NemoClaw CVE-2026-65105：ブラウザを一度訪れるだけでモデルのチャットテンプレートが書き換えられた

2026年8月25日、NVIDIAはセキュリティ速報5872を公開し、OpenShellサンドボックス内でOpenClawエージェントを実行するLinuxツールNVIDIA NemoClawの脆弱性を、CVSS基本スコア8.1のHighとして評価した。CVE-2026-65105は認証欠如の脆弱性である。NemoClawはOllama推論サーバーをすべてのネットワークインターフェースで起動し、OllamaのAPI自体には認証がない。NVIDIAの謝辞で名前が挙がり、現在Cyeraに買収されているOasis Securityの研究者は、攻撃者が制御するWebページを一度訪問するだけで、ブラウザ内からそのサーバーに到達し、モデルのチャットテンプレートを書き換えられるデモを構築した。この編集はその後の会話を超えて存続し、エージェントが独自のシステムプロンプトを提供しても残った。野外での悪用は記録されていない。重大度と信頼度の等級を含む完全な項目は、Orca AI Incident Archive同月の隣接するインシデントとともに

NVIDIAが公開したもの

速報のタイトルは「Security Bulletin: NVIDIA NemoClaw and OpenShell - August 2026」で、番号は5872、改訂履歴にはバージョン1.0.0、日付2026-08-25の1件のみが記録されています。これは単一のCVEに関するアドバイザリではなくまとめであり、内部の影響を受ける製品の表には、2製品にわたる18件のCVEがCVE-2026-65081からCVE-2026-65105まで記載されています。このバッチで最大の項目はCVE-2026-65093で、Linux向けNVIDIA OpenShellにおけるサンドボックスエスケープであり、9.9のCriticalと評価されています。

CVE-2026-65105 について、公告は、その欠陥が「推論サーバーのセットアップにおいて、リモートの攻撃者が認証なしで推論サービスにアクセスできる可能性がある」と述べており、悪用に成功すると「情報漏えいおよびサービス拒否につながる可能性がある」としている。公表されたベクトルは CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — 隣接ネットワーク、低複雑度、権限不要、ユーザー操作不要、機密性への高い影響、可用性への高い影響 — であり、弱点クラスは CWE-306「Missing Authentication for Critical Function」である。

NVIDIAの影響製品表では、Linux上のNemoClawについて、影響を受けるバージョンを「0～0.0.25」とし、更新バージョンを「f06796ff3; 0.0.25」としている。これは、影響を受ける製品の列に表示される同じバージョン番号と組み合わせたコミットハッシュである。eSecurity Planetは、2026年8月27日にこの脆弱性を報じた際、まさにこの重複を指摘し、管理者に対して「バージョン番号だけに頼るのではなく、展開されたコードに修正コミットが含まれていることを確認する」よう助言している。

謝辞セクションでは「CVE-2026-65105: Markus Halvorsen, Elad Luz of Oasis Security」とクレジットされています。このCVEのNVDレコードは2026年8月25日21:17 UTCに公開され、2026年9月1日に最終更新されました。CVSS v3.1評価はNVIDIAの8.1スコアのみで、このCVEはCISAのKnown Exploited Vulnerabilitiesカタログには掲載されていません。

NVIDIA自身の項目にある一つの細部は、曖昧に覆い隠すのではなく、明示する価値がある。このベクトルには完全性の要素がまったくない——I:N、integrity impact none——そして一行の説明は情報開示とサービス拒否にしか言及していない。研究者たちの中心的な主張は、以下で論じるが、モデルのチャットテンプレートが改変され、改変されたままになったというものだ。このベクトルに対するそうした読み方はわれわれのものであり、NVIDIAのものではない。同社は、スコアが付与されたときにテンプレート書き換え経路が考慮されたかどうかについて、いかなる声明も公表していない。

ローカルサーバーを到達可能にした設定

NemoClawはOpenClawエージェントをOpenShellサンドボックス内にデプロイし、ローカル推論バックエンドとしてOllamaをサポートしています。設定上の問題は、その構成の副作用です。CyeraのElad LuzとOfek Itachによる調査記事で説明されているように、OpenShellはDockerで動作するため、デフォルトのループバックアドレス上のOllamaサーバーにはコンテナ内から到達できません。そのためNemoClawは、OLLAMA_HOST=0.0.0.0:11434を指定してOllamaを起動します。これは、ホストのループバック上だけでなく、すべてのインターフェース上でポート11434をバインドします。同じ記事は、実際のバインド範囲がかなり広いにもかかわらず、インストーラーが「Using Ollama on localhost:11434」と表示することにも言及しています。

OllamaのAPIには認証がない。ブラウザ向けの防御は2つある。OriginがHostと等しいリクエストを同一オリジンとみなし、Originヘッダーのないリクエストを通過させるCORSミドルウェアと、通常はローカルホスト名のみを受け入れるHostヘッダー検証のステップだ。2つ目の防御は、NemoClawの設定では消える方である。Cyeraの説明は明示している。「Ollamaが非ループバックアドレス（0.0.0.0など）にバインドされている場合、Hostヘッダーの検証は完全にスキップされる」と——コードはバインドアドレスがループバックかどうかを確認し、そうでなければ検証をバイパスする。

この組み合わせがDNSリバインディングを成立させます。訪問者が攻撃者の管理するドメインからページを読み込むと、そのページのJavaScriptがポート11434にアクセスします。その後、攻撃者のDNSが同じドメインを127.0.0.1または被害者のローカルネットワーク上のアドレスに再解決します。ブラウザの同一オリジンポリシーはホスト名に基づいて判定され、ホスト名は変わっていないため、ブラウザはそのリクエストを同一オリジンとして扱い続けます。Ollamaはこれを受け取り、自身のバインドが非ループバックであるためHost検証を省略し、OriginがHostと等しい——どちらも攻撃者のドメイン——と認識するため、CORS層が許可します。Cyeraによる結果の要約は「完全な、未認証のAPIアクセス」です。攻撃者が制御する必要があるのは自身のドメインだけであり、被害者のネットワークやDNSインフラストラクチャに足場を築く必要はありません。

サンドボックスはこの問題をカバーできていなかった。脆弱性がサンドボックスの下層に位置しているためだ。eSecurity Planetはこのバグを「それらサンドボックスの制御の下にある推論層に」存在すると表現しており、エージェントをサンドボックス化しても、それが通信するモデルサーバーは保護されないままだった。Cyeraもより広い観点から同じ指摘をしている。「エージェントのサンドボックス化は必要だが、十分ではない」。この事案に関するCloud Security Allianceの2026年8月27日付のリサーチノートはさらに、非ループバックへのバインドによって、CVE-2024-28224として追跡された過去のOllamaリバインド問題の背後にあった露出が再び生じると付け加えている。

はっきり言っておく価値がある。これはブラウザ攻撃とは別の露出経路だからだ。0.0.0.0 にバインドすると、未認証の API がローカルネットワーク上に直接置かれることにもなり、ポート 11434 にルーティングできるホストであれば、DNS リバインディングをまったく使わずに到達できる。

読みやすいテンプレートから書き換え済みのテンプレートへ

JavaScriptがAPIに到達できるようになると、偵察はありふれた作業になる。Cyeraはデモンストレーションで到達可能だったものを列挙している。GET /api/tagsから取得できるインストール済みモデルの名前、サイズ、ファミリー、量子化、GET /api/versionから取得できる正確なOllamaバージョン、POST /api/showから取得できるモデル詳細、システムプロンプト、テンプレート、ライセンス、そしてPOST /api/meから取得できるホスト名と公開鍵（またはサインイン中のユーザー名）だ。破壊的なエンドポイントにも到達可能だった。任意のモデルをダウンロードしてディスクを満杯にするPOST /api/pull、被害者のアカウントでモデルをollama.comにプッシュするPOST /api/push、被害者のモデルを削除するDELETE /api/delete、そしてPOST /api/signoutである。推論エンドポイント（OpenAI互換の/v1/chat/completionsルートを含む）は、被害者のGPU上でプロンプトを実行する。

永続化は、それらのエンドポイントのうちの1つからもたらされた。Cyeraの記事は、POST /api/create を通じて隠しシステムフィールドを注入する手法がOpenClawには効かなかったと説明している。なぜなら、エージェントは自身のシステムプロンプトをmessages配列内で送信し、それがモデルの組み込みシステムフィールドを上書きするからである。より強力な経路は、/api/create も受け付けるテンプレートフィールドである。OllamaのチャットテンプレートはGoテンプレートであり、推論前にメッセージが生テキストへどのようにレンダリングされるかを制御する。「テンプレートは推論時に、クライアントが送信するシステムプロンプトを含むすべてのメッセージに適用される」。実演では、攻撃者は /api/show を通じて元のテンプレートを取得し、ツールのレンダリング、特殊トークン、ロールの書式をそのまま保ちながら、そこにインジェクションを差し込み、それを再アップロードした。

その配置から何が導かれるかが、重要な点です。Cyeraによれば、この改変はモデルとの将来のすべての会話にわたって持続し、クライアントが提供するシステムプロンプトを越えて存続し、モデルの名前、サイズ、メタデータ、機能が変わっていないように見えるためユーザーには見えず、モデルのすべての利用者——CLI、APIクライアント、エージェントのいずれにも——影響します。この記事自体の捉え方は、「クライアントはこれを検出も防止もできない」というもので、その理由はテンプレートが「API利用者には見えないモデルレベルの特性」だからです。CSO Onlineは、2026年8月26日にこの事例を報じ、Luz氏がテンプレートを「ガードレールや運用担当者が見ることのできるあらゆるものより一層下に位置する」と説明したと引用し、この変更が将来のあらゆるセッションで存続すると指摘しています。

Cyeraが、汚染されたテンプレート上で動作するエージェントについて挙げている影響は、実際に観測されたものではなく、あくまで可能性にとどまる。具体的には、生成コードへの脆弱性の挿入、セキュリティ警告の抑制、攻撃者が管理するパッケージ・URL・設定へ推奨を誘導すること、外向きアクセスが存在する場合の会話データやファイルデータの持ち出しなどである。この解説は、サンドボックスが依然として制限する範囲——ホストレベルのファイルシステム、ネットワーク、プロセスの操作——についても慎重に述べつつ、エージェントが認可されているソース管理、CI/CD、内部API、クラウドサービス、MCPサーバーへのアクセスこそが実際の露出点であると指摘している。

そのデモンストレーションが示したこと、そして示さなかったこと

Cyeraの説明によると、概念実証は4つのステップで実行された。研究者らはNemoClawサンドボックスに接続してプロンプトを送信し、エージェントは正常に応答した。次に、ローカルのOllamaサーバーに対してDNSリバインディングを行うWebページを開いた。そのページはOllamaのバージョン、インストール済みモデル、ホスト名、公開鍵を読み取り、隠し命令でモデルテンプレートを汚染した。同じプロンプトを再送信すると、注入されたマーカーを含む応答が返され、サンドボックス化されたエージェント自体には何の変更も加えられていなかった。

研究者が行っている主張のうち最も強い形がこれであり、同時に記録の限界が始まる地点でもある。これは特定の構成——Ollama を OLLAMA_HOST=0.0.0.0:11434 で起動した場合——における実証であり、導入済みシステムの調査ではない。本稿のために検討した報道のどこにも被害者名はない。NVIDIA の bulletin にも、NVD の記録にも、Cyera の write-up にも、CSO Online や eSecurity Planet の報道にもない。露出した NemoClaw インストールの件数は、そのいずれからも公表されておらず、実環境での悪用を報告しているものもない。CISA KEV への登録がないことはカタログに関する事実であり、誰も試みなかったことの証拠ではない。

独立したコメントは、CSO Onlineが引用したCequence SecurityのRandolph Barrから寄せられた。「DNSリバインディングは10年以上前からブラウザの定番の小技だった」と同氏は述べ、「それを認証なしのローカルモデルサーバーに向けるのが新しい部分だ」と付け加えた。これはここでの目新しさを的確に言い表している——ブラウザの手法は古く、標的となるクラスは新しい——同時に、この開示が1つの研究チームの実演に依拠していることを思い出させるものでもある。本記事のために精査した報道の中に、テンプレートポイズニングの結果を独立に再現したものは見つからなかった。

修正と、Windowsのギャップ

NVIDIA が修正として挙げるコミット f06796ff3 のタイトルは「fix(security): bind Ollama to localhost with authenticated proxy」です。公開リポジトリと照らし合わせて読むと、次の3つのことを行っています。ローカル推論パスを変更し、Ollama が 0.0.0.0:11434 ではなく 127.0.0.1:11434 で起動されるようにします。小規模な認証付きリバースプロキシ scripts/ollama-auth-proxy.js を追加します。これは 0.0.0.0:11435 で待ち受け、オンボーディング時にインスタンスごとに生成されて OpenShell プロバイダー資格情報に保存されるベアラートークンを検証するため、コンテナ化されたゲートウェイは引き続き推論に到達でき、トークンを持たないものには 401 が返ります。GET /api/tags はコンテナのヘルスチェック用に意図的に除外されています。また、セットアップスクリプトとローカル推論テストをプロキシのポートに更新します。コミットメッセージには内部チケットが「PSIRT bug 6002780, CVSS 7.5 High」として記録されており、これは NVIDIA が後に CVE に対して公表した 8.1 とは対照的です。

そのコミットより先の修復状況が情報源の見解の分かれる点であり、この相違は解消するのではなく報告すべきである。CSO Onlineは「この脆弱性はNvidiaによって非Windowsシステム向けに修正済みとなった」と報じている。2026年8月27日のCloud Security Allianceの注記はより具体的である。macOSとLinuxはv0.0.35で修正されたと述べ、後続のビルドv0.0.106はOllamaがループバックにバインドされている場合を除き起動を拒否するとし、さらに「NVIDIAの修復はmacOSとLinuxを対象とするが、公開時点ではWindowsやWSLには拡張されていない」と述べている。その説明では、起動時チェックは「WindowsおよびWSLで使用されるコードパスに到達しない」、v0.0.34は「ループバックバインディングを強制するのではなく警告のみを追加した」、そして「WindowsおよびWSLの導入環境は開示時点で露出したままだった」。NVIDIA自身の bulletin はこれを一部しか裏付けていない。影響を受ける製品の表はCVE-2026-65105をLinuxに限定し、更新された単一のコミットとバージョンを示し、Windowsの項目は影響を受けるものとしても修正済みとしても記載していない。NVIDIAは、ここで確認したどの文書においても、この不一致に応答していない。

NVIDIAの公開声明は、CSO Onlineでの掲載後に発表された。同社は「研究者の発見と報告に感謝する」と述べ、さらに「Nvidiaは顧客がダウンロードしてインストールできるアップデートを公開した」と付け加えた。

eSecurity Planet が挙げた運用者側の対策は、記録の実務的な残り部分です：

• NemoClaw を更新し、バージョン文字列を信用するのではなく、デプロイされたコードにコミット f06796ff3 が含まれていることを確認してください。0.0.25 は影響を受けた列と更新後の列の両方に現れるためです。

• 明示的に広範なアクセスが必要でない限り、Ollama を 127.0.0.1 に制限します。これにより、Host 検証がスキップされる原因となる非ループバック バインドが除去されます。

• 推論サービスをアプリケーション自身のネットワーク境界に頼るのではなく、認証済みプロキシとファイアウォール制御を前面に配置する。

• 待ち受けインターフェース、モデルテンプレート、モデル設定、APIアクティビティを監視して、予期しない変更を検出してください。汚染されたテンプレートはモデルの名前、サイズ、メタデータをそのまま残すためです。

改ざん検知と復旧のために、モデルテンプレートと設定の既知の正常なコピーを保持し、モデルポイズニングおよび推論の露出に対するインシデント対応計画をテストする — 隔離、整合性チェック、認証情報のローテーションと復元。

• エージェントがアクセスできるすべての対象に最小権限を適用する：リポジトリ、CI/CDシステム、API、クラウドリソース、認証情報。サンドボックスはホスト上の操作を制限するものの、エージェントに付与された権限までは制限しないからです。

何が確立しており、何が帰属され、何が知られていないのか

確認済み。NVIDIAは2026年8月25日に、CVE-2026-65105（8.1 High、CWE-306）を記載した速報5872を公開した。この脆弱性はLinux向けNemoClawのバージョン0～0.0.25に影響し、コミットf06796ff3で修正された。NVDのレコードは、速報自体のページとは独立して、スコア、ベクター、弱点クラスを裏付けている。NVIDIAの謝辞には、Oasis SecurityのMarkus Halvorsen氏とElad Luz氏の名前が挙げられている。修正として示された公開コミットは、バインド先をループバックに変更し、ポート11435でトークン認証付きプロキシを導入している。このCVEは、CISAのKnown Exploited Vulnerabilitiesカタログには含まれていない。

出典明示。ウェブページを一度訪問するだけでモデルのチャットテンプレートが書き換えられ、その変更が後のセッションやクライアント提供のシステムプロンプトを超えて存続するというのは、Oasis Securityの調査結果であり、Cyeraの調査レポートを通じて報告され、CSO OnlineとeSecurity Planetで取り上げられたものです。macOSとLinuxはv0.0.35とv0.0.106で修正された一方、WindowsとWSLはv0.0.34で警告のみだったというのはCloud Security Allianceの説明であり、同じ主張を短くまとめたCSO Onlineの表現は、パッチがWindows以外のシステムを対象とするというものです。下流のエージェントへの影響——脆弱なコード、抑制された警告、攻撃者に誘導されたパッケージ、データの外部流出——の一覧は、Cyeraによる潜在的な影響の説明であり、観測された結果ではありません。

確立されていない。 0.0.0.0 バインドで実行された NemoClaw デプロイメントが何件あったか、またそのうち何件が隣接ネットワークから到達可能だったかは、誰も公表していない。ポイズニング経路が NVIDIA の 8.1 スコアに織り込まれていたかどうかは不明である — 公開されたベクターには整合性への影響が含まれておらず、NVIDIA もそれについてどちらとも明言していない。ここでレビューしたどの情報源も、被害者、インシデント報告、実環境での悪用を記録しておらず、第二の研究グループによる再現も公表されていない。

記録そのものは研究成果であり、実際の運用で起きた出来事ではない。アーカイブの項目は重大度が高く、信頼度はAと格付けされ、現実世界での被害は記録されておらず、異論のないものとされている。これは情報源が示す内容、すなわち十分に文書化された脆弱性に実証された悪用事例が伴い、報告された被害者がいないという内容と一致しており、本稿が実証とその結果を一つの主張として扱うのではなく、両者を切り分けている理由でもある。