NVIDIA NemoClawに存在する重大な脆弱性(CVE-2026-65105として追跡)により、攻撃者が悪意あるWebサイトへの1回の訪問だけで、ローカルに展開されたAIエージェントの永続的な制御を奪う可能性があることがわかりました。
TryingCybersecurity And Penetration Testing Tools
Oasis SecurityのElad Luz氏とOfek Itach氏の両研究者は、NemoClawのローカルOllama設定が認証なしのAPIを公開しており、DNSリバインディング攻撃に対して脆弱であることを発見しました。
攻撃者はAIモデルのチャットテンプレートを改ざんし、以後のエージェントとのやり取りすべてに影響を及ぼす命令をひそかに埋め込むことが可能です。
NVIDIA NemoClawの脆弱性
NemoClawはNVIDIA OpenShellサンドボックス内にOpenClaw AIエージェントを展開し、ローカル推論バックエンドとしてOllamaを利用できます。この構成により、モデルはクラウドホスト型APIに頼らず、開発者自身のハードウェア上で実行できます。
Dockerベースのオープンシェルサンドボックスと、ホスト上で稼働するOllamaとの通信を可能にするため、NemoClawはサービスを以下の設定で構成します。
OLLAMA_HOST=0.0.0.0:11434この設定により、Ollamaはループバックアドレス(127.0.0.1)のみではなく、すべてのネットワークインターフェースにバインドされます。ユーザーにはOllamaがlocalhost:11434で利用可能であると案内されますが、実際にはローカルネットワークからもアクセス可能な状態になっていることがCyeraの報告で明らかになっています。
ポート11434で動作するOllamaのAPIは認証を必要としません。その代わりに、ブラウザ発のリクエストからのアクセスを制限するため、CORS制御とHostヘッダー検証に依存しています。しかし研究者らは、バインドアドレスが0.0.0.0のようにループバック以外に設定されている場合、OllamaがHostヘッダー検証を回避してしまうことを発見しました。
この脆弱性はDNSリバインディングを介して悪用できます。これは、攻撃者が管理するドメインが時間の経過とともに異なるIPアドレスへと解決されるようにする、ブラウザを狙った攻撃手法です。
典型的な攻撃シナリオでは、まず被害者が攻撃者の管理するドメインにアクセスし、そのドメインは最初は攻撃者の公開サーバーへと解決されます。その後、攻撃者はドメインのDNS解決先を127.0.0.1や別のローカルネットワークアドレスへと切り替えます。ブラウザはそのホスト名へのリクエストを引き続き同一オリジンとして扱うため、リクエストは被害者のローカルOllamaサービスへとリダイレクトされてしまいます。
NemoClawはOllamaを0.0.0.0上で起動するため、Hostヘッダー検証は回避されます。その結果、ブラウザのOriginおよびHostの値は依然として攻撃者が管理するホスト名と一致し、CORSチェックを通過してしまいます。これにより、被害者のブラウザ上で動作するJavaScriptから、OllamaのローカルHTTP APIへの完全かつ認証なしのアクセスが可能になります。
攻撃者はアクセス可能なAPIエンドポイントを悪用し、インストール済みモデルの列挙、Ollamaのバージョン特定、モデル詳細の取得、任意の推論リクエストによるGPUリソースの消費、大容量モデルのダウンロードによるディスク容量の枯渇、さらには既存モデルの削除を行うことができます。
最も懸念されるのは、モデルテンプレートの汚染です。Ollamaの「/api/create」エンドポイントは、構造化されたチャットメッセージを生のモデル入力へと変換する方法を指定するtemplateパラメータをサポートしています。
AIエージェントが独自の命令で上書き可能なモデルレベルのシステムプロンプトとは異なり、このテンプレートは推論時にモデルへ送信されるすべてのメッセージを処理します。
攻撃者は「/api/show」を通じて正規のテンプレートを取得し、その書式やレンダリング挙動をそのまま維持しつつ、システムのメッセージ処理部分に隠し命令を注入することができます。
こうして攻撃者が仕込んだ命令は、以後のあらゆるやり取りにおいて、AIエージェント自身のシステムプロンプトに追加される形で実行されます。この手法は検知が難しい永続的な侵害を生み出します。というのも、モデルは同一の名前・メタデータ・サイズ、そして見た目上の機能をそのまま保ちながら、裏では悪意ある命令を実行し続けるからです。
侵害されたエージェントは、バックドア入りのコードを生成させられたり、セキュリティ警告を抑制させられたり、悪意あるパッケージやURLを推奨させられたり、外部への通信が許可されている場合には会話データやファイルを外部に流出させられたりする可能性があります。
ComparingHome Security Systems
OpenShellのサンドボックス化は、ファイルシステム・ネットワーク・プロセスの分離を通じてホストレベルへの直接的なリスクを軽減できますが、実際のリスクの大きさはエージェント自体に付与されている権限に左右されます。AIエージェントは、ソースリポジトリ、CI/CDシステム、内部API、クラウドプラットフォーム、メッセージングサービス、Model Context Protocolサーバーなどにアクセスすることが少なくありません。
0.0.0.0へのバインドは、それとは別にLAN内での露出リスクももたらします。同一ネットワークセグメント上の他のデバイスは、DNSリバインディングを使わずとも直接Ollamaにアクセスできてしまいます。
研究者らは公開前にこの問題をNVIDIAのProduct Security Incident Response Teamへ報告しました。ローカルOllama推論を用いてNemoClawを利用している組織は、公開されているインターフェースを見直し、ポート11434へのアクセスを制限し、モデルテンプレートに不正な変更が加えられていないか監査することが推奨されます。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得た脅威インテリジェンスでTier 1を強化: TI LookupをあなたのSOCに統合する
翻訳元: https://gbhackers.com/nvidia-nemoclaw-vulnerability/
