AIアシスタントOpenClaw、ミリ秒1クリックRCEで乗っ取り

概要

OpenClaw AIアシスタントに、悪意のあるリンクをワンクリックするだけで遠隔コード実行（RCE）が可能となる深刻な脆弱性（CVE-2026-25253）が発見されました。OpenClawはユーザー自身のデバイスで動作し、データもユーザー管理下にある個人向けAIです。この攻撃では、被害者が悪意のあるリンクをクリックすると、ブラウザ上でJavaScriptが実行され、OpenClawの制御インターフェースから認証トークンがWebSocket経由で窃取されました。その後、Cross-Site WebSocket Hijacking（CSWSH）を用いてlocalhostの制限を迂回し、窃取したトークンでOpenClaw Gateway APIに認証。AIエージェントの設定を不正に変更し、コマンド実行時のユーザー確認を無効化し、さらにコンテナ（サンドボックス）からの脱出を可能にしました。これにより、AIエージェントを介してホストマシン上で直接シェルコマンドが実行され、システムが完全に侵害される危険性がありました。この事例は、クライアントサイドの入力検証の不足、認証・認可メカニズムの脆弱性、そしてサンドボックスの回避が重大な結果を招くことを示しています。