OpenClawのスキル17％に悪性コード 勝手に使われる前の5つの防衛線：自律型AIエージェントの安全な導入ガイド

爆発的に普及する自律型AI「OpenClaw」。その高い利便性の裏で、脆弱性や悪意ある拡張機能による漏えいリスクが急浮上している。シャドーIT化を防ぎ組織を守るため、今CISOが講ずべき「5つの防衛線」とは。

[Matthew Smith，TechTarget]

　「OpenClaw」は、近年で最も急速に普及したオープンソースツールの1つだ。2025年末に「Clawdbot」という名称で公開されたこの自律型AIエージェントは、現在GitHubで数十万のスターを獲得し、サードパーティー製スキルのエコシステムを急速に拡大させている。

　CISO（最高情報セキュリティ責任者）を始めとするビジネスリーダーにとって、OpenClawの魅力は明らかだ。日常のワークフローの自動化やカレンダー、受信トレイの管理、さらには自然言語コマンドによるSaaSプラットフォームの操作が可能になる。しかし、その利便性と引き換えに、従来のセキュリティモデルでは対処できない脅威面（アタックサーフェス）が生じている。

CISOがOpenClawを注視すべき理由

「OpenClaw」に関連する編集部お薦め記事

　OpenClawは、大規模言語モデル（LLM）とローカルシステムのリソースを橋渡しすることで動作する。シェルコマンドの実行やブラウザ操作、ファイルの読み書き、外部サービスとの連携が可能だ。ユーザーは「Slack」「Signal」「Discord」などのチャットツールからこれらを起動できる。

　利便性を支えるこれらの権限は、同時に危険の源でもある。Google WorkspaceやMicrosoft 365などの企業向けツールに接続すると、OpenClawはメールや文書、カレンダー、OAuthトークンにアクセスできるようになる。これにより、環境内での横展開（ラテラルムーブメント）を許す恐れがある。セキュリティ研究者は、プライベートデータへのアクセス、外部通信能力、信頼できないコンテンツへの露出という組み合わせを、企業のAIリスクの「致命的な三要素」と表現している。

OpenClawに潜むセキュリティリスク

　OpenClawのリスクは理論上の話ではない。セキュリティ研究者は、インターネット上に公開されている100万件以上のOpenClawインスタンスを特定した。そのうち10万件以上は、リモートコード実行（RCE）が可能な脆弱な状態だった。CVSSスコアが8.8と評価された重要な脆弱性「CVE-2026-25253」に加え、複数のコマンドインジェクションについての勧告も公表されている。

　さらに事態を悪化させているのが、サプライチェーンの汚染だ。2026年初頭の調査では、公開されているスキルのレジストリ「ClawHub」にあるスキルの約17％に、悪意あるコードが含まれていたことが判明した。その中には、認証情報の窃取やデータの外部流出を実行するペイロードも含まれている。

　企業の情報システム部門にとって最も懸念すべきは「シャドーAI」の側面だ。OpenClawのインストールには管理者権限を必要とせず、標準的な監視ツールが検知できるような特徴的なネットワークシグネチャも生成しない。

OpenClawのリスクを管理するための実務的なステップ

　大きなセキュリティリスクがあるが、OpenClawのようなエージェント型AIツールは今後も定着し続けるだろう。生産性向上への寄与を考えれば、セキュリティ部門の認可にかかわらず従業員による導入は進む。

　最も効果的なアプローチは、OpenClawを全面的に禁止することではない。既存のリスク管理フレームワークに組み込むことだ。明確なポリシー、分離された環境、検証済みのサプライチェーン、そして継続的な監視から始める必要がある。

導入前のガバナンス確立

　OpenClawの利用を許可する前に、許容される利用ポリシー（AUP）を策定する。どの部門がデプロイできるか、どのデータにアクセス可能か、どの連携機能が承認されるかを具体的に定める。

　OpenClawのインスタンスは、特権を持つサービスアカウントと同様に扱うべきだ。正式なプロビジョニング、定期的なレビュー、退職時のオフボーディング手順を適用する。

実行環境の分離

　OpenClawは、本番ネットワークや機密データストアから分離された、専用の仮想マシン（VM）またはコンテナ内にのみデプロイする。

　権限は必要最小限に留め、専用の非特権認証情報を使用させる。Microsoftのセキュリティガイダンスでは、エージェントの実行環境を「信頼できない実行境界」として扱うことを推奨している。

スキルのサプライチェーンを固定する

　ClawHubレジストリでの侵害事例を踏まえ、組織は検証済みのスキルのみを含む内部の許可リスト（アローリスト）を維持すべきである。

　スキルを導入する前には、その「SKILL.md」マニフェストとソースコードを確認し、隠されたネットワークコールや不審な挙動がないか調査する。サンドボックスでのテストを経ずに、新しいスキルを本番環境へ直接投入してはならない。

継続的な監視の実装

　コマンド実行、API呼び出し、思考の連鎖（Chain-of-thought）のログを含め、エージェントの全行動を詳細に記録するように設定する。これらのログをSIEM（セキュリティ情報イベント管理）に転送し、環境寄生型（Living-off-the-land）攻撃に似た検知ルールを構築する。エンドポイントセキュリティだけではエージェントの挙動を解釈できない。振る舞い分析や異常検知による補完が必要だ。

NIST SP 800-53コントロールとの整合

　NIST（米国国立標準技術研究所）は、広く採用されている「SP 800-53」フレームワークを基に、自律型およびマルチエージェントAIシステムを保護するためのガイダンスを開発している。

　CISOが優先すべき管理項目には、アクセス制御、監査と説明責任、システムと通信の保護、そしてサプライチェーンのリスク管理が含まれる。OpenClawの導入をこれらのコントロールにマッピングすることで、防御可能なセキュリティ体制を整えられる。また、取締役会でリスクを説明する際の共通言語としても機能する。

　OpenClawの運用で、従来のエンドポイントツールやネットワーク監視ツールは、プロセスの実行やAPI呼び出しを検知することはできる。エージェントの挙動を解釈したり、正当な自動化と侵害を区別したりすることはできない。この可視性のギャップを埋めることが中心的な課題となる。今のうちにガードレールを確立した組織こそが、エコシステムの成熟に合わせて自律型AIを安全に活用できる立場を得るだろう。