公開日:

更新日:

AIエージェント管理ダッシュボードに深刻な脆弱性 ログイン失敗の入力から管理者アカウントが乗っ取られる

オープンソースのAIエージェント基盤「OpenClaw」を監視するサードパーティ製ダッシュボードに、保存型クロスサイトスクリプティング（XSS。不正なスクリプトをサーバー側に保存させ、閲覧者のブラウザ上で実行させる攻撃）の脆弱性が見つかった。IPAが運営する脆弱性データベースJVN iPediaは2026年9月4日、この問題をJVNDB-2026-031853として登録した。攻撃にアカウントは不要で、ログインを失敗させるリクエストを1回送るだけでよい。成功すれば管理者のセッションが奪われ、AIエージェントに与える指示ファイルまで書き換えられる。

対象はOpenClaw本体ではなく監視ダッシュボード

問題が指摘されたのは、Tugcan Topaloglu氏が公開しているOSS「openclaw-dashboard」（OpenClaw Agent Dashboard）だ。OpenClawで動くAIエージェントの稼働状況をリアルタイムに監視するためのツールで、認証やTOTP（時間ベースのワンタイムパスワード）による多要素認証、コスト集計、ライブフィード、メモリ閲覧といった機能を備える。OpenClaw本体の脆弱性ではない点は押さえておきたい。

該当するのはバージョン3.0.0およびそれ以前。CVE識別番号はCVE-2026-66418が割り当てられ、CVSS基本値はv3・v4いずれも9.3で「緊急」に区分されている。脆弱性の公表は7月30日、JVN iPediaへの登録が9月4日である。

攻撃は「入り口」と「出口」の3段階

発見者のTheodosis Paidakis氏が公開したアドバイザリによると、問題は3つの処理が連鎖して成立する。

まず入り口。ログインAPIは、存在しないユーザー名によるログイン失敗を監査ログに記録する際、送信されたユーザー名を検証せずそのまま書き出す。長さの上限も文字種の制限も型チェックもない。ログはJSON形式で1行ずつ保存されるため、引用符や改行はエスケープされるが、HTMLタグを構成する記号は無加工で残る。

次に出口。バージョン3.0.0で追加された通知センターが、この監査ログを読み出して画面に表示する。ここでダッシュボードの画面側の処理は、通知の各行を文字列連結で組み立て、文字列をHTMLとして直接描画するinnerHTMLに代入している。エスケープ処理はない。さらにサーバーが返すContent-Security-Policy（CSP）にはscript-srcに’unsafe-inline’が含まれており、インラインのイベントハンドラの実行が許容されている。

結果として、認証情報を持たない攻撃者が細工したユーザー名でログインを試みるだけで、そのペイロードは監査ログに残り続ける。管理者がログイン後に通知ベルを開いた瞬間、ペイロードはダッシュボードのサイト上で、管理者の権限をもって実行される。攻撃者側でタイミングを合わせる必要はない。

狙われるのはAIへの「指示ファイル」

このXSSが特に厄介なのは、実行された先にあるものだ。

アドバイザリの説明では、動き出したスクリプトは画面が持つ関数を通じてセッショントークンを読み取り、認証済みのエンドポイントを管理者の代わりに呼び出せる。実証例として挙げられているのは、エージェントの指示ファイル「AGENTS.md」の内容を書き換える操作である。指示ファイルやスキルファイル、OpenClawの設定を変更できるということは、AIエージェントそのものの振る舞いを攻撃者が定義できるということだ。

前提条件は「管理者アカウントが1つ以上存在すること」と「ダッシュボードのHTTPポートに到達できること」の2点しかない。前者は初期設定を終えたすべての環境で満たされる。

アドバイザリ公開時点で修正版はない

発見者は、この不具合が通知センターを追加したバージョン3.0.0で入り込み、アドバイザリ執筆時点の最新コミットまで残っていると記している。JVN iPediaも、対策としてベンダー情報を参照するよう案内するにとどまる。

アドバイザリで示されている緩和策は、値をinnerHTMLへ渡す前にHTMLエンコードするかtextContentでノードを組み立てる、サーバー側でユーザー名の長さと文字種を検証する、CSPから’unsafe-inline’を外す、という3点だ。運用側でただちに取れる対応としては、ダッシュボードの管理画面を外部から到達できない位置に置き、アクセス元を限定することが現実的だろう。

AIエージェントの「周辺ツール」という死角

AIエージェントを業務に組み込むとき、リスクとして語られるのはたいてい、モデルへの入力に不正な指示を混ぜるプロンプトインジェクションや、エージェントに渡した機密情報の流出である。だが今回の事例が示しているのは、エージェント本体ではなく、それを管理・監視するために追加したツールが侵入口になりうるという構図だ。

しかもこの経路の先にあるのは、単なる情報の閲覧ではない。エージェントへの指示を恒久的に書き換えられれば、以降そのエージェントが行うすべての作業が攻撃者の意図に沿って進む可能性がある。エージェントにファイル操作やメール送信、外部API連携の権限を与えている環境ほど、影響は広がる。

OSSのダッシュボードや管理コンソールは、便利さから軽い気持ちで足されがちで、資産管理台帳から漏れやすい。自社でAIエージェントを動かしている組織は、本体だけでなく、その周囲に何を接続しているか、それらがどこから到達できるかを一度洗い出しておきたい。エージェントに与えている権限の棚卸しと、指示ファイルや設定の変更を検知できる仕組みも合わせて検討したい。

同じ手口に、自社は備えられていますか？

出典・参考リンク