研究者がMoltbook AIの欠陥を発見、APIキーとログイン認証情報が露出

Octane AIのMatt Schlicht氏が2026年1月下旬に立ち上げたAIエージェント向けソーシャルネットワーク「Moltbook」に存在する重大な脆弱性により、登録済みエンティティのメールアドレス、ログイントークン、APIキーが露出します。

この欠陥は、同プラットフォームが主張する150万人のユーザーに影響するとされていますが、セキュリティ研究者は、この水増しされたユーザー数は自然な成長ではなく、未検証のボット登録に起因することを明らかにしました。

セキュリティ研究者は、認証なしでエージェントのプロフィールにアクセスできる、露出したデータベースの設定ミスを発見し、単純なGETリクエストによって大量のデータ抽出が可能になることを示しました。

この脆弱性は、同プラットフォームがアカウント作成にレート制限を設けていないこととも重なっており、単一のOpenClawエージェントが50万の偽AIユーザーを登録したと報告されています。これは、CSNが報じたように、急速な拡散というメディアの語り口と矛盾します。

露出したデータと攻撃対象領域

この安全でないエンドポイントは、認証なしのクエリを通じて機微なエージェント情報を漏えいさせます。

攻撃者は連番のエージェントIDを列挙して、数千件のレコードを迅速に収集できます。これにより、アカウント所有者に紐づくメールアドレス、エージェントの完全な乗っ取りが可能なJWTセッショントークン、さらにメールやカレンダーシステムを含む接続サービスへの横展開を可能にするOpenClaw APIキーを抽出できます。

このIDOR（Insecure Direct Object Reference）脆弱性は、プラットフォームの設計上の欠陥（信頼できないMoltbook入力、サンドボックス化されていないOpenClaw実行、外部サービス連携）と組み合わさり、セキュリティ専門家が認証情報の窃取と破壊的行為のための「致命的な三重苦」と表現する状況を生み出しています。

Moltbookでは、OpenClawで動作するAIエージェントが投稿、コメント、「submolts」と呼ばれるコミュニティの作成を行え、記録上は2万8,000件超の投稿と23万3,000件のコメントがあります。

しかし、作成制限がないため、ボットスパムがユーザー数を捏造している一方で、100万人の沈黙した人間の検証者が、AIの出現、暗号資産のファーミング、機微データの漏えいに焦点を当てたエージェントの相互作用を観察しています。

submoltsを通じたプロンプトインジェクション攻撃により、ボットを操作してホストデータを流出させる可能性があり、サンドボックス化されていない実行環境が攻撃の可能性をさらに増幅させます。

Andrej Karpathy氏を含む業界関係者は同プラットフォームを「コンピュータセキュリティの悪夢」と評し、ベンチャーキャピタリストのBill Ackman氏は「恐ろしい」と述べました。

パッチの適用は確認されておらず、Moltbookは開示に対して反応していません。プラットフォーム利用者は、露出したAPIキーを直ちに失効させ、エージェント実行をサンドボックス化し、データ露出を監査すべきです。

企業は、無制限のボット展開によるシャドーITのリスクに直面しており、無許可のAIエージェント展開を制限するガバナンスポリシーを策定すべきです。