しています。
研究者らが発見した問題は、NemoClawによるOllamaの設定がネットワーク露出を生んでしまう点にあります。これにより攻撃者は、悪意あるWebページとDNSリバインディングを通じて、ローカルモデルサーバーを認証なしで掌握できてしまいます。DNSリバインディングは、リモートのWebページからローカルサービスにアクセスするための、ブラウザを悪用した既知の手法です。
レポートによれば、「要するに、攻撃者が管理するWebページに一度アクセスするだけで、エージェントを支えるローカルモデルサーバーの完全かつ認証なしの制御権を攻撃者に渡してしまうことになります」とのことです。「そこから攻撃者は、モデル自体に隠された指示をひそかに埋め込むことができ、エージェントはその後のすべての会話でその指示に従うようになります」
Oasis Identity Researchは、Product Security Incident Response Team(PSIRT)を通じてこの脆弱性をNVIDIAに責任ある形で開示しました。NVIDIAはDark Readingからのコメント要請に即座には応じませんでしたが、現在CVE追跡番号は申請中です。OasisはDark Readingに対し、MacOSおよびLinux版(v0.0.35)ではこの不具合が修正済みであると認めましたが、Windows版には修正がまだ提供されていないとのことです。ただし、v0.0.34にはWindowsインストール時の警告表示が含まれています。
NemoClaw攻撃の準備と悪用手法
専門家によれば、この脆弱性自体やその悪用方法は必ずしも目新しいものではないといいます。露出したサービス、認証機構のないAPI、そしてDNSリバインディングは、いずれもよくあるネットワークの問題です。しかし、APIセキュリティおよびボット管理を手がけるCequence Securityの最高情報セキュリティ責任者(CISO)であるRandolph Barr氏は、メールで次のように指摘しています。「認証機構のないローカルモデルサーバーをその標的にする点が新しく、これはまさにエージェント型AIのリスクが実際にどこに潜んでいるかを如実に示す事例と言えます」
攻撃を仕掛ける糸口は、NemoClawによるOllamaの設定方法にあります。OpenShellはコンテナ内で動作するため、NemoClawはOllamaを127.0.0.1に制限せず、0.0.0.0:11434で起動します。研究者らによれば、これにより認証機構のないAPIがホストのループバックインターフェースを超えて到達可能になってしまうといいます。さらにこの設定は、ブラウザ経由のアクセスを防ぐために設けられているOllamaのHostヘッダーチェック機能も無効化してしまいます。
研究者らが概念実証(PoC)で示したように、攻撃者はDNSリバインディングを通じてこの問題を悪用できます。悪意あるWebページは最初、攻撃者が管理するドメインから読み込まれますが、その後被害者のローカルマシンを指すように名前解決させられます。レポートによれば、ブラウザはリクエストが依然として攻撃者のドメインから来ていると認識するため、そのページはローカルのOllama APIと認証なしで直接やり取りできてしまうといいます。ここから攻撃者は、モデルの列挙、推論の実行、さらにはモデルの改変や削除まで行えるようになります。
モデルテンプレートの汚染
レポートによれば、この悪用手法の中でもとりわけ危険なのは、攻撃者がOllamaのチャットテンプレート――OpenClawの構造化メッセージ(システムプロンプトを含む)をモデルに送信するテキストへと変換する層――を改変できてしまう点です。
AIセキュリティ企業DetectifyのCEOであるRickard Carlsson氏は、次のように指摘しています。「OpenClawは、タスクを自動化するために必要という理由から、しばしば多くの異なるシステムやリソースへのアクセス権を持った状態で動作しています。攻撃者がエージェントの挙動を制御できてしまえば、それは事実上、マシンへの完全なアクセス権を握られたも同然です」
実際、研究者らによれば、このテンプレートに悪意ある指示を挿入することで、バックドア化されたコードを生成させたり、モデルにセキュリティ上の懸念を無視するよう指示したり、あるいはエージェントに外部通信のアクセス権がある場合はデータを窃取させたりと、さまざまな攻撃が可能になるといいます。
さらに研究者らは、攻撃者が推論時にこれらの指示をエージェントの正規のシステムプロンプトへ追加させることも可能だと指摘しています。つまり、従来型のプロンプトインジェクションとは異なり、汚染されたテンプレートは複数の会話にまたがって存続し、エージェントにもユーザーにも見えないままとなってしまうのです。
Detectify社のCarlsson氏はさらに、こうした形でエージェントの指示が改ざんされると、修復作業も厄介なものになると付け加えています。「組織は根本的な脆弱性にパッチを当てるだけでなく、それらの指示をリセットする作業も併せて行う必要が出てきます」
AIエージェントに求められる新たな防御策
OpenClawは、企業の間で爆発的な人気の高まりを見せて以来、すでに一連のセキュリティ上のトラブルに見舞われてきており、組織全体でAIエージェントの利用・展開を急ぎすぎることに伴うリスクが依然として続いていることを示しています。研究者らは、今回のNemoClawの問題も、一見ありふれたインフラ上の判断が、認証機構の欠如とブラウザベースの攻撃手法と組み合わさることで、いかにして重大な脆弱性へと発展しうるかを改めて示す事例だと指摘しています。
こうした問題を緩和するにはエージェントのサンドボックス化が必要ですが、レポートによれば、それだけでは十分な対策とは言えません。サンドボックス化が保護するのはエンドポイントのみであり、「コード、ツール、API、組織のリソースに対するエージェントの認可済みアクセス権こそが、侵害が実際にもたらす被害範囲を決定づける」ためです。
Barr氏も同意見で、次のように述べています。「エージェントをサンドボックス化しても、その土台となっているものがブラウザのどのタブからでも到達可能であれば、大した効果は得られません」。同氏によれば、モデル内部にガードレールを増やすよりも優れた対策は、「エージェントからモデルへ、そしてエージェントからAPIへのトラフィックを、監視・制御されるべき独自のセキュリティレイヤーとして扱うこと」だといいます。
Barr氏は次のように警鐘を鳴らしています。「こうしたトラフィックを想定して構築されていないインフラにエージェントを後付けで組み込んでいる企業は、今後もこうした発見のたびに驚かされ続けることになるでしょう。先手を打てる組織とは、次の情報開示が議論を強いるまで待つのではなく、今この瞬間からAIトラフィックの手前に専用のゲートウェイを設置している組織なのです」
翻訳元: https://www.darkreading.com/cyber-risk/nemo-claw-networking-llm-poisoning-openclaw
