ClawHavoc：341件の悪意あるClawHubスキルと、変動し続けた件数

2026年2月1日、セキュリティ企業Koi Securityは、オープンソースAIエージェントOpenClawに付属するスキルマーケットプレイスClawHubの監査結果を公開した。掲載されている2,857件のスキルのうち341件を悪意ありと報告し、その335件は同社がClawHavocと名付けた単一の組織的キャンペーンに遡るとした。これはマーケットプレイスの12％弱にすぎない。主なペイロードはAtomic Stealer（AMOSとして知られる）で、The Hacker Newsによれば月額約500～1,000ドルでレンタルされる汎用のmacOS情報窃取ツールであり、ユーザーが何も考えずに実行するよう最も習慣づけられている手順、すなわち「Prerequisites」セクションでまずもう一つ別のものをインストールするよう促す形で届いた。WindowsユーザーはGitHub上のパスワード保護されたZIPへ、macOSユーザーはglot.ioでホストされたシェルコマンドへ誘導され、それをTerminalに貼り付けるよう指示された。このキャンペーンに関するアーカイブ自身の項目は、重大度と確信度の評価とともに、その週に記録された他のサプライチェーン事案と並んでOrca AI Incident Archiveに収められている。

Koiが実際に見ていたもの

ClawHubは、かつてClawdbotやMoltbotとして知られていたセルフホスト型AIアシスタント「OpenClaw」と併存するコミュニティマーケットプレイスです。拡張の仕組みとなるのがスキルであり、エージェントに特定の作業を実行させるためのパッケージ化された指示とスクリプトです。例えば、Solanaウォレットの読み取り、YouTube動画の要約、Polymarketでの価格追跡などがあります。スキルをインストールすることは、エージェントが持つのと同じ権限をそのスキルに与えることを意味します。

Koiは、2月2日付のThe Hacker Newsの報道によると、Alexという自前のOpenClawボットを使って監査を実施した。その報道で引用された研究者Oren Yomtovは、この誘いを平易な言葉でこう説明した。「一見すると正規のスキル——たとえばsolana-wallet-trackerやyoutube-summarize-pro——をインストールします。そのスキルのドキュメントはプロフェッショナルに見えます。しかし、『Prerequisites』セクションがあり、最初に何かをインストールする必要があると書かれています。」

そもそも毒を仕込む市場が存在したのは、ClawHubがデフォルトでオープンだったからだ。{{1}}Hacker News{{/1}}は、誰でもアップロードでき、当時の唯一の制限は公開者のGitHubアカウントが少なくとも1週間前から存在していることだけだと報じた。{{2}}Koi{{/2}}自身のレポートは、このプラットフォームを「セキュリティレビューの仕組みが事実上皆無」と表現しており、{{3}}Antiy CERT{{/3}}も自身の分析でその一文を引用している。

ペイロードはどのようにして届いたか

提供方法はオペレーティングシステムによって異なっていたが、形は同じだった。スキル自体はほとんど無害であり、害はインストール手順の中にある。

• Windowsでは、ドキュメントはパスワード保護されたZIPを含むGitHubリリースにリンクしていました。中には、APIキー、認証情報、そしてそのマシン上のボットがすでにアクセスできたその他あらゆるものを狙うキーロギング機能を備えたトロイの木馬が入っていました——エージェントホスト上では、それは相当な量になります。Antiy CERTの報告書によると、これらのアーカイブは通常3つのパスワード（1202、openclaw、1234）のいずれかで保護されており、暗号化の目的として、ファイルをGitHub自体のスキャンと被害者マシン上のリアルタイムスキャンに通過させることを指摘しています。

• macOSでは、ドキュメントがユーザーにglot[.]ioでホストされているスクリプトをコピーしてTerminalに貼り付けるよう指示していました。そのスクリプトは難読化されたシェルコマンドを実行し、2つ目のスクリプトを求めて91.92.242[.]30に接続し、そのスクリプトがユニバーサルMach-Oバイナリ—IntelとApple Siliconのどちらでも動く単一のビルド—を取得しました。

Koiは、そのバイナリがAMOSと一致する特徴を示していると評価した。Paul McCartyが運営する調査組織OpenSourceMalwareは、同日に同じキャンペーンを報告し、自社のサンプルについては少し異なる評価を下した。おそらくNovaStealerの新しい系統だろうという。両報告は、インフラ、誘い文句、および標的とされたデータ——取引所のAPIキー、ウォレットファイル、MetaMaskを含むブラウザ拡張機能のデータ、シードフレーズ、macOSキーチェーン、保存されたブラウザのパスワード、SSHキー、クラウドおよびGitの認証情報、.envファイル——については一致しているが、ファミリー名については正確には一致していない。どちらの帰属も研究者自身によるものである。

悪意あるスキルのすべてがClawHavocの前提ルアーだったわけではない。Koiは次のスキルを報告した：better-polymarketとpolymarket-all-in-one——これらは一見正常に動作するコードの中にリバースシェル型のバックドアを隠しており、そのため侵害はインストール時ではなく通常の使用時に発生した。別のrankajは、~/.clawdbot/.envに保存されたボット認証情報をwebhook[.]siteのエンドポイントへ送信した。名前は素早く見た際に誤読されるよう作られていた：clawhubb、cllawhub、clawwhub、clawhubcli、さらに暗号資産、YouTube、自動アップデーター、Google Workspaceの類似名もあった。

Antiy CERTは、調査結果ではなく評価として特筆すべき詳細を付け加えている。同CERTによれば、これらのスキルに関する裏付け資料は500～700行に及び、「それ自体がAIによって生成された可能性が高い」という。これは文書の長さと一貫性に基づく推論であり、報告書が証明したことではない。

カウントは1つの数ではありません

ClawHavocにつきまとうその数値は安定しておらず、その理由は、監査が日によって異なる問いに答えていたからだ。

Koiの341は公開中のリスティングの、スイープ時点での件数です。調査した2,857件のスキルのうち341件が悪意あるエントリで、そのうち335件は1つのキャンペーンによるものでした。OpenSourceMalwareの数字が示すのは、公開の波であり、マーケットプレイスのスナップショットではありません。1月27日から29日にかけて公開された悪意あるスキル28件、続いて1月31日から2月2日にかけて386件が、7つの発行者アカウントにまたがって帰属され、2回目のバッチの354件は単一のアカウントhightower6euによるものでした。Antiy CERTの1,184は履歴の件数です。2月5日時点でClawHubのリポジトリ内で特定した悪意あるパッケージで、12の作者IDに帰属され、hightower6euが677件、sakaen736jihが390件でした。Antiyはまた、1人のアップローダーmoonshine-100rzeによる60件のパッケージが公開時点でまだアクセス可能で、14,285回のダウンロードを累積していたこと、大規模な削除が完了した時点でプラットフォームには3,498件のスキルがあったことも記録しています。

次に824です。アーカイブの記録では、この数値は後日の改訂として注記されているが、他の数値がKoi、OpenSourceMalware、Antiyにたどれるようには、日付のある一次公開資料までたどれない。これが現れるのは後続の第三者による論評であり、たとえばスキルスキャナーの作者による2026年3月のHacker News投稿では、その背後にある監査を名指しせずに「824件の悪意あるスキル（ClawHubの20%）」と説明している。そこの計算も、他の公表された数値と突き合わせると合わない。824は2,857の29パーセントをわずかに下回るため、「20パーセント」はまた別の、明示されていない分母を意味することになる。公表された方法論を伴う数値ではなく、流通している数値として扱うべきだ。後続の記事に現れる「1,200+」というバリエーションにも同じ注意が必要だ。

これらはいずれも誤りというより、比較できないものだ。ある一時点でのリスティング、ある期間にわたる公開、リポジトリの全履歴は、それぞれ異なる分母であり、タイポスクワットの変異形は、カウンターがどうグループ化したかによって1件にも複数件にもなり得る。

OpenClawが変えたこと

2つのことが、どちらもKoiの告白に続く週のうちに起きた。

最初はユーザーによる報告でした。Hacker News は、OpenClaw の創設者 Peter Steinberger が、サインイン済みのユーザーがスキルにフラグを付けられる機能をリリースしたと報じました。ドキュメントには、各ユーザーは最大20件の有効な報告を保持できること、および「3件を超えるユニークな報告があるスキルはデフォルトで自動的に非表示になる」と記載されています。これはトリアージの仕組みであり、スキャナーではなく、誰かが最初に気づくことに依存しています。

2つ目は、OpenClawが2026年2月7日に発表したVirusTotalとの提携だった。OpenClaw自身の投稿に説明されているとおり、すべてのスキルバンドルは、一貫した圧縮とタイムスタンプを使って決定論的にZIPにパッケージ化され、さらに_meta.jsonには発行元とバージョンのデータが含まれ、SHA-256ハッシュが生成される。そのハッシュはVirusTotalの脅威インテリジェンスと照合され、判定が存在しない場合はバンドルがVirusTotalのv3 API経由でアップロードされる。VirusTotalのCode Insight — OpenClawの投稿が「Geminiによって強化されている」と述べているLLM駆動のレビュー — は、パッケージ全体を読み取り、その開始点はSKILL.mdである。判定結果がアクションを決定する。良性のスキルは自動承認され、疑わしいスキルには警告が付くが表示されたままになり、悪意のあるスキルはダウンロードがブロックされる。すべての有効なスキルは毎日再スキャンされ、誤検知の疑いがあるものは[email protected]に送られる。

OpenClawは同じ投稿で限界について明言し、この統合を「特効薬ではない」と呼び、「クリーンなスキャンはスキルが安全であることを意味しない」と警告した。自然言語による操作やプロンプトインジェクションは、シグネチャや脅威データベースでは捕捉できない可能性があるからだ。Antiy CERTの評価も外部から同じ方向を示している。報告機能は必要だが十分にはほど遠いと述べ、ストア規模の防御には静的解析、コード解析とセマンティック解析、サンドボックス実行、そしてそれらを支える対応チームが必要だと主張している。

何が確立されており、何が確立されていないのか

まず出典について注記します。これは上述のすべてに関わるためです。Koiの元の投稿は、公開されたアドレスでは現在解決できません。アーカイブが引用しているkoi.aiのURLは現在、Palo Alto NetworksによるKoi買収を受けて、Palo Alto Networks Cortexの製品ページにリダイレクトされます。同社は買収が2026年4月14日に完了したと発表しました。したがって、ここでのKoiの数値と引用は、レポートが公開中だったときに読んだ媒体——2月2日のThe Hacker News、2月3日のeSecurity Planet、2月11日のGadget Review——と、自身の2月の分析でKoiのレポートを直接引用しているAntiy CERTから取っています。本記事のためにKoiの投稿そのものを読むことはできませんでした。

確認済み：Koiが2,857件のスキルを監査し、341件を悪意ありと報告したこと、そのうち335件は単一のキャンペーンによるものだったこと；両オペレーティングシステムにおける前提条件ルアー機構；コマンド・アンド・コントロール（C2）アドレス91.92.242[.]30；リバースシェルおよび.envの外部送信という外れ値；通報機能；および上述のパイプラインとのVirusTotal統合。実害は疑いようがない——Antiyは単一のアップローダーによる、現在もアクセス可能な60パッケージ全体で14,285ダウンロードを記録し、OpenSourceMalwareはある発行元の合計を約7,000ダウンロードとした——そしてペイロードが狙ったデータは、エージェントホストが集約するデータそのものだ：ウォレットキー、取引所APIキー、SSHキー、クラウドトークン、ブラウザのパスワード。

相違点：前述のセクションで述べた理由による件数、およびマルウェアファミリのラベル。

少なくともこの記事が参照できた公表資料の中では、実際に何人が悪意のあるスキルをインストールしたのか、いくつの認証情報が盗まれたのか、盗まれた資金や鍵のいずれかが追跡されたのかどうかは、明らかになっていない。Antiyは、悪意のあるスキルが「数千回ダウンロードされ、WindowsおよびmacOSユーザーに感染した」と述べているが、これは露出の評価であって被害者数ではなく、どの公表元も被害者数を示していない。341件の掲載項目すべてがKoiの公表時点で公開されていたかどうかも、同様に明記されていない。

長く残る事実は、算術ではなく失敗の形である。誰でも公開できるマーケットプレイスは、パッケージをインストールすることがエージェントの資格情報を渡すことを意味するエコシステムの中で、エクスプロイトのすべてがユーザーに何かを実行するよう促すREADMEだけであったキャンペーンを生み出した。そして最初の自動防御は6日後に現れたが、それは、誘いを成立させた信頼モデルではなく、署名とモデルレビューに向けられたものだった。