OpenClaw-Sicherheitslücke ClawJacked: KI-Agenten übernommen

Key Takeaways:

• ClawJacked: Eine kritische Schwachstelle im OpenClaw-Gateway erlaubte es bösartigen Websites, lokal laufende KI-Agenten zu übernehmen.
• Angriffsvektor: Ein einfacher Besuch einer manipulierten Website reichte aus, um das Passwort zu knacken und Admin-Rechte zu erlangen.
• Schnelle Reaktion: OpenClaw veröffentlichte innerhalb von 24 Stunden einen Patch (v2026.2.25).
• Größerer Kontext: Die Lücke ist Teil einer Serie von Sicherheitsproblemen bei OpenClaw, die von Log-Poisoning bis zu bösartigen Skills im Marketplace reichen.

Kritische Lücke ClawJacked: So funktionierte der Angriff

Das KI-Agenten-Framework OpenClaw hat eine schwerwiegende Sicherheitslücke geschlossen, die als ClawJacked bekannt wurde. Die von Oasis Security entdeckte Schwachstelle lag im Kernsystem des Gateways – also nicht in Plugins oder Erweiterungen.

Ein erfolgreicher Angriff hätte folgendes Szenario ermöglicht: Ein Entwickler hat OpenClaw auf seinem Laptop laufen. Besucht er dann eine manipulierte Website, kann bösartiger JavaScript-Code im Hintergrund eine Verbindung zum lokalen OpenClaw-Gateway aufbauen.

Der Browser blockiert solche WebSocket-Verbindungen zu localhost nicht. Das ausgenutzte Sicherheitsproblem war ein fehlender Schutzmechanismus gegen Brute-Force-Angriffe.

• Der Skript konnte das Gateway-Passwort durch massenhafte Versuche erraten.
• Nach erfolgreicher Authentifizierung mit Admin-Rechten registrierte sich das Skript automatisch als vertrauenswürdiges Gerät – ohne jegliche Benutzerbestätigung.
• Der Angreifer erhielt daraufhin vollständige Kontrolle über den KI-Agenten.

„Jede Website, die Sie besuchen, kann eine Verbindung zu Ihrem localhost öffnen. Der Benutzer sieht nichts“, erklärte Oasis Security. Diese falsch platzierte Vertrauensstellung hatte reale Konsequenzen.

Patch verfügbar – Update dringend empfohlen

Nach einer verantwortungsvollen Offenlegung durch die Sicherheitsforscher reagierte OpenClaw äußerst schnell. Innerhalb von weniger als 24 Stunden wurde mit der Version 2026.2.25 ein Patch bereitgestellt.

Alle Nutzer werden dringend aufgefordert, auf die neueste Version zu aktualisieren. Zusätzlich sollten sie regelmäßig überprüfen, welchen Zugriff ihre KI-Agenten haben und geeignete Governance-Kontrollen für diese nicht-menschlichen Identitäten einführen.

OpenClaw im Fadenkreuz: Eine wachsende Bedrohungslandschaft

Der Vorfall mit ClawJacked ist kein Einzelfall. OpenClaw steht derzeit unter intensiver Sicherheitsprüfung, da kompromittierte KI-Agenten aufgrund ihrer tiefen Integration in Unternehmenssysteme ein enormes Schadenspotenzial bergen.

In den letzten Wochen wurden mehrere weitere Schwachstellen unterschiedlicher Schweregrade bekannt, darunter:

• Log-Poisoning: Angreifer konnten über öffentlich zugängliche Instanzen bösartige Inhalte in Log-Dateien schreiben, um den Agenten zu manipulieren.
• Remote Code Execution (RCE) & Command Injection: Mehrere CVEs (CVE-2026-25593, CVE-2026-24763, etc.) ermöglichten die Ausführung von Schadcode.
• Server-Side Request Forgery (SSRF) & Authentication Bypass: Weitere kritische Lücken wurden geschlossen.

Gefahr aus dem Marketplace: Bösartige Skills und Agent-to-Agent-Angriffe

Die Bedrohung geht nicht nur vom Kernsystem aus. Der offene Marketplace ClawHub wird zunehmend als Einfallstor für Malware missbraucht.

• Atomic Stealer Variante: Bösartige Skills wurden genutzt, um eine neue Variante des macOS-Information-Stealers „Atomic Stealer“ zu verteilen.
• Krypto-Betrug: Analysen von über 3.500 Skills identifizierten 71 bösartige, darunter Tools, die Kryptowährungen auf Wallet-Adressen der Angreifer umleiten.
• Agent-to-Agent-Angriffskette: Ein Threat Actor mit dem Alias „BobVonNeumann“ nutzte die Plattform Moltbook, um andere KI-Agenten zu infiltrieren und sie dazu zu bringen, wertlose Token zu kaufen oder private Schlüssel preiszugeben.

Sicherheitsempfehlungen: Isolation ist der Schlüssel

Angesichts der vielfältigen Risiken raten Sicherheitsexperten zu strengen Maßnahmen. Microsoft warnte in einem Advisory explizit vor ungeschützten Deployment.

Empfohlene Sicherheitspraktiken:

• OpenClaw nur in vollständig isolierten Umgebungen betreiben (z.B. dedizierte VM).
• Skills vor der Installation sorgfältig prüfen und auf verdächtige Befehle achten.
• Dem Agenten nur minimale, nicht-privilegierte Berechtigungen und Zugänge gewähren.
• Kontinuierliches Monitoring der Agenten-Aktivitäten implementieren.

„OpenClaw sollte als Ausführung von nicht vertrauenswürdigem Code mit persistenten Zugangsdaten behandelt werden“, stellt das Microsoft Defender Security Research Team klar. „Es ist nicht geeignet, auf einem Standard-Arbeitsplatzrechner zu laufen.“

Die Sicherheitsvorfälle zeigen, dass mit der Verbreitung von KI-Agenten-Frameworks auch die Angriffsflächen wachsen. Sicherheitsanalysen müssen sich weiterentwickeln, um sowohl traditionelle Schwachstellen als auch KI-spezifische Angriffsvektoren abzudecken.