OpenClawセキュリティアラート:50万の公開インスタンス、デフォルト設定がシステムを危険に晒す

✍️ OpenClawRadar📅 公開日: April 1, 2026🔗 Source
OpenClawセキュリティアラート:50万の公開インスタンス、デフォルト設定がシステムを危険に晒す
Ad

OpenClawのセキュリティ暴露の詳細

最近の分析により、公開アクセス可能なOpenClawインストールに重大なセキュリティリスクがあることが明らかになりました。セキュリティ研究者によると、現在インターネット上には50万のOpenClawインスタンスが存在します。このうち、3万件は既知のセキュリティリスクを抱えており、1万5千件は既知の脆弱性を通じて悪用可能です。

重大な設定上の問題点

デフォルトのOpenClawインストールには、以下のセキュリティ上の欠陥があります:

  • デフォルトで認証が無効化されている
  • ゲートウェイが0.0.0.0にバインドされ、あらゆるネットワークからアクセス可能になる
  • システムにキルスイッチが含まれていない
  • 管理コンソールが提供されていない
  • データが暗号化されていないプレーンテキストのマークダウンファイルに保存される

この設定は、セキュリティ設定を手動で構成せずにOpenClawをインストールした場合、エージェント設定全体が誰でもアクセスできる状態でインターネット上に公開されていることを意味します。

文書化されたセキュリティインシデント

複数のセキュリティインシデントが文書化されています:

  • セキュリティ監査により、ClawHub上で341の悪意あるスキルが発見された
  • データベース漏洩により150万のAPIトークンが暴露された
  • ある開発者はOpenClaw使用初週に9つのCVEを発見した
  • 英国のCEOのOpenClawインスタンスがBreachForumsで25,000ドルで販売され、購入者はメール、カレンダー、ファイルにアクセスできるようになった

即時の対応が必要

OpenClawをインストールしている場合は、すぐに設定を確認してください:

  • 認証が適切に構成されていることを確認する
  • ネットワークバインディングを確認する
  • APIキーのセキュリティを確認する
  • 適切なセキュリティ対策なしにインストールが公開アクセス可能でないことを確認する

技術自体は有能ですが、デフォルト設定は重大なセキュリティ上の負債を抱えており、即時の対応が必要です。

📖 Read the full source: r/openclaw

Ad

👀 See Also

RobloxのチートとAIツールがVercelプラットフォームの停止を引き起こした
Security

RobloxのチートとAIツールがVercelプラットフォームの停止を引き起こした

RobloxのチートとAIツールの組み合わせが、Vercelのプラットフォーム全体の停止を引き起こしたと報告され、Hacker Newsで66ポイントと24コメントを獲得し、大きな議論を生み出しました。

OpenClawRadar
Claude Androidアプリ、明示的なユーザー操作なしにクリップボードを読み取ると報告される
Security

Claude Androidアプリ、明示的なユーザー操作なしにクリップボードを読み取ると報告される

ユーザーが報告したところによると、Claude Androidアプリがクリップボードからコードを分析したとのこと。ユーザーが貼り付けを行わなかったにもかかわらず、Claudeはファイルをpasted_text_b4a56202-3d12-43c8-aa31-a39367a9a354.txtとして識別しました。この動作はその後のテストでは再現できませんでした。

OpenClawRadar
スキルアナライザーがClawHubで利用可能になり、ワンコマンドインストールで導入できます。
Security

スキルアナライザーがClawHubで利用可能になり、ワンコマンドインストールで導入できます。

OpenClaw Skill Analyzerセキュリティスキャナーが、ClawHubでワンコマンドインストール可能になりました。このツールは、プロンプトインジェクションや資格情報窃取などの悪意のあるパターンをスキルフォルダからスキャンし、安全な実行のためのDockerサンドボックスサポートも含まれています。

OpenClawRadar
Claude Code VS Code拡張機能が閉じたファイルや新しいセッション間で選択状態を漏洩
Security

Claude Code VS Code拡張機能が閉じたファイルや新しいセッション間で選択状態を漏洩

Claude Code の VS Code 拡張機能のバグにより、ファイルを閉じた後もファイル選択状態がキャッシュされ、新しい CLI セッションに機密データ(例:Supabase のサービスロールキー)が漏洩します。完全な再現手順と GitHub イシュー #58886。

OpenClawRadar