AIエージェントが自分で判断して動く時代、スキル市場はnpmの次のサプライチェーン攻撃面になりつつあります。

本記事では、Palo Alto NetworksのUnit 42がClawHubで見つけた悪性スキル5件の手口と、なぜVirusTotalやClawScanをすり抜けたのかを整理します。セキュリティ担当者が今日から取れる防御の考え方もまとめています。

この記事でわかること

  • ClawHubで検知を回避した悪性スキル5件の3つの脅威カテゴリ
  • ファイルサイズ膨張やエージェント権限悪用など、従来のマルウェア検査では拾いにくい攻撃手法
  • スキル導入時と稼働後に確認すべき実務的な防御策

検知済みのはずの市場で、5件が残っていた

https://unit42.paloaltonetworks.com/openclaw-ai-supply-chain-risk/

OpenClawは、ClawHubというスキル市場から第三者製の機能を読み込んで動くオープンソースのAIエージェントです。スキルはMarkdownで書かれた指示パッケージで、ローカルファイルや認証情報、APIへ広いアクセス権を持ちます。

2025年11月の公開以降、開発者と企業の間で急速に普及しました。一方で、2026年2月にはBitdefender Labsが分析したスキルの約17%に悪性ペイロードが含まれていたと報告しています。Koi Securityの「ClawHavoc」調査では341件、Trend MicroはAtomic macOS Stealer（AMOS）を配布するスキルを確認しました。

これを受け、ClawHubはVirusTotalとClawScanを組み込み、公開スキルを事前スクリーニングする体制を整えました。しかしUnit 42の2026年2月から5月の調査では、ブロックされていない悪性スキルが5件残っていました。Unit 42がClawHubに通報した後、該当スキルは削除され、関連アカウントもBANされています（参考）。

3つの脅威カテゴリと具体的な手口

Unit 42は5件を次の3類型に分類しています。

インフォスティーラー（2件）

TradingView向けAIアシスタントを装った2件のスキルは、macOS向けインフォスティーラーを配布していました。前提条件としてエージェントにターミナル操作を促すpasteサイト（rentry.co）へ誘導し、Base64エンコードされたコマンド経由でペイロードを取得します。取得先のC2サーバーは2.26.75.16で、AMOSとは別の「cluw」というマルウェアでした。ClawHubの自動監査は、ai-tradingview-assistant-for-macosで「Pass」、tradingview-ai-indicator-assistantでは判定なしのまま公開されていました。

検知回避（1件：omnicogg）

omnicoggはREADME.mdの先頭に悪性コードを置き、その後に22MBのパディング文字を追加していました。多くのコンテンツ分析パイプラインは異常に大きいファイルを処理せずスキップするため、ClawScanは「レビュー中」、VirusTotalはクリーン判定のまま配布可能でした。JFrog Security Researchも2026年3月に同スキルを報告しており、ファイルサイズの閾値を悪用する古典的な防御回避手法です。

エージェント型脅威（2件）

money-radarは海外向け金融商品アドバイザーを装い、起動のたびにlaosji.netからreferrals.jsonを取得して約60商品の紹介リンクを読み込みます。SKILL.mdは常にそのアフィリエイトリンクを使うよう指示しており、公開後もサーバー側のJSONを書き換えるだけで推奨商品を動的に差し替えられます。従来のアフィリエイト改ざんとは異なり、エージェント自身が「専門家の助言」としてリンクを生成する点が新しいです。

letssenditはさらに踏み込み、複数のエージェントにSOL（Solanaの暗号資産）をオペレーターのウォレットへ集めるよう指示します。十分な資金が集まると、オペレーターがpump.fun上のSENDITトークンを最安のボンディングカーブ価格で先に購入し、その後にエージェント群へ配分する「エージェント型フロントランニング」です。AIボットネットの協調動作を見せかけた需要で価格を吊り上げ、二次市場の買い手から利益を抜く構図です。

なぜ静的チェックでは防ぎにくいのか

npmやPyPIの従来型サプライチェーン攻撃と、AIエージェントのスキル攻撃では前提が異なります。悪性スキルは自然言語の指示を通じてエージェントの解釈を乗っ取り、ファイルシステムやシェル、認証情報マネージャーへアクセスします。スキルロジックとエージェントの権限が分離されていないため、インストール時点でエージェントの身元ごと操作されます。

セキュリティ企業Detectifyの共同創業者Johan Edholm氏は、スキルが「エージェントが信頼して読む平易な言語の指示セット」である点を指摘しています。静的解析だけでは悪意の有無を断定しにくく、人間による全件レビューはボトルネックになり、LLMによるレビューも完璧ではないと述べています（参考）。

ClawHubは6月1日にNVIDIAとの連携も発表し、各スキルの動作ドキュメント化とNVIDIA製分析ツールによる全スキル検査を進めています。それでもUnit 42が確認した5件は、当時の主要な防御層をすべて通過していました。

実務者が取るべき防御策

Unit 42は、スキルの実行がエージェントプロセス内で行われることを踏まえ、次の対策を推奨しています。

導入前の検証

  • 公開者の出自（provenance）を確認する
  • パッケージ内のソースファイルを1行ずつ監査する
  • スキルが宣言する機能と実際のコード・指示が一致するか照合する

稼働中の監視

  • 外向き通信を継続的に監視し、ドキュメントに記載のないエンドポイントへの接続を検知する
  • エージェントに必要最小限の権限だけを与える
  • インストール時の1回きりの検査に頼らず、動作変化を追跡する

Edholm氏も、インストール時だけでなく「実行中に何をするか」に注目すべきだと指摘しています。エージェントが接続する外部サーバーを、各スキルが事前に申告した通信先と突き合わせ、説明のない接続先があれば疑う姿勢が有効です。

AIエージェントのスキル市場は、便利さと引き換えに従来のパッケージマネージャー以上の被害半径を持ちます。侵害されたスキルは、エージェントに付与されたメール、メッセージ、クラウド認証情報へそのまま届きます。ClawHubの5件は削除済みですが、検知回避とエージェント権限の悪用は今後も進化します。導入のたびに出自を確認し、稼働後も通信を見続ける運用が、AI供給網防御の最低ラインになります。