NVIDIA NemoClawにローカルAI乗っ取りの弱点、Web閲覧だけでモデルに隠し指示が埋め込まれる恐れ

要点

• セキュリティ企業のOasis Securityが、NVIDIAのAIエージェント基盤「NemoClaw」と推論ツール「Ollama」の連携における設定上の弱点を報告した。

• 悪意あるWebサイトを閲覧することで、DNSリバインディング攻撃により認証なしでローカルのOllama APIへ不正アクセスされる恐れがある。

• 攻撃者はAPI経由でテンプレートを改ざんし、その後の会話すべてに隠し指示を恒久的に挿入する「モデルポイズニング」を実行できる。

• macOSおよびLinux向けには修正版が提供された一方、WindowsやWSL環境では警告表示の追加にとどまっている。

• 本調査結果に対する固有のCVE番号はなく、2026年8月25日時点で実際の悪用被害は報告されていない。

• セキュリティ企業のOasis Securityは、NVIDIAのオープンソースAIエージェント基盤「NemoClaw」において、悪意あるWebページを通じてローカルのAIモデルを不正に操作・改ざんできる弱点を発見したと公表した。この問題により、細工されたWebページを閲覧したユーザーのローカル環境で動作する推論ツール「Ollama」が乗っ取られ、モデル内に攻撃者の隠し指示が恒久的に埋め込まれる危険があるという。同社はNVIDIAのセキュリティ対応チーム（PSIRT）へ事前報告を行っており、2026年8月25日時点で実際の悪用事例は確認されていない。

弱点の概要とモデルポイズニングのリスク

NemoClawは、隔離環境（サンドボックス）内でAIエージェントを実行するNVIDIAのオープンソース参照スタックであり、ローカル推論バックエンドとしてOllamaをサポートしている。Ollamaは、ローカル環境で手軽に大規模言語モデルを動作させられるオープンソースソフトウェアだ。

報告によると、NemoClawの起動設定に不備があり、攻撃者がWebブラウザを介して認証のないローカルAPIを遠隔操作できる状態が生じていたという。攻撃が成立するとモデルの挙動が根本から改ざんされる恐れがあり、Oasis Securityは「サンドボックスは端末自体を保護するが、エージェントを乗っ取られればそのアクセス権やツールもすべて奪われてしまう」と指摘している。

0.0.0.0バインドとDNSリバインディングによる攻撃手法

問題の発端は、NemoClawがOllamaを起動する際に環境変数 OLLAMA_HOST=0.0.0.0:11434 を設定し、外部を含む全ネットワークインターフェースにポートを開放してしまう点にある。本来ローカル接続のみに制限すべきところを全開放することで、外部からの接触経路が生じる。

ポート11434のAPIには認証機能がなく、通常はブラウザからのアクセスを遮断する仕組みに依存している。しかし、接続先のアドレスがローカル専用（ループバック）以外に設定されている場合、Ollama側でHostヘッダーの検証がスキップされる仕様となっていた。これにより、異なるドメイン間の通信を制御するCORS（Cross-Origin Resource Sharing）も、攻撃者のドメインを同一オリジンと判定してしまう。

ここに、Webサイトのドメインが指すIPアドレスを外部サーバーからローカルの127.0.0.1へ切り替える「DNSリバインディング攻撃」を組み合わせることで、攻撃者はブラウザを通じてローカルAPIへの完全なアクセス権を取得する。Oasis Securityの調査責任者Elad Luz氏によると、macOS上のFirefox環境でこの一連の攻撃チェーンが実証されたという。なお、Ollamaには2024年の修正（CVE-2024-28224）でHostヘッダー検証が導入されていたが、非ループバック接続時に検証が無効化される仕様が今回の不備に直結したと説明されている。

検知不能なGoテンプレート改ざんと隠し指示の埋め込み

ローカルAPIへのアクセスを得た攻撃者は、/api/create エンドポイントを通じてモデルの「Goテンプレート」を不正に書き換える。Goテンプレートとは、入力メッセージをモデル処理用のプレーンテキストへ変換する整形定義のことだ。

改ざんされたテンプレートは、推論が実行されるたびに攻撃者の指示をすべてのシステムメッセージへ強制的に追記する。この隠し指示はその後の別の会話セッションでも恒久的に残り続け、エージェント側が新たに独自のシステムプロンプトを指定しても無効化できない。Oasis Securityは「テンプレートはモデル内部のプロパティでありAPI側からは見えないため、クライアント側で検知・防御することは不可能だ」と説明している。

プラットフォームごとの挙動差と修正の状況

NemoClawにおけるOllamaの扱いは環境ごとに異なっている。非WSL環境（Linux/macOS）ではOllamaをローカル（127.0.0.1:11434）に留めてトークン認証付きプロキシ（ポート11435）を介すのに対し、Windowsホスト環境ではコンテナ連携のために OLLAMA_HOST=0.0.0.0:11434 が設定され、認証なしで開放されていた。Ollama公式のドキュメントでも、WSL2やコンテナ環境向けに OLLAMA_HOST=0.0.0.0 の指定が案内されていた経緯がある。

Luz氏によれば、macOSおよびLinux向けには「NemoClaw v0.0.35」で修正が適用されたものの、WindowsやWSL向けには直接的な修正パッチがなく、「v0.0.34」で警告メッセージが追加された状態にとどまるという。

なお、The Hacker Newsが2026年8月25日時点のリポジトリ（コミット 17f0ca3b）を確認したところ、8月10日の「v0.0.106」で導入されたデフォルト動作により、非ループバックにバインドされたOllamaに対してローカルプロキシが起動を拒否し、警告を出力して強制終了する対策が講じられている。