1. これは何の話？

2026年2月、AIエージェント業界を揺るがす大規模なセキュリティインシデントが発生しました。 人気のオープンソースAIエージェント**「OpenClaw」**のスキル（拡張機能）を配布するマーケットプレイス「ClawHub」に、大量のマルウェアが混入していたというニュースです。 発見された悪意あるスキルは341個に及び、これは全登録数の約12%に達します。つまり、ユーザーが何も考えずにスキルを8個入れたら、確率的に1個はマルウェアであるという極めて危険な状態が続いていました。

2. 何がわかったか

セキュリティ企業Koi SecurityおよびCiscoの調査により、以下の衝撃的な事実が明らかになりました。

  • ClawHavoc作戦: 341個のうち335個は同一のC&Cサーバー（司令塔サーバー）に接続しており、組織的な犯行でした。「Solanaウォレットトラッカー」や「YouTube便利ツール」など、ユーザーが欲しがる機能を装っていました。
  • 攻撃の手口: スキルをインストールすると「前提条件（Prerequisites）」として外部ファイルのダウンロードを促され、指示に従うと情報窃取マルウェア（AMOS Stealer）が感染します。
  • 盗まれる情報: 暗号資産ウォレットの秘密鍵、取引所のAPIキー、SSH認証情報、ブラウザの保存パスワードなど、金銭に直結するデータが根こそぎ抜かれます。
  • 致命的脆弱性 (CVE-2026-25253): これとは別に、悪意あるWebページを開くだけでOpenClaw経由でPCを乗っ取られる脆弱性も見つかっており、RCE（リモートコード実行）が可能な状態でした。

3. 他とどう違うのか

従来の「怪しいソフトをダウンロードしない」という対策が通用しにくい点が特徴です。 今回は**「公式マーケットプレイス」**にマルウェアが大量に陳列されていたため、ユーザーは「公式にあるものだから安全だろう」と信じてインストールしてしまいました。これはnpmやPyPIで発生する「サプライチェーン攻撃」のAIエージェント版であり、エージェントエコシステムの未熟さを露呈させる事件です。 また、AIエージェントは「PCの操作権限（シェル実行やファイル操作）」を最初から持っているため、一度侵入を許すと被害が甚大になります。

4. なぜこれが重要か

これは**「AIエージェントセキュリティ元年」**を告げる事件です。 Palo Alto Networksは「2026年はAIエージェントが最大の攻撃ベクトルになる」と予測していましたが、それが現実となりました。 私たちは「AIにPCの操作権限を与える」ことの重さを再認識する必要があります。「何でもできる」エージェントは、裏を返せば「何でも盗める」スパイになり得るのです。 特に、暗号資産を扱うユーザーや開発者は、AIエージェントの導入に際して最大限の警戒が必要です。

5. 未来の展開・戦略性

この事件を受けて、AIエージェント業界ではセキュリティ基準の厳格化が急速に進むでしょう。 AppleのApp Storeのように、スキルの公開前に人間による厳格な審査（Human Review）が入るようになるか、あるいはサンドボックス技術の強化（コンテナ化）が標準となるはずです。 OpenClaw自体も、財団化（別ニュース参照）と合わせてガバナンス体制を刷新し、信頼回復に努めることになります。

6. どう考え、どう動くか

OpenClawユーザーは、今すぐ以下の対策を実行してください。

具体的な指針（最大3項）：

  1. スキルの一斉点検: コマンド openclaw skills list でインストール済みスキルを確認し、少しでも不審なものや不要なものは即座に削除する。
  2. Skill Scannerの実行: Ciscoが公開したチェックツール（詳細は公式情報を参照）を導入し、手元のスキルの安全性をスキャンする。
  3. クレデンシャルの変更: 万が一の感染を考慮し、PC内で扱っていたAPIキー、SSH鍵、取引所のパスワード、ウォレットのシードフレーズを全て変更・再発行する。
  • 次の一歩
    • 今日やること：自分のOpenClawインスタンスがインターネット（0.0.0.0）に公開されていないか確認し、localhostのみに制限する。
    • 今週やること：重要な資産（メインのウォレットや本番環境の認証情報）を扱うPCからは、AIエージェントをアンインストールするか、完全な隔離環境（VM等）に移行する。

7. 限界と未確定

対策ツールも万能ではありません。

  1. 検知漏れ: Skill Scannerは既知のパターンを検知しますが、未知の手法（難読化されたコードなど）は見逃す可能性があります。
  2. 残留マルウェア: スキルを削除しても、すでにインストールされてしまったバックドアやマルウェア本体（AMOS Stealer）は消えない場合があります。不安な場合はOSのクリーンインストールが必要です。
  3. 責任の所在: OSSであるため、損害が発生しても誰も補償してくれません。自己責任の原則が重くのしかかります。

8. 用語ミニ解説

サプライチェーン攻撃 ソフトウェアの開発・配布過程（サプライチェーン）に侵入し、正規のアップデートやプラグインにマルウェアを仕込む攻撃手法。ユーザーが正規ルートだと信じているため防ぐのが難しいです。

C&Cサーバー（Command & Control Server） 乗っ取ったPC（ボット）に対して指令を出したり、盗んだデータを受け取ったりするための攻撃者のサーバー。

9. 出典と日付

Qiita @emi_ndk（公開日：2026-02-17）：https://qiita.com/emi_ndk/items/bf3b5f0f3eef99a4d124