エージェントスキルのサプライチェーン攻撃を防ぐ設計

社内のAIエージェント基盤に、サードパーティ製の「スキル」を1クリックで追加できる仕組みを導入した直後、そのスキルが認証トークンを外部に送信していたと分かったら――これは仮定の話ではなく、2026年に実際に観測された攻撃パターンです。エージェントの機能をパッケージとして配布・共有する「スキル」エコシステムが急拡大する一方、その配布経路はソフトウェアサプライチェーン攻撃の新しい標的になっています。

エージェントスキルのサプライチェーンリスクとは何か

エージェントスキルは実行時にシステムリソース・外部API・ユーザーデータへアクセスできるため、悪意あるパッケージが権限昇格やデータ窃取の経路になります。

エージェントスキルは、特定業務の手順・ツール呼び出し・プロンプトをパッケージ化し、他のエージェントに配布できる単位です。npmパッケージのように誰でも公開・共有できる反面、実行時にはファイル操作やネットワーク呼び出しといった強い権限を伴います。研究論文「Formal Analysis and Supply Chain Security for Agentic AI Skills」（arXiv, 2026）は、この構造を伝統的なソフトウェアサプライチェーン攻撃と同型の脅威モデルとして定式化し、署名なし依存関係の混入・出所（provenance）の欠如・過剰権限での実行を主要な攻撃ベクトルとして整理しています。

2026年に何が起きたか——OpenClawの事例

CVSS 8.8のCVE-2026-25253は認証トークン窃取からコンテナ脱出まで数百ミリ秒で完了し、悪意あるスキル341件が実際に配布されました。

自律型AIエージェント基盤OpenClawで発見されたCVE-2026-25253は、WebSocketのオリジン検証不備を突いてauthTokenを窃取し、承認プロンプトを無効化した上でコンテナを脱出し任意コマンドを実行する脆弱性でした。この脆弱性を悪用した「ClawHavoc」キャンペーンでは、スキル共有プラットフォーム経由で341件の悪意あるスキルが配布され、暗号資産ウォレットを狙うマルウェアが実行されたことが確認されています。スキルの導入経路そのものが攻撃の入口になった典型例です。

企業はスキル導入をどう統制すべきか

未検証スキルの自動実行を許可しないポリシーを起点に、調達・審査・実行の各段階でゲートを設ける統制設計が必要です。

エンタープライズでスキルエコシステムを利用する場合、個々の開発者の判断に検証を委ねるのはリスクが高すぎます。調達段階でスキルの提供元・更新履歴・依存関係を審査するプロセスを設け、社内レジストリを介してのみ配布する体制が現実的な出発点です。マルチチームでスキルを共有する組織では、誰がどのスキルを承認し、いつ再審査するかというガバナンスフローをIT部門が一元管理する必要があります。

多層防御の実装——署名・能力ベース制御・サンドボックス

公開鍵暗号によるパッケージ署名、能力ベースの権限モデル、実行時サンドボックスの3層で防御するのが技術的な基本形です。

前述の研究は、具体的な対策として3つの技術要素を提示しています。第一に、公開鍵暗号を用いたスキルパッケージの署名により、実行前に真正性と非改ざんを検証します。第二に、能力ベースセキュリティ（capability-based security）によって各スキルに必要最小限の権限のみを付与し、ファイルシステムやネットワークへの過剰アクセスを構造的に防ぎます。第三に、実行時サンドボックスでスキルのコードを隔離し、たとえ悪意あるコードが混入しても影響範囲を限定します。抽象解釈（abstract interpretation）による静的解析を実行前に組み込み、疑わしい挙動パターンを検出するアプローチも提案されています。これらは個別のツールではなく、調達から実行までを貫く一つの設計思想として組み込むべきです。

参考

まとめ

エージェントスキルは業務効率化の強力な手段ですが、配布経路そのものがサプライチェーン攻撃の標的になり得ます。署名検証・能力ベース権限・サンドボックス実行という3層の技術的統制を、調達プロセスと組み合わせて設計することが、被害を未然に防ぐ鍵になります。

Kuuでは、大規模組織向けAIエージェント実装支援サービスを通じて、スキル・MCPサーバーを含むエージェントエコシステム全体のセキュリティ統制設計を支援しています。導入済みスキルの棚卸しから始めたい場合も、ぜひご相談ください。