OpenClawスキルアナライザー：AIエージェントスキルの静的セキュリティスキャナー
OpenClawの開発者が、インストール前にスキルを悪意のあるコードについて分析するセキュリティスキャナーを公開しました。このツールは、今年初めにClawHubで341の悪意のあるスキルが発見されたことを受けて作成されました。
仕組み
この解析ツールはスキルフォルダに対して静的解析を実行し、明確なリスク評価（SAFE、LOW、MEDIUM、HIGH、CRITICAL）を提供します。スキルフォルダを指定すると、自動的にチェックが実行されます。
検出機能
このスキャナーは12カテゴリにわたる40以上の検出ルールを含んでいます。ソースで言及されている具体的な検出タイプには以下が含まれます：
- プロンプトインジェクション
- データ流出
- 認証情報窃取
- バックドア
- 難読化
このツールはGitHubで利用可能です：https://github.com/papichulomami/openclaw-skill-analyzer。
この種のセキュリティツールは、AIコーディングエージェントを扱う開発者にとって特に有用です。適切に審査されない場合、サードパーティのスキルが重大なセキュリティリスクをもたらす可能性があるためです。
📖 完全なソースを読む： r/openclaw
👀 See Also
MCPパッケージセキュリティスキャンが、確認なしで広範な破壊的機能を明らかにする
npm上の2,386のMCPパッケージをセキュリティスキャンした結果、63.5%がファイル削除やデータベース削除などの破壊的操作を人間の確認なしに公開していることが判明しました。研究者は全体の49%にセキュリティ問題があり、402件の重大度クリティカル、240件の重大度高の脆弱性を発見しました。
エージェント分離セキュリティ分析：サンドボックスなしからFirecracker VMまで
Cursor、Claude Code、Devin、OpenAI、E2Bが、サンドボックスなしからハードウェア分離型のFirecrackerマイクロVMまで、どのようにエージェントのワークロードを分離しているかの分析。コンテナランタイムは2019年以降毎年エスケープCVEが報告されている一方、Firecrackerは7年間でゲストからホストへのエスケープがゼロ件。
大量NPM和PyPI供应链攻击波及TanStack、Mistral AI及170多个软件包
調整された攻撃により、170以上のnpmパッケージと2つのPyPIパッケージが侵害され、TanStack（42パッケージ）、Mistral AI SDK、UiPath、OpenSearch、Guardrails AIが標的となりました。悪意のあるバージョンは、認証情報を流出させ、クラウドメタデータを調べるドロッパーを実行します。
OpenClawインスタンスのための5つの必須セキュリティ手順
Redditの投稿では、OpenClawをデフォルト設定で実行すると重大なセキュリティリスクが生じると警告し、5つの緊急対策を提示しています：デフォルトポートの変更、プライベートアクセスのためのTailscaleの使用、ファイアウォールの設定、エージェント用の別アカウントの作成、スキルインストール前のスキャンです。