NVIDIA NemoClaw の脆弱性 CVE-2026-65105：DNS リバインディングによる AI エージェントの乗っ取り

NVIDIA NemoClaw Vulnerability Lets Attackers Hijack AI Agents via DNS Rebinding

2026/08/26 gbhackers — NVIDIA NemoClaw に存在する深刻な脆弱性 CVE-2026-65105 を悪用する攻撃者は、悪意のある Web サイトに 1 回アクセスさせるだけで、ユーザーのローカル環境に展開された AI エージェントを永続的に乗っ取る可能性がある。NemoClaw のローカル環境の Ollama が未認証 API へのアクセスを許しており、DNS リバインディング攻撃の影響を受けることを、Oasis Security の研究者 Elad Luz と Ofek Itach が発見した。さらに攻撃者は、AI モデルのチャット・テンプレートを変更することで、侵害後のエージェントとのやり取りにおいても命令を密かに挿入する可能性がある。

NVIDIA NemoClaw の脆弱性

NVIDIA OpenShell サンドボックス内に OpenClaw AI エージェントを展開する NemoClaw は、ローカル推論基盤として Ollama を利用でき、クラウドでホストされる API に依存せず、開発者自身のハードウェア上でモデルを実行できる。

Docker ベースの OpenShell サンドボックスと、ホスト上で稼働する Ollama の通信を可能にするため、NemoClaw はサービスに以下の設定を適用する。

OLLAMA_HOST=0.0.0.0:11434

この設定により Ollama はループバック・アドレス (127.0.0.1) だけではなく、すべてのネットワーク・インターフェイスにバインドされるため、ユーザーには Ollama が “localhost:11434” で利用可能と案内される。その一方で、Cyera の報告によると、ローカル・ネットワークからもサービスへのアクセスが可能になる。

ポート 11434 の Ollama API は認証を必要としない代わりに、CORS 制御と Host ヘッダー検証によってブラウザから発生するリクエストへのアクセスを制限しているが、バインド・アドレスが “0.0.0.0” などの非ループバック・アドレスに設定されると、Ollama は Host ヘッダー検証をバイパスできる。

この状態では、DNS リバインディングによるブラウザ攻撃が可能になる。DNS リバインディングでは、攻撃者が制御するドメインの名前解決先を時間の経過とともに異なる IP アドレスへ変更できる。典型的な攻撃では、まず被害者を攻撃者が制御するドメインへアクセスさせ、そのドメインを攻撃者の公開サーバへ名前解決させた後、DNS の名前解決先を “127.0.0.1” または別のローカル・ネットワーク・アドレスへ変更する。

そのホスト名への通信をブラウザは同一オリジンとして扱い続けるため、通信先が被害者のローカル Ollama サービスに切り替わっても、ブラウザからの通信として処理される。NemoClaw が Ollama を “0.0.0.0” で起動していることで Host ヘッダー検証が機能せず、ブラウザの Origin と Host の値も引き続き攻撃者が制御するホスト名と一致するため、CORS チェックも成功し、被害者のブラウザで動作する JavaScript から Ollama のローカル HTTP API への未認証での完全なアクセスが可能になる。

最も懸念される結果は、モデル・テンプレートの改ざんである。その理由は、Ollama の “/api/create” エンドポイントが、構造化されたチャット・メッセージをモデルに渡す入力へ変換する方法を指定するために、template パラメータをサポートする点にある。

AI エージェントの命令によって上書きされる可能性があるモデルレベルのシステム・プロンプトとは異なり、このテンプレートは推論時にモデルへ送信されるすべてのメッセージを処理する。そのため、攻撃者は “/api/show” を介して正規のテンプレートを取得し、そのフォーマットとレンダリング動作を維持した状態で、メッセージの処理に紛れ込ませた命令を挿入する可能性がある。

攻撃者が制御する一連の命令は、その後のすべてのやり取りでモデルに処理され、この手法では、改ざんされたモデルが同一の名前、メタデータ、サイズ、外見上の機能を維持したまま、バックグラウンドで悪意のある命令を実行できるため、検出が困難な永続的侵害が生じる。侵害されたエージェントは、バックドアを組み込んだコードの生成、セキュリティ警告の抑制、悪意のあるパッケージや URL の推奨などを実行するよう仕向けられ、外部へのアクセスが許可されている場合には、会話データやファイルの窃取も可能になる。

OpenShell のサンドボックス化および、ファイルシステム／ネットワーク／プロセスの分離により、ホストレベルへの直接的なリスクを軽減できる。ただし、実際のリスク・レベルはエージェント自体に付与された権限に応じて異なる。その範囲に応じて、ソース・リポジトリ／CI/CD システム／内部 API／クラウド・プラットフォーム／メッセージング・サービス／Model Context Protocol (MCP) サーバなどへのアクセスが可能になる。

さらに、”0.0.0.0″ へのバインドにより LAN への露出リスクも生じ、同じネットワーク・セグメント上の別のデバイスが、DNS リバインディングを必要とせずに Ollama へ直接アクセスする可能性がある。

研究者は情報を公表する前に、この問題を NVIDIA Product Security Incident Response Team へ報告している。ローカル Ollama 推論と NemoClaw を使用する組織に必要なのは、公開されているインターフェイスの確認、ポート 11434 へのアクセス制限、モデル・テンプレートに対する未承認の変更の監査である。

NVIDIA NemoClaw に重大な脆弱性 CVE-2026-65105 が発見されました。開発元のデフォルト設定ミスによって Ollama の API アクセス制限が機能せず、悪意のある DNS リバインディング攻撃を受けるリスクが存在します。悪質 Web サイトの閲覧／未認証 API の悪用／モデル・テンプレートの不正改ざん／バックドアの挿入といった被害が発生し、AI エージェントの制御権喪失や情報漏洩を引き起こします。安全を確保するため、バインド設定の見直し／ポート 11434 のアクセス制限／テンプレート監査の実施が求められます。