便利ツールのはずがPC乗っ取られる？AIエージェント史上最悪の事件を解説

この記事の内容

「オープンクロー」は、オープンソースのAIエージェントプラットフォームです。ローカル環境でもクラウドの大規模言語モデル（LLM）でも動作可能で、拡張機能（スキル）を追加することで多様なタスクを自動化できます。

スキルは「クローハブ（CLOW Hub）」というマーケットプレイスで配布されており、誰でも新しい機能を追加できる仕組みになっています。

事件の中心はこのスキルマーケットでした。調査の結果、登録されていた2857個のスキルのうち341個（約12%）が悪意あるコードを含んでいたことが判明しました。さらにそのうち335個が同一の攻撃者グループによるもので、組織的な攻撃であることが分かりました。

これらのスキルの多くは暗号資産を標的としており、秘密鍵や認証情報（APIキー、SSHキーなど）を盗み出すよう設計されていました。

ユーザーは「便利そうなスキル」を見つけてインストールします。その際、スキルの前提条件として「追加のファイルをダウンロード・実行してください」と指示されることがあります。この手順に従うと、ユーザー自身がマルウェアをインストールしてしまう仕組みになっていました。

つまり、AIエージェント自体が直接攻撃するわけではなく、ユーザーの操作を巧妙に誘導して感染させる形のサプライチェーン攻撃だったのです。

加えて、オープンクロー本体にも深刻な脆弱性が存在していました。悪意あるWebページを訪問するだけで、オープンクローがインストールされたPCを完全に乗っ取られるというものです。

この脆弱性（CVE-2625253）は「WebSocketのオリジン検証が欠如していた」ことに起因し、攻撃者が認証トークンを奪取してサンドボックスを無効化することが可能でした。結果として、ホストマシンの完全な支配を許してしまう非常に危険な状態だったのです。

シスコのセキュリティチームは、オープンクローのようなパーソナルAIエージェントについて「セキュリティの悪夢」と断言しています。

理由は以下の通りです。

公式ドキュメントにも「完璧な設定は存在しない。セキュリティは基盤ではなくオプションである」と明記されており、根本的な構造の問題が指摘されています。

2026年1月末の時点で、2万1639台のオープンクローインスタンスがインターネットに公開されていたことが確認されています。わずか1週間で1000台から2万台超へと急増しており、これらがすべて攻撃者の標的になる可能性があるとされています。

身に覚えのないスキルや不審なものがないかチェックしましょう。

外部ファイルのダウンロードを要求するもの、暗号資産関連のスキルなどは要注意です。

シスコが提供するスキル安全性評価ツールを活用し、事前にリスク検査を行いましょう。

攻撃者が使用していたC&Cサーバーへの通信を遮断しましょう。

過剰な権限を持つツールをむやみに導入しないことが重要です。

この事件は、AIエージェントが新しい攻撃ベクトルになり得ることを示しました。今後、企業ネットワーク内で人間の認証情報を持つAIエージェントが外部攻撃者に操作される――そんな事態も現実化する可能性があります。

そのため、次のような動きが予想されます。

AIエージェントは今後、業務効率化の中心的存在になるでしょう。しかし、便利さの裏側にサイバーリスクが潜んでいることを忘れてはいけません。

スキルや拡張機能を導入する際は、「信頼できる提供元か」「過剰な権限を要求していないか」を必ず確認しましょう。そして、セキュリティ対策を「後付け」ではなく「前提」として設計することが、これからのAI時代を安全に生き抜く鍵となります。

今回のオープンクローを巡る事件は、AIエージェントのセキュリティが単なる「おまけ機能」ではなく、設計の根幹に据えるべき要件であることを改めて教えてくれました。ツールの利便性を享受しながら、適切なリスク管理を続けていきましょう。