何が起きたか
NVD は 2026-07-26 に CVE-2026-17458 (CVSS 6.3、中) を公開し、公開エクスプロイトは既に利用可能です。openclaw-cn は OpenClaw パーソナル AI エージェントのフォーク/ローカライゼーションで、ブラウザ自動化ツール (Playwright ベース) を LLM に公開します。SSRF ガードは初期ナビゲーションターゲットのみをチェックし、後続のクリック駆動ナビゲーションで到達される URL はチェックしません。
なぜ重要か
ブラウザ使用/コンピュータ使用ツールはコア エージェント型 攻撃表面です。これは未メンテナンス (ベンダー応答なし) AI エージェントのブラウザツールの動作中の公開エクスプロイト SSRF であり、エージェント型ナビゲーションアクション上の部分的な SSRF ガードがインタラクション駆動リダイレクト経由でどのようにバイパスされるかを示しています。
攻撃経路
Browser Control HTTP API (src/browser/routes/agent.act.ts) の clickViaPlaywright 関数は直接ナビゲーションに SSRF 保護を実施していますが、インタラクション駆動ナビゲーション (例えば、内部/ループバックターゲットへのリダイレクトまたはページ内ナビゲーションをトリガーするクリック) 後の結果の URL を再検証できません。ブラウザ制御エージェントアクションを呼び出せるリモート攻撃者は、これを内部/プライベートネットワークリソースの取得にピボットできます。
影響を受けるシステム
mf-yang openclaw-cn 0.2.1 まで
緩和策
本稿執筆時点ではベンダーパッチは確認されていません。メンテナーには issue report を通じて通知されていますが、応答がありません。Browser Control HTTP API をまったく信頼できる呼び出し元に制限し、修正されるまでエージェント型ブラウザサンドボックスをネットワークセグメント化してください。