OpenClaw AI エージェントとフィッシング：4 つのシナリオを 2 種類のコンフィグで試してみた

OpenClaw AI agent found falling for phishing attacks, spills user data

2026/06/09 BleepingComputer — OpenClaw のメール・エージェントの 2 種類のコンフィグ設定に対するフィッシング・シミュレーションにおいて、人間であるユーザーを騙す際に用いられる、一般的な悪意の手法が有効であることが明らかになった。OpenClaw のオープンソース AI エージェント・フレームワークは、現実世界のシステムと LLM を連携させ、自律的にアクションを実行できるようにするものだ。このフレームワークは、基本的な推論および操作を行うメール・エージェントとしても利用できる。

セキュリティ企業 Varonis の研究者は、OpenClaw エージェントを構築し、Gmail の受信トレイ／ブラウザツール／Google Workspace API／社内データソースを模した環境に接続し、受信メールの監視および処理を行うよう指示した。

この合成エンタープライズ・データには、AWS 認証情報／データベース認証情報／CRM エクスポート／内部コミュニケーション／Calendar 招待が含まれており、いずれも機密性の高いデータである。

エージェントは、2 種類のコンフィグで実行された。1 つは標準的な生産性向上のための指示を持つ一般的なコンフィグであり、もう 1 つはフィッシング対策およびアイデンティティ検証手順を含む厳格なモードである。

このフレームワークは、Google Gemini 3.1 Pro および OpenAI GPT-5.4 の 2 つのモデルでテストされた。

Varonis Threat Labs は、「何十年にもわたり人間を欺いてきたフィッシング手法が、AI エージェントにも有効かどうかを検証した。Pinchy と名付けた OpenClaw AI エージェントを作成し、古典的なフィッシング・シミュレーションが成功するか失敗するかを検証した」と述べている。

Simulated attack overview
Simulated attack overview
Source: Varonis

研究者は、4 つのフィッシング攻撃シナリオを実施し、以下のような結果を得た。

  1. 攻撃者はチームリーダーになりすまし、本番障害への対応を装ってステージング環境へのアクセスを要求した。エージェントは、AWS IAM キー／データベース認証情報／SSH アクセス情報を外部の Gmail アカウントに送信した。
  2. 攻撃者はプレゼン準備のためのリモート作業を装い、顧客データのエクスポートを要求した。エージェントは、送信者のアイデンティティを検証することなく、顧客レコード／連絡先情報／契約情報／収益データを含む CRM エクスポートを取得して送信した。
  3. エージェントはギフトカードを装うフィッシング・メールを受信した。一般のコンフィグではフィッシング・サイトへのアクセスが生じ、最終的に悪性と判定する前に偽の認証情報でギフトカードの利用を試みた。その一方で、厳格モード・コンフィグは即座にブロックした。
  4. 研究者はタイムシート・プラットフォームを装う悪意の Google OAuth アプリを作成した。エージェントは OAuth フローを解析し、遷移先を評価して不審なアプリと判断し、アクセスを拒否した。

最初の 2 つのシナリオでは、追加の防御策が存在していた厳格モードも騙された。その理由は、フレームワークが送信者のアイデンティティ検証を実施できなかったことにある。

Varonis は、「Generic (通常) と Strict (厳密) の両プロファイルが失敗したのは、業務上の緊急性があるようにリクエストが見えた場合に、検証ステップが崩壊したことによる」と説明している。

The agent's response on scenario 2, exposing user data
The agent’s response on scenario 2 exposing client data
Source: Varonis

Varonis によると、AI エージェントは不審な URL の検出／偽ログインページの識別／悪意の OAuth アプリの検知／フィッシング指標の認識には優れている。しかし、アイデンティティ検証の欠如／コンテキストの喪失／社会的相互作用に対するゼロトラスト原則の適用不能により、依然として失敗する可能性がある。

モデル・レベルでは、Gemini の方が積極的に応答する傾向があり、GPT-5.4 は慎重な挙動を示した。

Varonis が推奨するのは、エージェントに対して送信者アイデンティティの明示的な検証を必須とし、新規の外部宛のメール送信を承認制にし、内部データへのアクセスを制限することである。さらに、認証情報の共有／財務データの要求／初回の通信といった高リスク操作については、人間による承認を要求すべきとしている。

訳者後書：OpenClaw のメール・エージェントにおける問題の原因について、とても興味深い実験が行われました。この問題の背景にあるのは、AI フレームワークが送信者のアイデンティティ検証を適切に実施できていないという欠陥です。この確認の不備があるため、業務上の緊急性を装う偽のリクエストなどに対して、送信元への信頼を見極めるステップが崩壊してしまいます。その結果、人間の心理を突くフィッシング手法に対して、大切な認証情報や顧客データを外部へ送信してしまう危険性が生まれてしまいます。AI が外部からのリクエストを処理する仕組みにおいて、相手の身元を正確に検証する機能がいかに大切であるかが、今回の実験で明らかにされました。よろしければ、OpenClaw での検索結果も、ご参照ください。