概要
Oasis Securityは、NVIDIAが開発するローカルAIエージェント基盤「NemoClaw」に、悪意あるWebページを閲覧するだけでローカルのAIモデルが汚染されてしまう脆弱性(CVE-2026-65105)を発見したと発表した。NemoClawはバックエンドとしてOllamaサーバーを起動するが、その際に環境変数OLLAMA_HOST=0.0.0.0:11434を設定し、認証なしで全ネットワークインターフェースに待ち受けさせてしまう。これにより攻撃者は、ユーザーが悪意あるサイトを開いただけでローカルのOllamaサーバーに到達し、AIエージェントの応答内容を裏側から書き換えられる状態になっていた。発見したOasis Securityの研究責任者Elad Luz氏は、この問題を「誰もが見ることができるガードレールの下の層に位置し、検出が非常に困難な完全性問題を引き起こす」と説明している。
攻撃の仕組み
攻撃の核心はDNSリバインディングによるブラウザの同一オリジンポリシー回避にある。Ollamaはループバックアドレス以外にバインドされている場合、Host/Originヘッダーの検証をスキップし、CORSも攻撃者のドメインを同一オリジンとして扱ってしまう。この隙を突いて悪意あるWebサイトがブラウザ経由でlocalhostのOllama APIにアクセスし、モデル作成用の/api/createエンドポイントを呼び出してGoテンプレートを改ざんする。このテンプレートは、構造化されたメッセージを生の推論用テキストへと変換する処理を担っており、汚染されたテンプレートはすべてのシステムメッセージに攻撃者が仕込んだ指示文を追記するようになる。結果として、脆弱性をコードにこっそり挿入する、既存のセキュリティ問題を隠蔽する、あるいは会話内容を外部に送信するといった指示をAIエージェントに強制できてしまう。さらに厄介なのは、この汚染が会話をリセットしても、あるいは新しいチャットを開いても消えない点で、同一ネットワーク内の他のデバイスからもアクセスされ得ることだ。
対応状況と今後の見通し
Oasis SecurityはNVIDIA PSIRTに事前に報告し、協調的な脆弱性開示のプロセスを経て、NVIDIAは既に更新版を公開している。ただし修正状況にはプラットフォーム差があり、macOSおよびLinux向けはバージョン0.0.35で修正済みだが、WindowsおよびWSL環境では根本修正がまだ行われておらず、バージョン0.0.34では警告表示が追加されたのみとされる。また8月10日リリースのバージョン0.0.106ではデフォルトの挙動としてループバック以外へのバインドを拒否するチェックが追加されたが、Windows環境の脆弱性自体は依然として残っている。現時点でCVE-2026-65105の実際の悪用は報告されていない。専門家は、Ollamaを認証付きプロキシの背後に配置してループバック経由でのみアクセスさせ、Hostヘッダーをホワイトリスト方式で検証するといった対策を推奨している。同様のチャットテンプレート汚染はPaperclipやOpenClawといった他のAIエージェント基盤でも過去に確認されており、モデル自体ではなく、その周辺のネットワーク配線やAPI設計にこそリスクが潜んでいるという指摘が広がっている。