OpenClaw AIエージェントは、中国の国家コンピュータネットワーク緊急対応技術チーム(CNCERT)が危険なデフォルト設定とプロンプトインジェクション脆弱性を警告した後、セキュリティの精査が強まっています。
研究者は、この問題は理論的なモデル操作を超えており、攻撃者がAIエージェントを無音のデータ流出ツールに変えることができることを警告しています。
AIエージェントがエンタープライズ環境へのより深いアクセスを獲得するにつれて、自動タスク実行、ローカルファイルアクセス、およびサービス統合に関連するリスクが急速に増加しています。
セキュリティ専門家は、AIエージェントを強力にする同じ自動化が、悪意のあるプロンプト操作の影響を増幅する可能性があることに注目しています。
ユーザープロンプトをターゲットにする直接的なプロンプト攻撃とは異なり、この手法はAIエージェントが読むようにプログラムされている外部コンテンツ内に悪意のある指示を埋め込みます。
攻撃は、脅威アクターがWebページまたは他の外部データソース内に指示を隠す場合に開始します。
OpenClawエージェントがコンテンツを処理すると、埋め込まれた指示はエージェントを操作して、攻撃者が制御する特別に作成されたURLを生成させます。
侵害されたエージェントは、認証情報、ローカルファイルのコンテンツ、またはAPIトークンなど、アクセス権を持つ機密情報を、攻撃者のURLのクエリパラメータに無意識のうちに追加します。
エージェントがこのURLをTelegramやDiscordなどのメッセージングプラットフォームを通じてユーザーに送り返すと、攻撃は最も危険な段階に入ります。
多くのメッセージングアプリケーションは、URLが会話に表示されると自動的にリンクプレビューを生成します。これらのプレビューはページメタデータを取得するためのバックグラウンドHTTPリクエストをトリガーします。
この自動リクエストが流出チャネルになります。
重要なことに、この全プロセスはユーザーのインタラクションをゼロ必要とします。被害者がデータ漏洩を発生させるためにリンクをクリックする必要がないため、攻撃は非常にステルスで検出が難しいです。
OpenClawエージェントは複雑なワークフローを自動化するために設計されています。ローカルファイルを読み取り、タスクを実行し、APIにアクセスし、外部サービスと対話することができます。
これらの機能は生産性を向上させますが、プロンプトインジェクション攻撃の潜在的な影響を劇的に増加させます。
いくつかの要因がOpenClawの展開におけるセキュリティリスクを著しく増幅します：
研究者は、AIエージェントが外部コンテンツを閲覧できるようになると、組織は悪意のあるプロンプトが最終的にそれに到達することを想定する必要があることを強調しています。
セキュリティ専門家は、組織がプロンプトインジェクション脅威を単純なモデルの欠陥ではなく、アーキテクチャセキュリティの問題として扱う必要があると述べています。
AIエージェントが動的なWebコンテンツと対話する場合、従来の入力検証アプローチだけは不十分です。
OpenClawの悪用のリスクを減らすために、組織は以下のセキュリティ対策を実装する必要があります：
AI駆動の自動化がエンタープライズ運用により統合されるようになると、研究者はプロンプトインジェクションがエージェントベースシステムの最も重要なセキュリティ課題の1つに進化する可能性があることを警告しています。
OpenClawケースは、一見無害に見えるAIの動作がどのようにしてデータ流出の秘密チャネルに操作されるかを示しています。