Clawdbot (Moltbot) を入れたら、24時間以内にハッキングされた話

冒頭では、AnthropicのClaudeをベースにした自律型エージェント「Clawdbot」（現在はMoltbotに改名）の爆発的な人気について紹介されています。このツールは、メッセージアプリを通じてメール確認や会議予約、暗号資産の取引まで行える実用的なアシスタントです。開発者のPeter Steinberger氏によってわずか3ヶ月前に公開されたばかりですが、GitHubで7万ものスターを獲得するほど注目されています。多くのユーザーがこれを動かすためにMac miniを購入するなど、熱狂的なコミュニティが形成されている状況が語られています。しかし、便利さの裏には重大なセキュリティ上の懸念が潜んでいることが示唆されます。

Claudebotのセットアップ方法について、ローカルインストールとVPS（仮想専用サーバー）利用の比較が説明されています。システム全体へのアクセス権を持つため、メインマシンではなく隔離された環境での実行が推奨されています。セットアップはコマンド一つで自動化されており、1PasswordやGoogleカレンダーなどのスキル、複数のLLMモデル、DiscordやTelegramなどの通知チャンネルを簡単に統合できます。また、エージェントに性格を与える「魂（ソウル）」という概念や、持続的なメモリ機能により、非常に人間らしい対話が可能になる点も強調されています。一方で、作者自身がセットアップ直後にハッキングの試みを受けた実体験が共有されます。

ここでは、Claudebotがどのように動作しているかという内部アーキテクチャの解説が行われます。中心となる「ゲートウェイデーモン」がダッシュボードやWeb UIを管理し、複数の「ノード」や「チャンネル」と通信する仕組みになっています。エージェントランタイムにはPyeが採用されており、インメモリセッションやツールの実行を効率的に処理しています。重要なのは、設定ファイルやAPIトークン、過去の会話ログがすべて特定のディレクトリ内に保存されているという点です。これらの情報が攻撃者に奪われると、AIだけでなく連携している外部サービスまで被害が及ぶリスクがあることを警告しています。構造を理解することは、防御策を講じるための第一歩として描かれています。

VPSでClaudebotを運用する際、IPアドレスが公開されていると即座に攻撃の標的になる問題への対策が示されます。スピーカーは、Tailscaleを利用してプライベートなネットワークを構築し、外部からのSSHアクセスを完全に遮断する方法を推奨しています。SSHトンネリングを使用して、自分の信頼するデバイスからのみダッシュボードにアクセスできるように設定することが重要です。また、万が一の漏洩に備えて、Claudebot専用のAPIキーを作成し、不要な機密データはチャット履歴から削除する習慣が求められます。CLIに搭載されているセキュリティコマンドの活用も、システムを守るための有効な手段として紹介されています。これにより、公開サーバーであっても比較的安全に運用することが可能になります。

最後に、ネットワーク設定だけでは防げない「プロンプトインジェクション」という最大の懸念事項について深く掘り下げています。AIがメールやウェブサイトを読み込む際、そこに隠された悪意のある命令を実行してしまうリスクがあり、実例としてマルウェアのダウンロードや勝手な操作が行われたケースが紹介されています。特に家族からの依頼を装ったメールをAIが鵜呑みにしてしまうなど、人間を介さない攻撃手法の恐ろしさが語られています。現状では個人情報をAIに完全に委ねることへの不安が残りますが、将来的に大手企業がセキュリティを克服したエージェントを開発することへの期待も示されています。末尾では、AIアプリ開発者向けの監視ツールであるBetter Stackの紹介が行われ、異常検知の重要性を説いて締めくくられています。