NVIDIA、モデル汚染デモを受けてNemoClawの重大な脆弱性を修正

悪意あるWebページから、脆弱性を抱えたNVIDIA NemoClawの展開環境の背後にあるローカルモデルサーバーに到達し、AIエージェントが使用するモデルを改ざんできることが分かりました。

NVIDIAは、CVE-2026-65105として追跡されているこの脆弱性を8月25日に修正しました。同社はこの脆弱性を深刻度「高」と評価し、CVSSスコアは8.1としています。影響を受けるのはNemoClaw for Linuxのバージョン0から0.0.25までです。悪用に成功した場合、情報漏えいやサービス拒否につながる可能性があります。

NemoClawは、Ollamaをローカル推論に使用しながら、OpenShellサンドボックス内でOpenClawエージェントを実行できる仕組みです。今回の脆弱性は、こうした制御機構の下層にある推論レイヤーに存在するもので、エージェントのインフラ、権限、サンドボックス境界に関わる最近のOpenClawの脆弱性に対する懸念をさらに深める内容となっています。

NemoClawの脆弱性がローカル推論を危険にさらす仕組み

NVIDIAはCVE-2026-65105に関するセキュリティ情報の中で、この脆弱性をCWE-306(重要な機能に対する認証の欠如)に分類しています。CVSSベクターでは、攻撃の複雑さは低く、必要な権限や利用者の操作は不要で、攻撃経路は隣接ネットワークとされています。

Oasis Securityが調査した構成では、NemoClawはOLLAMA_HOST=0.0.0.0:11434の設定でOllamaを起動しており、サービスをループバックに限定せず、すべてのネットワークインターフェースに公開していました。Ollama APIは認証を必要としないため、このサービスに到達できるシステムであれば誰でも直接操作できる状態にありました。

Oasisの研究者らはDNSリバインディング攻撃を実証しました。これにより、脆弱な構成下でブラウザ上のJavaScriptからOllamaに到達できることが示されました。その後、/api/createエンドポイントを使い、メッセージの整形方法を制御するモデルのチャットテンプレートを改ざんしました。

挿入された指示はその後の会話でも保持され、エージェントが別のシステムプロンプトを与えられた場合でも有効なままでした。この概念実証では、研究者らが基盤となるモデルを汚染した後に同じクエリを再度実行したところ、サンドボックス化されたエージェント自体を直接改変することなく、注入したマーカーを含む応答が返ってきました。

同様の分離に関する問題は、AI開発ツール全般でも表面化しています。Black Hat 2026では研究者らが、信頼できない入力を通じて認証情報や開発環境を露出させる恐れがあるAIコーディングエージェントの深刻な脆弱性を公表しました。

NVIDIAが脆弱性を修正、各チームは対策強化へ

NVIDIAは、バージョン0から0.0.25までが影響を受けるとし、バージョン0.0.25に関連するコミットf06796ff3にセキュリティ更新が含まれているとしています。0.0.25は影響を受けるバージョンと修正済みバージョンの両方に記載されているため、管理者はバージョン番号だけに頼らず、展開しているコードに修正コミットが含まれているかどうかを確認する必要があります。

組織は、ローカル推論サービスをめぐるリスクをさらに低減するために、以下の対策を講じることができます。

• 影響を受ける展開環境を更新し、修正を確認する。展開しているNemoClawのコードにNVIDIAの修正コミットが含まれていることを確認します。
• Ollamaへのアクセスをループバックに制限する。広範なアクセスが明示的に必要な場合を除き、バックエンドは127.0.0.1にとどめます。
• リモートアクセスには認証を必須とする。推論サービスの前段に認証付きプロキシとファイアウォール制御を配置します。
• 設定と実行時の変化を監視する。リッスンしているインターフェース、モデルのテンプレートや設定、機密性の高いAPIの動作について、予期しない変更がないか監視します。
• AIエージェントに最小権限の原則を適用する。アクセスできるリポジトリ、CI/CDシステム、API、クラウドリソース、認証情報を制限します。正式なエージェント型AIのガバナンスにより、こうした境界を定義・強制できます。
• モデル設定の基準を確立する。改ざんを検知し、復旧を支援できるよう、正常な状態のテンプレートと設定を維持します。
• インシデント対応計画をテストする。分離、整合性チェック、認証情報のローテーション、復元などを含む、モデル汚染や推論サービスの露出を想定したシナリオを訓練します。

CVE-2026-65105は、推論サーバーとモデル設定に対しても、他の権限の高い本番インフラと同様の認証、セグメンテーション、監視、インシデント対応の管理体制が必要であることを示しています。

関連記事: 攻撃者は、Webページや文書、AIエージェントが処理するその他のコンテンツに悪意ある指示を隠す間接的なプロンプトインジェクション手法の悪用も進めています。