ClawHubの「@openclaw」を騙る23個のプラグイン──スコープの信頼表示が機能していなかった実例

npmのようなパッケージレジストリでは、@owner/package-nameという「スコープ（組織名の接頭辞）」が、そのコードが本当にその組織から出たものかを示す信頼のサインとして機能してきた。AIエージェント向けプラグイン・スキルのレジストリ「ClawHub」でも同じ仕組みが採用されていたが、2026年6月、セキュリティ企業Manifold Securityがこの仕組みに穴が空いていたことを報告した。

3行まとめ

1. セキュリティ企業Manifold Securityが2026年6月19日、ClawHubの公式スコープ@openclaw/と@clawhub/の下に、どちらの組織とも無関係な15アカウントが公開した、コードを実行する23個のプラグインを発見したと報告した。
2. ClawHub自身の公開ドキュメントには「スコープは選択した公開者と一致しなければならない」というルールが明記されていたが、既存の1,508件のカタログには実務上適用されていなかった。23件のうち6件はClawHub自身のスキャナーで「suspicious」判定済みだった。
3. Manifold Securityの報告を受け、ClawHubは2026年6月19日までに問題の23件を削除し、その後の公式ドキュメントには「Org / Namespace Claim」という異議申し立て手続きが追加された。curlで確認した現行ドキュメントには、スコープ不一致時の具体的なエラーメッセージと申し立てに必要な証拠の種類が明記されている。

何が見つかったか

Manifold SecurityのAx Sharma氏が2026年6月19日付けの公式ブログで公開した調査によれば、同社はClawHubの公式スコープに見える@openclaw/と@clawhub/の名前空間の下で、実際にはどちらの組織とも無関係なアカウントが公開した、コードを実行する23個のプラグインを特定した。

ブログのTL;DRはこう要約している。

"Manifold Security identified 23 code-executing ClawHub plugins published under ClawHub's @openclaw/ and @clawhub/ scopes by accounts that have nothing to do with either organization."

ClawHubは1,508件のプラグインを持つカタログのうち、557件が@owner/形式のスコープを持つが、「すべてのスコープがClawHubによって所有権確認済みというわけではない」という。そのうち23件が、公式に見える名前空間の下にありながら、無関係なアカウントに属していた。

なぜ「公式っぽく」見えるのか

問題視されているプラグイン名には、@openclaw/security-gate・@openclaw/fiat-wallet・@clawhub/aisa-twitter-apiのように、いかにも公式・準公式のツールに見えるものが含まれる。ブログはこう指摘する。

"Plugins called security-gate, prediction-market, or aisa-twitter-api under an official-looking scope can lead developers to install them believing they are ClawHub-built or ClawHub-endorsed."

さらに皮肉な点として、これらのプラグインのうちいくつかは、ClawHub自身のセキュリティスキャンで「pass（合格）」または「clean（問題なし）」と判定されていた。ブログは「@openclaw/security-gateはセキュリティレビュー用のプラグインでありながら、それ自体がOpenClawのものではなく、しかもレジストリ自身の監査に合格していた」という皮肉を指摘している。

ClawHub自身のルールは存在していた

ClawHubの公開ドキュメントには、スコープと公開者を一致させるルールが明記されていた。ブログが引用する原文は次の通り。

"The scope must match the selected publish owner. If your package is named @openclaw/dronzer, it can only be published as @openclaw. If you publish as @vintageayu, rename the package to @vintageayu/dronzer. This prevents a package from claiming an org namespace that the publisher does not control."

つまり、ルール自体はnpmが提供する保護と同じ内容だった。しかし、ブログの表現を借りれば「ClawHubレジストリは、カタログ内の全プラグイン・パッケージに対して、そのチェックを実務上は適用していなかった」。

見つかった23件の内訳

ブログには23件全てのプラグイン名・所有者ハンドル・ClawHubのスキャン結果・コード実行の有無・作成日を並べた表が掲載されている。curlで取得したブログ本文からその表を書き起こすと次の通り。23件全てが「コードを実行するプラグイン」である点は表の見出しにも明記されている。

23件は15の異なるアカウントにまたがり、@clawhub/配下の5件はすべて1つのアカウント（bibaofeng）に、@openclaw/配下のうち5件は別の1アカウント（teodorarg）に集中していた。作成日はすべて2026年3月26日〜5月3日の間に集中している。ブログは「ほとんどは、有用なプラグインを公開しただけの普通の開発者が、公式っぽく見えるスコープに（多くの場合そのスコープが予約されているべきだと気づかないまま）駐留してしまったように見える」とも書いており、23件全てが意図的な"なりすまし"だったとは断定していない。

23件のうち、ClawHub自身のスキャナーによって「suspicious（要注意）」と判定されていたのは表の通り6件（@clawhub/aisa-twitter-api、@openclaw/agent-exporter、@openclaw/fiat-wallet、@openclaw/icpswap、@openclaw/openclaw-host-git-workflow、@openclaw/codex-claw）。Manifold Securityはこの6件を含む23件すべてを手動でレビューし、明確な悪意あるコードは見つからなかったとしている。

"That is deliberately not the headline. The risk here is not a planted payload ... but impersonation of high-privilege plugin types inside a trusted scope."

ブログが強調するのは、「今回見つかったコード自体に仕込まれた悪意」ではなく、「支払いを自律的に実行したり、ホストレベルのgit・ghコマンドを実行したり、エージェント設定をエクスポートしたり、サードパーティAPIに通信したりする高権限のプラグインが、獲得していない@openclawや@clawhubのバッジを着けてしまっている」という構造的なリスクだ。

対応の経緯

Manifold Securityは2026年6月17日にGitHubのセキュリティアドバイザリ経由でClawHubに報告し、翌日に確認メールを送付した。その結果、ClawHubのドキュメントには組織・ブランド・スコープ・所有者ハンドル・名前空間の正当な所有者が異議申し立てできる「namespace-claims dispute process」が追加され、問題のプラグインは6月19日までに削除されたという。ブログはClawHub側の担当者（Patrick Erichsen氏）の迅速な対応に謝辞を述べている。

なお、2026年6月16日時点でキャプチャされたClawHubのFAQには「only publishers with access to the @openclaw owner can publish（@openclawオーナーへのアクセス権を持つ公開者のみが公開できる）」と明記されていたが、実際には23件のプラグインでこの保証が成立していなかった、ともブログは指摘している。

現行ドキュメントで確認できるスコープ拒否の実装

ClawHubの公開ドキュメント（docs.openclaw.ai/clawhub/publishing）を2026年8月時点でcurlして確認したところ、プラグイン公開時にスコープと公開者が一致しない場合、次のエラーメッセージで拒否される仕様が明記されていた。

Package scope "@openclaw" must match selected owner "@vintageayu".
Publish as "@openclaw" or rename this package to "@vintageayu/dronzer".

この記述が示すのは、ルール自体は現在も同じ内容のまま生きている、という点だ。ドキュメントには合わせて、パッケージ名のスコープは正しいがパッケージの所有者が間違っている場合の対処としてclawhub package transfer @opik/opik-openclaw --to opikのような移管コマンドも案内されている。ただし、このドキュメントの記述だけでは、Manifold Securityが調査した2026年6月時点でこのエラーメッセージによる拒否が実際にどこまで機能していたか（または今回追加された修正の一部なのか）までは分からない。

異議申し立て手続きの中身

Manifold Securityの報告を受けて追加された「namespace-claims dispute process」の詳細も、docs.openclaw.ai/clawhub/namespace-claimsから直接確認できる。GitHub上のOrg / Namespace Claim issueテンプレートを開くと、申し立てには次のような「公開可能で機密でない証拠」の提出が求められる。

• GitHubの組織・リポジトリ・リリース・メンテナー履歴
• 該当の名前空間に言及する公式プロジェクトドキュメント
• 独自ドメインまたは公式メールドメインの証明
• npm・PyPI・crates.ioなど他レジストリでのスコープ管理実績
• 商標・ブランド・プロジェクトの所有権を示す、公開して差し支えない証拠

ドキュメントは同時に「APIトークン・署名鍵・DNSチャレンジトークン・非公開の法的文書・個人identity文書など、機密情報は公開Issueに書かないこと」とも注意している。申し立ての結果としてClawHub側が取りうる対応は、名前空間の予約・所有権移管・リネーム・非表示/隔離・エイリアス追加・追加証拠の要求・申し立ての却下のいずれかで、「一致する名前が必ず移管される保証はない」と明記されている点も、この手続きが万能の救済策ではないことを示している。

AIエージェントのサプライチェーンという文脈

Manifold Securityはこの調査を、AIエージェント向けの「サプライチェーン」全体を対象にした継続的な調査活動の一環と位置づけている。ブログの結びでは、同社がこれまでにデータを外部流出させるスキルや、AIエージェントを暗号資産マイニングの群れに勝手に組み込むスキルを発見し、報告後に削除された事例、広く使われるMCPサーバーやエージェント対応のVS Code拡張機能の重大な欠陥の発見・パッチ対応を支援した事例にも触れている。AIエージェントが読み込むツール・スキル・プラグインの信頼性検証は、プロンプトインジェクションやMCP（Model Context Protocol）を巡るセキュリティ論点と同じ、エージェントに何をどこまで信頼させるかという問題の一形態だ。

ClawHub運営元の独自コメントは見つかっていない

• 本記事の一次資料はManifold Security自身の公式ブログと、ClawHub公式ドキュメント（publishing・namespace-claims）、GitHub上のIssueテンプレートの計4本。ClawHub運営元やOpenClaw開発元による、この件についての独自の公式声明・詳細な事後報告は本記事執筆時点では見つけられなかった。
• 「明確な悪意あるコードは見つからなかった」とブログにある通り、今回報告された23件のプラグイン自体が危険だったという証拠はない。あくまで「公式を騙る構造」がリスクとして指摘されている点に注意してほしい。
• 23件という数字は2026年6月時点のスナップショットであり、その後カタログ全体（1,508件）に対して同様のスコープ検証が追加でどこまで実施されたか、再発防止策の実効性については本記事のソースからは確認できない。
• ClawHubとOpenClawの関係（レジストリの運営主体、審査体制の詳細）については、ブログの記述（「ClawHub is the plugin and skill registry for OpenClaw」）以上の一次情報は確認していない。