OpenClawの重大なセキュリティ脆弱性：2026年！Web閲覧だけでAIエージェント乗っ取りの危険

📖この記事は約13分で読めます

1. WebブラウザだけでAIエージェントが乗っ取られる？OpenClawの深刻な脆弱性

2026年2月26日、Oasis SecurityはオープンソースAIエージェント「OpenClaw」に重大なセキュリティ脆弱性を発見したと発表しました。この欠陥により、ユーザーが単にWebサイトを閲覧するだけで、ローカル環境にインストールされたOpenClawを完全に乗っ取られる可能性が生じます。開発チームは深刻度を「High」と判断し、わずか24時間以内に修正版を公開しました。

OpenClawは自己ホスト型AIエージェントとして注目を集めており、GitHubでのスター数が5日で10万を突破するなど急成長を遂げています。ノートPCやモバイル端末で動作し、メッセージングアプリやカレンダー、開発ツールと連携して自律的にタスクを実行しますが、今回の脆弱性はその核心部分に潜んでいました。

この脆弱性の最大の危険性は「クロスオリジン制限の回避」にあります。通常、ブラウザはlocalhostへのWebSocket接続を外部サイトから遮断しますが、OpenClawのゲートウェイ設計ではこのルールが無視されていました。結果として、悪意あるJavaScriptがローカルのゲートウェイに直接接続し、パスワードの総当たり攻撃を1秒数百回実行できる状況が生まれました。

実際に検証された結果、一般的なパスワードは数秒で突破されることが確認されています。認証成功後は自動的に「信頼済みデバイス」として登録され、管理権限を取得するため、Slackの履歴やAPIキー、システムコマンドの実行までが可能になります。これは単なる情報漏洩ではなく、開発環境全体の乗っ取りに等しいレベルのリスクです。

2. OpenClawの仕組みと脆弱性の技術的詳細

OpenClawは「ゲートウェイ」と「ノード」の2層構造で構成されています。ゲートウェイはローカルでWebSocketサーバーを起動し、認証や設定管理、ノードとの通信を統括します。ノードはmacOSアプリやiOS端末で動作し、ゲートウェイから指示を受けてタスクを実行します。この設計により、ユーザーは複数の端末を一元管理できる利便性を享受しています。

しかし、この設計には致命的な欠陥がありました。ゲートウェイが「localhostからの接続のみを信頼」する仕様でしたが、WebSocketのクロスオリジン制限が無視されていたため、外部Webサイトからlocalhostへの接続が許可されていました。攻撃者はJavaScriptでWebSocketを介してゲートウェイに接続し、パスワードの総当たりを実行できるのです。

さらに、localhost経由のパスワード試行には回数制限やログ記録がありませんでした。検証ではJavaScriptスクリプトだけで1秒間に数百回の試行が可能で、一般的なパスワードは短時間で突破されました。認証後は「信頼済みデバイス」として自動登録され、管理権限を取得できます。

Oasis Securityは、この脆弱性を悪用する概念実証（PoC）コードを公開しています。このコードは、攻撃者がOpenClawのゲートウェイに接続し、設定情報の取得やノードの一覧表示、ログの閲覧、シェルコマンドの実行などを行うことができます。この他、Slack履歴の検索やAPIキーの抽出、ファイルの外部送信にも悪用可能です。

3. 他のAIエージェントとの比較とOpenClawの特徴

OpenClawは自己ホスト型AIエージェントとして、他社製品と比べて高い柔軟性を誇ります。例えば、MicrosoftのPower AutomateやGoogleのVertex AI Agentはクラウドに依存するのに対し、OpenClawはローカル環境で完全に動作します。この設計により、プライバシー保護やネットワーク依存の回避が可能ですが、逆にローカル環境のセキュリティがより重要になります。

OpenClawの強みはその「自律性」です。ノードが自律的にタスクを実行するため、ユーザーの手を煩わせません。しかし、今回の脆弱性はこの自律性が逆にリスクとなる可能性を示しています。他のAIエージェントでは、クラウド側でセキュリティ制御が強化されているケースが多いですが、OpenClawはローカル側の設計ミスが致命的になりました。

例えば、OpenClawのゲートウェイはWebSocket経由でノードと通信しますが、一般的なAIエージェントはHTTPSやOAuth2.0を用いて通信を保護します。この点でOpenClawはセキュリティ設計が甘く、攻撃面が広がっていました。

開発チームは修正版でWebSocketのクロスオリジン制限を強化し、パスワード試行の回数制限とログ記録を導入しました。また、認証成功後のデバイス登録プロセスも見直し、管理権限の付与条件を厳しくしています。

4. OpenClawのメリットとデメリット：実用性とリスクのバランス

OpenClawの最大のメリットは「ローカル環境での自律的なタスク自動化」です。メッセージングアプリの自動返信やカレンダーの同期、開発ツールの自動化など、ユーザーの生産性を大幅に向上させます。また、クラウドにデータを送信しないため、プライバシー保護が求められる業界でも導入が進んでいます。

しかし、今回の脆弱性はそのリスクを如実に示しています。ローカル環境にインストールされたAIエージェントが外部からの攻撃に晒されるリスクは、クラウド型に比べて高まります。特に、WebSocket経由の通信はセキュリティ対策が不足しがちで、攻撃面が広がりやすいです。

また、OpenClawは開発者主導で導入されることが多いため、IT部門の可視性外に置かれがちです。この点で、企業のセキュリティポリシーと整合性が取れず、新たな管理課題となっています。

コストパフォーマンスの面では、OpenClawはオープンソースであり、導入コストが低いことがメリットです。しかし、セキュリティ対策にかかる運用コストや、攻撃に遭った際の復旧コストを考慮すると、慎重な評価が必要です。

5. 開発者とユーザーへの緊急対応：OpenClawの安全な活用法

OpenClawのユーザーは、まず修正版の適用を最優先で行う必要があります。バージョン2026.2.25以降で修正が適用されているため、開発チームの公式リポジトリから最新版をダウンロードし、インストールを完了してください。修正版ではWebSocketのクロスオリジン制限が強化され、パスワード試行の回数制限とログ記録が導入されています。

さらに、以下の手順でセキュリティ対策を強化しましょう。

• 強固なパスワードを設定し、定期的に変更する。
• ゲートウェイのアクセスをローカルネットワーク内に限定する。
• 不要な認証情報を削除し、最小限の権限で運用する。
• AIエージェントを独立したIDとして管理し、権限の監査を実施する。

企業ユーザーは、OpenClawの利用状況をIT部門が把握し、統制体制を整える必要があります。特に、開発者主導で導入されるツールは、セキュリティリスクが高まりがちです。IT部門が導入プロセスを管理し、セキュリティポリシーと整合性を取ることが重要です。

今後のOpenClawの開発には、セキュリティ設計の再考が求められます。WebSocketの代替通信プロトコルや、より強固な認証メカニズムの導入が期待されます。また、コミュニティの監視体制を強化し、脆弱性の早期発見・修正を促進する仕組みが求められます。

OpenClawはAIエージェントの可能性を広げる画期的なツールですが、今回の脆弱性はその反面、セキュリティ設計の重要性を改めて浮き彫りにしました。ユーザーは修正版の適用と運用上の注意点を徹底し、安全に活用することが求められます。

実際の活用シーン

OpenClawは、多様なシーンで活用されています。例えば、企業のIT部門では、SlackやTeamsのメッセージングプラットフォームと連携して、チケット管理や障害対応を自動化しています。OpenClawが自律的に優先度の高い案件を識別し、適切な担当者に割り当てることで、対応速度が劇的に向上します。ただし、今回の脆弱性により、外部からの不正アクセスでSlackの履歴やAPIキーが盗まれるリスクがあるため、運用時のセキュリティ対策が不可欠です。

開発者コミュニティでは、OpenClawをCI/CDパイプラインの補助ツールとして使用するケースが増えています。コードプルリクエストの自動レビュー、テストスクリプトの実行、デプロイメントのステータス確認など、複数のタスクを連携して実行します。しかし、WebSocket通信の脆弱性により、悪意ある攻撃者がローカルの開発環境に侵入し、ソースコードやデプロイ情報にアクセスする可能性があります。このため、開発環境の分離や厳格なアクセス制御が求められます。

個人ユーザーの間では、カレンダーやタスク管理アプリとの統合が注目されています。OpenClawが自律的にスケジュールを調整し、予定の重複や空き時間を提案することで、日常業務の効率化が図れます。一方で、個人情報の漏洩リスクが高いため、パスワードの強化やローカルネットワークのセキュリティ対策が必須です。特に、クラウド連携を避けることでプライバシーを守るという利点と、ローカル環境の脆弱性がリスクになるというジレンマがあります。

他の選択肢との比較

OpenClawの競合製品として、MicrosoftのPower AutomateやGoogleのVertex AI Agentが挙げられます。これらの製品はクラウドベースの設計であり、OpenClawとは異なるセキュリティアプローチを採用しています。例えば、Power AutomateはOAuth2.0とHTTPSを組み合わせた通信プロトコルを使用し、ユーザー認証を強化しています。また、GoogleのVertex AI Agentは機械学習モデルの安全性を確保するため、クラウド側で厳格なセキュリティポリシーを適用しています。

一方、OpenClawはローカル環境での自律性を重視する設計を選択したため、クラウド型製品と比べて通信プロトコルの柔軟性が高い反面、セキュリティ対策が後手に回る傾向があります。これは、ユーザーが「ローカル環境＝安全」という誤った認識を持つ原因にもなります。特に、WebSocketのクロスオリジン制限を無視する設計ミスは、クラウド型製品では見られない典型的なローカル環境特有の脆弱性です。

さらに、OpenClawのオープンソース性が強みである一方、コミュニティの監視体制が不十分な場合、脆弱性の発見・修正が遅れがちです。一方、MicrosoftやGoogleの製品は、大規模なエンジニアリングチームが常駐しており、セキュリティパッチの迅速な対応が可能です。この点では、企業が導入する際の信頼性に差が生じる可能性があります。

導入時の注意点とベストプラクティス

OpenClawを導入する際には、まずローカル環境のセキュリティ設計を再評価することが重要です。WebSocket通信を外部から遮断するため、ファイアウォールの設定やプロキシサーバーの導入が推奨されます。また、ゲートウェイのポート番号を変更し、外部からのアクセスを最小限に抑えることも有効です。特に、クラウドとの連携が必要ない場合は、localhostのみを許可する設定に切り替えるべきです。

パスワード管理の強化も不可欠です。OpenClawのデフォルトパスワードは「admin」という単純な設定であるため、導入直後から変更することが求められます。さらに、パスワードの複雑性を高め、定期的な更新サイクルを設定することで、総当たり攻撃のリスクを抑えることができます。企業環境では、シングルサインオン（SSO）や多要素認証（MFA）の導入も検討すべきです。

運用上の注意点として、OpenClawのノードとゲートウェイの分離運用が挙げられます。例えば、ノードは開発用端末にインストールし、ゲートウェイは独立したサーバーで動作させる形態を採用することで、攻撃が発生した場合の影響範囲を限定できます。また、AIエージェントの動作ログを定期的に監査し、不正なアクセスや異常なコマンド実行を迅速に検出できる体制を整える必要があります。

今後の展望と発展の可能性

OpenClawの今後の発展には、セキュリティ設計の再構築が急務です。WebSocketの代替として、HTTPSやgRPCなどのより安全な通信プロトコルを導入する動きが期待されます。また、OAuth2.0やJWTベースの認証メカニズムの導入により、外部からのアクセスを厳格に制限する仕組みが求められます。これらの改善により、ローカル環境のセキュリティとクラウド型製品の信頼性を両立させたモデルが実現可能です。

さらに、OpenClawのコミュニティ主導の開発スタイルを活かし、セキュリティの透明性を高める取り組みが進むと期待されます。例えば、定期的なセキュリティアセスメントや、外部セキュリティリサーチャーとの連携が強化されれば、脆弱性の早期発見・修正が可能になります。また、ユーザー向けのセキュリティトレーニングや、導入時のチェックリストの提供も検討されるべきです。

長期的には、OpenClawがAIエージェントの分野で「セキュリティ」と「自律性」の両立を模範として示す存在となる可能性があります。今回の脆弱性は、ローカル環境のセキュリティ設計が見直される契機となり、今後、より洗練された自己ホスト型AIエージェントの市場が広がるでしょう。

---

📦 この記事で紹介した商品