インフォスティーラーがOpenClawの設定とゲートウェイトークンの収集を開始

2026年2月、汎用情報窃取マルウェアが感染したマシンからOpenClawエージェントの設定環境を窃取した。すなわち、エージェントのゲートウェイトークンを保持するJSONファイル、デバイス署名鍵を保持するJSONファイル、そしてそのペルソナとメモリを定義するMarkdownファイルである。この発見を公表した脅威インテリジェンス企業Hudson Rockは、これを窃取ツールの挙動における画期的な出来事と呼び、ブラウザの認証情報から個人用AIエージェントのアイデンティティへの移行を表していると説明した。BleepingComputerは、これがこの種の初の実環境での事例だという同社の主張を報じ、The Hacker Newsも同月に報じた。この窃取ツールはOpenClaw向けに作られたものではなかった。Hudson Rockの説明によると、広範なファイル取得ルーチンが.openclawなどの機密性の高い拡張子やディレクトリ名を走査し、偶然にそのフォルダーを取得した。そのため同社は、このマルウェアがエージェントを狙ったのではなく、思いがけず大当たりを引いたと表現している。アーカイブはこの出来事を、信頼度B、論争なし、実際の被害記録ありの高重大度認証情報インシデントとして記録しており、そしてOrca AI Incident Archiveは、この記録を隣接するOpenClawの項目と並べて保持しており、それぞれが独自の証拠に基づいて評価されている。

3つのファイルと、それぞれが解き放つもの

OpenClaw（旧Clawdbot、旧Moltbot）は、ユーザー自身のマシン上のファイルに永続状態を保持するセルフホスト型のパーソナルAIエージェントだ。The Hacker NewsとBleepingComputerが要約したHudson Rockの記事は、被害者のOpenClawディレクトリから取得された3つのものを列挙している。openclaw.jsonには、一部が伏せ字にされたGmailアドレス、ワークスペースのパス、gateway.auth.tokenに保存された高エントロピーのゲートウェイトークンが含まれていた。Hudson Rockの技術メモによると、このトークンがあれば、ポートが公開されている場合に攻撃者が被害者のローカルOpenClawインスタンスへリモート接続できるほか、AIゲートウェイへの認証済みリクエストでクライアントになりすますこともできる。

device.jsonは、ユーザーのデバイスのpublicKeyPemとprivateKeyPem、つまりOpenClawがペアリングと署名操作に使用する鍵ペアを保持していた。Hudson Rockによると、秘密鍵の部分があれば、攻撃者は被害者のデバイスとしてメッセージに署名でき、「Safe Device」チェックを回避し、そのデバイスとペアリングされた暗号化ログやクラウドサービスに到達できる可能性がある。soul.mdは、メモリファイルAGENTS.mdおよびMEMORY.mdとともに、エージェントの動作原則、行動ガイドライン、倫理的境界を保持しており、同社の説明によれば、ユーザーの活動、プライベートメッセージ、カレンダーイベントの日次ログ、つまり同社がユーザーの人生の設計図と呼ぶものを保持していた可能性が高い。

ベンダーの説明のうち、1つの細部は他と切り分けて考える価値がある。Hudson Rockは盗まれたファイルを自社のAIシステムEnkiに通して自動リスク評価を行い、その出力の要約は、トークン、キー、個人の文脈が合わさることでユーザーのデジタルアイデンティティが完全に侵害されるというものだ。これはファイルに適用されたリスクモデルである。攻撃者がそれらを使って何かを行った記録ではない。

その仕組みは寄せ集めであり、チェックリストの項目ではなかった。

アーカイブの一行要約には、エージェントの認証情報が「正式に標準的なインフォスティーラーのチェックリスト入りした」と書かれている。その下の文書は、より限定的なことを述べている。Hudson Rockは、OpenClaw固有のモジュールは関与していないと明言している。マルウェアは拡張子とディレクトリ名でファイルを収集する汎用的なルーチンを実行し、.openclawが一致したのだ。Hudson Rockの共同創業者兼CTOであるAlon GalはBleepingComputerに対し、そのルーチンは「token」や「private key」などのキーワードを含むファイルやディレクトリをスキャンしたと語った。

専用モジュールは予測であり、観測ではない。Hudson Rockは、OpenClawのようなエージェントが業務ワークフローにさらに統合されるにつれ、情報窃取ツールの開発者は、今日ChromeやTelegramに対して行っているのと同様に、これらのファイルを復号・解析するために特別に設計されたモジュールをリリースする可能性が高いと記している。2026年1月26日、同社は「ClawdBot：AI時代におけるインフォスティーラーの新たな主要標的」と題する投稿を公開し、このエージェントは記憶、プロファイル、認証トークンを平文のMarkdownとJSONで保持しており、それらは多くの場合、ユーザーとして実行されるあらゆるプロセスから読み取り可能だと主張した。2月の事例は、その予測が実際のマシンで現実になったと同社が報告した初めてのケースである。

この区別は学術的なものではない。偶発的な一掃とは、露出が、攻撃者がOpenClawを狩ろうと決めたことの性質ではなく、エージェントが秘密を保管している場所の性質であることを意味する。パーサーが登場すれば、同じファイルは単に収集可能なだけでなく大規模に読解可能になり、防御上の問いはディレクトリのパーミッションから、ゲートウェイトークンとデバイスキーが失われた後に何にまだ到達できるかへと移る。

1台の機械、1つのベンダー、そして延々と続く繰り返し

Hudson Rockの投稿は被害者を1人と記しており、感染した1台のマシンのディレクトリツリーのスクリーンショットを公開している。そのサンプルが何台のマシンから得られたのかは述べておらず、本記事のために読んだどの報道も2件目の事例を加えていない。BleepingComputerのBill ToulasはGalと直接話し、Hudson Rockの投稿にはない詳細——Vidarへの帰属とキーワードベースのスキャン——を伝えているが、根底にある観察は依然として1件の感染を1社のベンダーが見たものにすぎない。Infosecurity MagazineとSecurityAffairsはHudson Rockの投稿から1日以内に同じ知見を報じ、ThaiCERTは2026年2月25日の勧告でそれを繰り返した。国のCERTがベンダー報告を繰り返すのは増幅であり、独立した確認ではない。

アーカイブの信頼度Bが記録しているのはそういうことだ。文書化されてはいるが、単一または二次情報源によるものだ。記録の日付も2026年2月で、月単位の精度しかない。BleepingComputerの記事は盗難時期をより狭く特定しているが、アーカイブには月しかなく、本記事はアーカイブの精度に従っている。本記事のために読んだものの中に、Hudson Rockの説明に異議を唱えるものはなく、記録は異議なしとされている。注意点は矛盾ではない。それは、画期的な枠組み——最初の実例、ブラウザの認証情報からエージェントのアイデンティティへの移行——が、サンプルを発見した企業による特徴づけであり、「最初」を検証できる公的な基準が存在しないということだ。

CVEは割り当てられなかった。この記事のために読んだ資料には、この窃取に対処するOpenClawのセキュリティアドバイザリは見当たらず、これについて独自の調査結果を公表した規制当局もない。政府関連で唯一見つかった文書はThaiCERTのアドバイザリで、Hudson Rockの報告を繰り返している。ソフトウェアの欠陥と違い、このインシデントには指し示すべきパッチがない。なぜなら、ファイルはソフトウェアが誤りと見なすことを何もしていなかったからだ。それらはエージェントの隣で、ディスク上に平文で置かれていた。

記録が立証していない事柄

・この記事で参照したどの情報源も、盗まれたゲートウェイトークンやデバイスキーが使用されたことを示していない。Hudson Rock の指摘する被害は一貫して条件付きであり——「ポートが公開されている場合」「バイパスする可能性がある」——そしてそれを繰り返す報道も、実証された侵入を付け加えてはいない。

• Vidarへの帰属には、それを公表した企業による留保が付されている。Galは、感染の詳細に基づき、当該サンプルは2018年後半から活動している既製のスティーラーであるVidarの変種である可能性が高いと述べた。ここで参照した情報源には、公開されたハッシュ、サンプル分析、ファミリー比較はいずれも見当たらない。

• 影響を受けたユーザー数は不明である。Hudson Rockは被害者1名を報告したが、追加のマシン台数については何も示しておらず、本記事のために確認された後続の報道も台数を示していない。

• 盗まれた資料が何らかの犯罪サービスによって取引され、販売され、またはインデックス化されたかどうかは、ここで読んだいずれの情報源によっても立証されていない。

• 記録が示す本当の害は、流出そのものです。実在するマシンの認証情報と鍵が、そのマシンから外へ出たということです。これは乗っ取りよりも低いハードルであり、記録は乗っ取りを主張していません。

すでに変わっていたことと、それがカバーしていなかったこと

OpenClawは2026年2月7日、Hudson Rockがその報告を公開する前に、VirusTotalとの提携を発表した。この取り決めは、ClawHubにアップロードされるすべてのスキルをスキャンする——パッケージ化し、ハッシュ化し、そのハッシュをVirusTotalで照合し、未見のものにはVirusTotalのCode Insight分析を実行する——そして、プロジェクトはそれを脅威モデルと潜在的な設定ミスの監査と組み合わせた。それはマーケットプレイスに対処する。ユーザーのディスク上のopenclaw.jsonを暗号化するわけではなく、エンドポイント上ですでに実行されホームディレクトリを読み取っているマルウェア——これがこの記録における侵入経路である——には何も対処しない。

この失敗に向けた指針に最も近いものは、技術的なものではなく勧告的なものだ。ThaiCERTの2026年2月25日の注意喚起はHudson Rockの知見を繰り返し、エージェントをサンドボックス化された仮想マシンまたはコンテナ内で最小権限で実行すること、機密データへの直接アクセスを避けること、インストールするすべてのスキルの出所を検証すること、活動ログを監視すること、そして完全なシステムリセットと認証情報のローテーションを含むインシデント対応計画を準備することを推奨している。2026年4月に公開されたOpenClaw自身のセキュリティ作業に関する公開説明によれば、機密情報は「気をつけてください」という方針から参照方式へと移され、認証情報がプロンプト、ログ、トランスクリプト、エージェントの状態に残らないようにされた。方向性は同じだが、その投稿はHudson Rockが記録した設定ファイルには触れていない。

注目すべきは、専用パーサーが登場するかどうかだ。Hudson Rockの予測では登場する見込みであり、この予測を真剣に受け止めるべき理由は1月の投稿にあり、2月のサンプルがその証拠というわけではない。それまでは、この記録は単一の、十分に裏付けられた窃取事例として残る。すなわち、平文のエージェント状態が、それを狙っていなかったスティーラーによって持ち出され、被害は実際の環境で観測されたのではなくベンダーによって評価された、という事例である。