広く普及しているAIエージェントフレームワークにおけるゼロクリックの脆弱性は、コマース業界の誰も聞きたくはないが、誰もが知るべき警告です。
私はサンタモニカにあるベイ・シティーズ・イタリアン・デリの素晴らしく混沌とした行列に立ち、紙の整理券を握りしめていました。そこの番号システムは美しい時代錯誤です。プロシュートの山に隠れた誰かが番号を叫び、あなたはゴッドマザーサンドイッチの注文を叫び、現実の人間エージェントの連鎖が動き出します。UIもアプリもありません。そこにあるのは、何十年も生き残ってきた、堅牢で監査可能なプロセスです。すべてのステップが観察可能です。カピコラを切っている男が、密かにあなたの銀行口座にアクセスしているわけではありません。このシステムは、美しくアナログなシンプルさの中で、読みやすく、テスト可能で、安全なのです。
その時、私の携帯電話に「ClawJacked」[2]という高深刻度脆弱性に関するアラートが届きました。これはOpenClawの欠陥であり、ブランドが展開を急いでいる自律型AIエージェントを構築するために開発者が利用している一般的なオープンソースフレームワークです。要するに、ClawJackedは悪意のあるウェブサイトがあなたのローカルAIエージェントをハイジャックすることを可能にし、あなたが何もクリックすることなく、データを盗み、APIを悪用し、あなたに代わってアクションを実行する力を与えるのです[11]。
自分の番号 — まだ40番台後半 — を見つめながら、コマース業界全体が、ベイ・シティーズの実証済みでありながら不器用なシステムを、我々が完全に理解しておらず、適切に確保できないフレームワーク上に構築された不透明で相互接続されたエージェントのウェブに置き換えようとしていることに気づきました。我々はエージェント型コマースの可能性に夢中になりすぎて、未来を砂の上に築いており、潮が押し寄せているのです。
OpenClawとは何か、そしてなぜブランドは気にする必要があるのか？
ほとんどのマーケティングおよびコマース担当役員にとって、「OpenClaw」という名前は、難解な開発者用語のように聞こえるでしょう。それはエンジニアリングチームが処理すべき詳細事項です。これは壊滅的に誤った仮定です。リスクを理解するには、これらのツールが何であり、誰もが息をのむほど熱狂しているエージェント時代の未来の基礎層をどのように形成しているかを理解する必要があります。
OpenClawは、AIエージェントの神経系として機能するオープンソースフレームワークです。その主な機能は、大規模言語モデル（LLM）—「脳」—を、一連のツールとライブインターネットに接続することです。これらのツールは「スキル」と呼ばれ、エージェントが特定の操作を実行できるようにするコードの個別のパッケージです。在庫確認、返金処理、フライト予約、あるいはもっと不吉なことに、プライベートファイルの読み取りなどです[13]。スマートフォンOSが、新しい機能を与えるために任意のアプリ（スキル）をインストールできるのと同じように考えてください。
開発者がOpenClawのようなフレームワークに殺到しているのは、それが大きな問題を解決するからです：LLMは単なる言語プロセッサです。それ自体では何もできません。このようなフレームワークは、テキスト生成モデルをアクション実行エージェントに変えるための配管—API、ブラウザコントローラ、実行環境—を提供します。最近のHackerNoonニュースレターでは、開発者がKafka、Flink、MCPのようなプロトコルを含む多様なツールを組み合わせてエージェントを熱心に構築していることが述べられており、現在構築されている複雑で相互接続されたシステムのカンブリア爆発を示しています[8]。
そしてOpenClawのアーキテクチャの中心には、「ゲートウェイ」と呼ばれるコンポーネントがあります[2, 10]。このゲートウェイは、開発者のマシンまたはブランドのインフラストラクチャ上でローカルに実行されるサーバーです。それはLLMとスキル間の通信を管理し、多くの場合、永続的な双方向接続を維持するためにWebSocketsを使用します。これが、洗練されたエージェントのリアルタイムで応答性の高い感覚を可能にするものです。そして、これこそがClawJackedの脆弱性を非常に壊滅的なものにした原因でもあります。
ブランドリーダーとしてあなたが気にかけなければならない理由は、あなたの将来のエージェント型ストアフロントの準備状況が、この基礎層のセキュリティにかかっているからです。あなたが計画しているAIコンシェルジュ、エージェント支援ショッピング機能、バーチャル試着AI — それらはすべてOpenClawのようなフレームワークを使用して構築されます。フレームワーク自体が侵害されている場合、あなたのCommerce AIアーキテクチャ全体が致命的な欠陥の上に構築されていることになります。
ハイジャックの解剖学：あなたのエージェントはどのようにClawJackedされるのか
ClawJacked攻撃の詳細が、エージェントシステムによって生み出される新しい攻撃対象領域を完璧に示しているため、少し技術的な話になります。これは単純なフィッシング攻撃ではありませんでした。それは利便性のために設計されたアーキテクチャを悪用した、高度なゼロクリックエクスプロイトでした[12]。
バージョン2026.2.26でパッチが適用されたこの脆弱性は、OpenClawゲートウェイコンポーネントに存在しました。失敗の連鎖は以下のとおりです。
- デフォルトの安全ではない設定： ゲートウェイは、デフォルトで任意のオリジンからアクセス可能に設定されていました。これは、悪意のあるウェブサイトを含む任意のウェブサイトが、ゲートウェイとの通信を試みることができたことを意味します。
- 永続的なWebSocket接続： ゲートウェイは、ブラウザベースのフロントエンドと通信するためにWebSocketsを使用します。これにより、「常時接続」チャネルが作成されます。ローカルでOpenClawインスタンスを実行しているユーザーが悪意のあるウェブページを訪問すると、そのページは自分のマシン上のゲートウェイとの間でWebSocket接続を開くことができました。
- コマンドインジェクション： 悪意のあるサイトは、このハイジャックされたWebSocketを介してコマンドを送信できました。ゲートウェイはエージェントの「スキル」へのアクセスを仲介するように設計されているため、ウェブサイトはエージェントにインストールされている任意のスキルを実行するように指示できたのです。
あなたが大手ファッションブランドの開発者で、OpenClawインスタンスを使って製品データベースにクエリできるエージェントを構築していると想像してください。あなたは、inventory.yourbrand.comにアクセスするためのAPIキーを持つスキルを与えました。そして、別のブラウザタブで、侵害されたウェブサイト（例えば、バスケットボールの統計に関するブログ）を閲覧します。そのサイトは、あなたが何もクリックすることなく、あなたのローカルエージェントに、インベントリスキルを使ってすべてのデータを抜き出し、攻撃者のサーバーに送信するように指示するコマンドを送信できるのです。これがClawJacked攻撃の核心です[2, 11]。
攻撃の流れは次のようなものです。