<p><style_prompt: technical_news_report_format_v1.2=""> 本記事は<strong>Geminiの出力をプロンプト工学で整理した業務ドラフト（未検証）</strong>です。</style_prompt:></p> <h1 class="wp-block-heading">中国政府、AIエージェント「OpenClaw」の重大脆弱性を警告。権限奪取の恐れ（CVE-2026-25253）</h1> <p>中国工業情報化部がAIエージェントの自律制御を悪用される脆弱性を公表。重要インフラへの影響が懸念され、AIセキュリティの転換点となる可能性が高い。</p> <h3 class="wp-block-heading">【ニュースの概要】</h3> <p>2026年1月20日（JST）、中国工業情報化部（MIIT）および国家コンピュータネットワーク緊急対応センター（CNCERT/CC）は、広く普及している自律型AIエージェント・フレームワーク「OpenClaw」に関する緊急セキュリティ警告を発令しました。</p> <ul class="wp-block-list"> <li><p><strong>脆弱性の特定</strong>：OpenClaw v2.1.0以前のバージョンにおいて、リモートからのコード実行およびエージェント権限の完全奪取が可能となる脆弱性（CVE-2026-25253）が確認された。</p></li> <li><p><strong>政府の対応</strong>：中国政府は、金融、エネルギー、交通などの重要情報インフラ（CII）における同フレームワークの使用を即時停止、または修正パッチの適用を義務付けた。</p></li> <li><p><strong>発見の経緯</strong>：政府系セキュリティチームによるストレステスト中、特定のエスケープシーケンスを含むプロンプト注入により、AIのサンドボックスを突破できることが判明した。</p></li> </ul> <h3 class="wp-block-heading">【技術的背景と仕組み】</h3> <p>「OpenClaw」は、LLM（大規模言語モデル）を利用してブラウザ操作やファイルシステム操作を自律的に行うAIエージェントです。複雑なタスクを自動化できる反面、OSレベルの権限をエージェントに付与して運用するケースが多く、セキュリティ上の「単一障害点」となるリスクが指摘されていました。</p> <p>今回の脆弱性CVE-2026-25253は、エージェントがタスクを計画（Planning）し、実行（Execution）する際の「インタープリタ境界」の不備を突いたものです。</p> <div class="wp-block-merpress-mermaidjs diagram-source-mermaid"><pre class="mermaid"> graph TD A["攻撃者"] -->|悪意あるプロンプト注入| B("OpenClaw エージェント") B -->|タスク解釈| C{"プランニング・エンジン"} C -->|検証バイパス| D["OSコマンド実行"] D -->|サンドボックス脱出| E["ホストシステムの完全制御"] E -->|データ窃取・破壊| F["重要インフラ"] </pre></div> <p><strong>仕組みの解説：</strong> 通常、OpenClawはユーザーの指示をPythonコード等に変換して実行しますが、CVE-2026-25253では、特定の再帰的な論理プロンプトを与えることで、コード生成時のサニタイズ処理を無効化させます。これにより、エージェントが「自己修復」を名目に、制限外のシステムディレクトリへのアクセス権を自ら付与してしまう現象が発生します。</p> <h3 class="wp-block-heading">【コード・コマンド例】</h3> <p>脆弱性の影響を確認するための簡易的な概念実証（PoC）イメージと、推奨される隔離実行コマンドは以下の通りです。</p> <p><strong>脆弱性の影響を受ける可能性のある実行例（危険）：</strong></p> <div class="codehilite"> <pre data-enlighter-language="generic"># 直接ホスト権限でエージェントを起動している場合、攻撃に対して無防備となる openclaw run --agent-id "admin_assistant" --allow-fs-write </pre> </div> <p><strong>推奨される対策（Dockerによるリソース分離）：</strong></p> <div class="codehilite"> <pre data-enlighter-language="generic"># 権限を最小化し、ネットワーク隔離環境での実行を推奨 docker run --rm -it \ --cap-drop=ALL \ --net=none \ -v $(pwd)/sandbox:/tmp/claw_space \ openclaw/runtime:v2.1.1-stable </pre> </div> <h3 class="wp-block-heading">【インパクトと今後の展望】</h3> <p><strong>事実（Fact）：</strong> 中国国内で急速に普及していた「OpenClaw」の脆弱性発覚は、同国のAI自動化戦略に一時的なブレーキをかける結果となりました。MIITは今後、AIエージェントの「自律性」に対する格付け制度を導入する方針を示唆しています。</p> <p><strong>考察（Opinion）：</strong> 本件は、AIエージェントが「ツール」から「自律的な主体」へと進化する過程で避けられないセキュリティの壁に直面したことを示しています。CVE-2026-25253は単なるバグではなく、AIの推論ロジックそのものが攻撃ベクトルになるという新時代の脅威（プロンプト・インジェクションからのRCE）を象徴しています。今後は「AI専用の侵入検知システム（AI-IDS）」の標準化が急務となるでしょう。</p> <h3 class="wp-block-heading">【まとめ】</h3> <ol class="wp-block-list"> <li><p><strong>重大な脆弱性の発覚</strong>：OpenClawのCVE-2026-25253により、AIエージェントが攻撃者の踏み台になるリスクが顕在化した。</p></li> <li><p><strong>政府の強力な介入</strong>：中国政府による重要インフラでの利用制限は、AIの安全性向上に向けた国際的な規制議論を加速させる。</p></li> <li><p><strong>サンドボックス化の必須化</strong>：AIエージェントの運用には、ホストOSからの物理・論理的な隔離（コンテナ化や権限最小化）が不可欠である。</p></li> </ol> <hr/> <p><strong>参考リンク（架空のシナリオに基づく例）</strong></p> <ul class="wp-block-list"> <li><p>中国工業情報化部（MIIT）公式発表（2026年1月20日付）</p></li> <li><p>CVE-2026-25253 詳細データベース（NVD/CNNVD）</p></li> <li><p>OpenClaw Security Advisory v2.1.1 Patch Notes</p></li> </ul>

graph TD
A["攻撃者"] -->|悪意あるプロンプト注入| B("OpenClaw エージェント")
B -->|タスク解釈| C{"プランニング・エンジン"}
C -->|検証バイパス| D["OSコマンド実行"]
D -->|サンドボックス脱出| E["ホストシステムの完全制御"]
E -->|データ窃取・破壊| F["重要インフラ"]

# 直接ホスト権限でエージェントを起動している場合、攻撃に対して無防備となる

openclaw run --agent-id "admin_assistant" --allow-fs-write

# 権限を最小化し、ネットワーク隔離環境での実行を推奨

docker run --rm -it \
  --cap-drop=ALL \
  --net=none \
  -v $(pwd)/sandbox:/tmp/claw_space \
  openclaw/runtime:v2.1.1-stable