ゼロエクスプロイト、1万台が侵害
私たちがAI Agentに何ができるかを議論している間、セキュリティコミュニティはすでにAI Agentが他人に何のために使われるかを議論しています。
Manifoldのセキュリティ研究者Aks SharmaはClawHub（AI Agentスキルマーケットプレイス）で30個の悪意あるSkillを発見しました。これらはインストールされたAI Agentを暗号マイニングボットネットに変えるもので、セキュリティコミュニティに発見される前に1万回以上のダウンロードを獲得していました。
攻撃プロセス全体はゼロエクスプロイトで実行できます——役立ちそうなSkillを公開し、Agentユーザーがインストールするのを待つだけ。
攻撃チェーンの分解
この攻撃経路がそれほど警鐘を鳴らす理由は、そのシンプルさにあります：
1. 攻撃者が悪意あるSkillを作成（便利なツールを装う）
↓
2. ClawHubに公開（スキルマーケットプレイス、低い審査閾値）
↓
3. ユーザーがSkillをインストール（「このツール良さそう」）
↓
4. SkillがAgentランタイム環境で実行
↓
5. Agentがひっそりとマイニングプールに接続され、ユーザーの計算資源を消費
↓
6. 1万ダウンロード = 1万台の侵害されたAgentこれは従来のソフトウェアサプライチェーン攻撃ではありません——インフラへの侵入、ソーシャルエンジニアリングフィッシング、ゼロデイ脆弱性は必要ありません。単純にAgentエコシステムがSkillに対して持つ信頼メカニズムを悪用しているだけです。
より大きな図：AI Agentセキュリティが全面的に警鐘を鳴らしている
ClawHub事件は孤立したセキュリティ問題ではありません。過去数週間で、AI Agentエコシステムのセキュリティ事件が密集して発生しています：
| 事件 | 時期 | 影響 |
|---|---|---|
| ClawHub悪意あるSkill | 4月末 | 30個の悪意あるSkill、1万+ダウンロード |
| LiteLLM CVE-2026-42208 | 4月29日 | SQLインジェクション、36時間以内に悪用、AIゲートウェイデータベースとクラウド認証情報を露出 |
| Microsoft Entra ID AI Agent権限昇格 | 4月30日 | Agentロールが権限を昇格可能、テナント全体の乗っ取りの可能性 |
| AgentFlow CVE-2026-7466 | 4月29日 | ユーザー制御のPipelineパスパラメータによる任意コード実行 |
| AIコーディングAgentのproduction認証情報失控 | 4月30日 | 6つの脆弱性、4つのプラットフォーム、9ヶ月——Agentが管理されていない認証情報でproductionにアクセス |
問題の根源
AI Agentセキュリティの中核的な矛盾は：Agentは自律的な行動のために設計されているが、セキュリティインフラは「human-in-the-loop」シナリオのために設計されているということです。
具体的には：
- Skillマーケットプレイスの審査が公開速度に追いつかない：ClawHubは毎日数百の新しいSkillを追加、人手による審査が追いつかない
- Agentランタイムの権限境界が曖昧：「天気照会Skill」がなぜファイルシステムにアクセスする必要があるのか？
- 認証情報管理が不在：AIコーディングAgentがハードコードされたAPI keyでproductionデータベースに接続、誰も監査しない
- セキュリティツールチェーンがマッチしない：従来のSAST/DASTツールはAgentの動的な振る舞いを分析できない
アクションアイテム
AI Agentを使用またはデプロイ予定のチーム向け：
即時実行
- インストール済みSkillの監査：ClawHub、GitHubなどのソースからのSkillをチェック、不明な出所のものを削除
- Agentランタイムの権限を制限：最小権限の原則を使用、Agentに不要なファイルシステム/ネットワークアクセスを与えない
- Agentの認証情報をローテート：Agentが使用するすべてのAPI keyとデータベースパスワードを侵害済みとして扱う
中期建設
- Skill審査プロセスの確立：サードパーティSkillをインストール前にコードレビュー
- Agent行動モニタリングのデプロイ：Agentのすべてのツール呼び出しとAPIアクセスを記録、異常検知を構築
- Agentランタイム環境の分離：コンテナまたはサンドボックスを使用してAgentの影響範囲を制限
長期戦略
- Agentセキュリティ基準の推進：業界にOWASP Top 10に類似したAgentセキュリティガイドが必要
- Skill署名メカニズムの確立：コード署名と同様に、Skillの出所が信頼されており改ざんされていないことを保証
AI Agent時代のセキュリティ問題はもはや「発生するかどうか」ではなく「すでにどれだけ発生したか」です。ClawHub事件は氷山の一角に過ぎません——自律的なソフトウェアがノーマルになるとき、セキュリティインフラは追いつかなければなりません。