NVIDIA NemoClawに存在する重大な脆弱性(CVE-2026-65105として追跡)により、攻撃者は被害者が悪意あるウェブサイトを訪問した後にAIエージェントを乗っ取ることが可能になります。
この問題は、安全性に欠けるOllamaのネットワーク設定とDNSリバインディングを組み合わせたもので、ローカルのモデルサーバーへの認証なしのアクセスと、OpenClawエージェントが使用するモデルテンプレートへの持続的な汚染を可能にします。
NemoClawは、NVIDIA OpenShellサンドボックス内でOpenClaw AIエージェントを実行し、ローカル推論のためにOllamaをサポートしています。この構成により、開発者はプロンプトやコードをクラウドAPIに送信することなく、手元のハードウェア上で処理できます。
OpenShellサンドボックスはDocker コンテナ内で動作しますが、これによって接続上の課題が生じます。コンテナは、ホストのループバックインターフェースのみでリッスンしているOllamaサービスに到達できないのです。
この制限に対処するため、NemoClawはOLLAMA_HOST=0.0.0.0:11434の設定でOllamaを起動します。この設定によりコンテナからサービスにアクセスできるようになりますが、同時にOllamaがすべてのネットワークインターフェースにバインドされてしまいます。
報告によれば、NemoClawはこのサービスをlocalhost:11434で動作していると説明していますが、実際にはこのリスナーはローカルネットワークから到達可能な状態になっています。
Ollamaはポート11434で認証なしのHTTP APIを公開しています。その代わりに、ウェブページから発生するリクエストを制限するため、CORSの適用とHostヘッダーの検証というセキュリティ制御に依存しています。
研究者のElad Luz氏とOfek Itach氏は、Ollamaが0.0.0.0を含む非ループバックアドレスにバインドされている場合、Hostヘッダーの検証をスキップしてしまうことを発見しました。これにより、防御手段としてはCORSのみが残る形になります。
攻撃者はDNSリバインディングを使ってこの防御を回避できます。まず被害者は、リモートサーバーに解決される攻撃者制御下のドメインを読み込みます。その後、攻撃者はDNSの応答を変更し、同じドメインが127.0.0.1やLAN内のアドレスに解決されるようにします。
ブラウザのオリジンチェックは解決後のIPアドレスではなくホスト名に基づいて行われるため、攻撃者のページ上のJavaScriptは、ブラウザからは同一オリジンとみなされるリクエストを発行できますが、実際にはそのリクエストは被害者のOllama APIに送られます。
この攻撃が成功すると、攻撃者はOllamaのエンドポイントにアクセスできるようになります。インストール済みモデルの列挙、モデル情報やテンプレートの取得、被害者のGPU上での任意の推論実行、ディスク容量を消費させるためのモデルのダウンロード、モデルの削除、あるいはOllamaアカウントの強制サインアウトなどが可能になります。
さらに深刻なシナリオは、モデルの改ざんです。Cyeraによれば、攻撃者はモデルのチャットテンプレートを汚染できます。このテンプレートは、推論時に使用される生のプロンプトへと構造化メッセージを変換する役割を担っています。
単純な悪意あるシステムプロンプトは、OpenClaw自身が独自のシステム指示を提供する場合には上書きされてしまう可能性があります。しかし、テンプレートレベルでのインジェクションはより持続性が高く、エージェントがシステムメッセージを送信するたびに攻撃者が定義した指示を追加でき、しかもモデルの動作や書式はそのまま維持されます。
この汚染は会話をまたいで持続し、改ざんされたモデルを使用するすべてのクライアントに影響を及ぼす可能性があります。乗っ取られたエージェントは、脆弱なコードへと誘導されたり、セキュリティアラートを抑制するよう指示されたり、攻撃者が制御するパッケージを推奨するよう仕向けられたり、ツールを通じて情報を外部に持ち出すよう指示されたりする恐れがあります。
OpenShellによる隔離はホスト上での活動を制限しますが、エージェントの各種連携機能はソースコード管理、CI/CDパイプライン、クラウドサービス、内部API、MCPサーバーにまで及んでいる可能性があります。
組織は、Ollamaの公開範囲を制限し、ポート11434をファイアウォールで保護し、テンプレートの変更を監視するとともに、モデルサーバーを重要なサービスとして扱うべきです。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/nvidia-nemoclaw-flaw/
