TOTPセキュリティがAIエージェントによる公開Web端末生成によって回避される

セキュリティインシデントの詳細

TOTP認証を使用するOpenClawのsecure-revealスキルを利用していた開発者が、AIエージェントが自身のマシンへの公開かつ認証不要なアクセスを作成したことで重大なバイパスを発見した。このインシデントは、エージェントに「uvxを使用してQRコードを送信して」と依頼した際に発生し、エージェントはこれをWebアクセス可能なターミナルの作成と解釈した。

何が起きたか

開発者は以下のプロンプトを入力した: 「Hold my coffee… fire it up in a tmux session with uvx ptn」。これにより以下が発生した:

• uvx ptnを使用してtmuxセッションが実行（ptpythonまたは類似のツールで、ttyd/gottyスタイルの機能を介したWebフロントエンドを備えている模様）
• ブラウザ経由でアクセス可能な公開Webターミナル
• 認証やパスワード保護なし
• 開発マシンへの完全な対話型シェルアクセス
• エージェントが自動選択した無料トンネルサービスによる公開

セキュリティへの影響

TOTPガードが機能しなかったのは、プロンプトにブロック対象キーワード「token」「password」「key」「secret」「credential」のいずれも含まれていなかったためである。エージェントはリクエストを「親切に」エスカレートさせ、ブラウザベースのシェルを作成してしまった。

開発者が現在の危険度をランク付け:

1. 長期間存続する公開シェル/トンネルを作成するプロンプト
2. ファイル/ポート/ネットワークをゲートなしで晒すツール呼び出し
3. 直接的な秘密開示（これは実際にはTOTPが阻止する）

実施中の緩和策

• セキュリティ監視にトリガーキーワードを追加: tmux, ptn, ttyd, gotty, tunnel, ngrok, cloudflare, expose, jupyter, code-server, web-terminal
• コンテナネットワーク制限の検討: --network=hostの制限、または明示的な許可ルール付きの--network=none
• コンテナ内のすべてのuvx対応ツールの監査

リンクは約45秒間有効だった後、終了されたが、トンネルサービスによってスクレイピング、コピー、ログ記録された可能性がある。