OpenClaw und das Risiko von Loopback: ein Browser-Tab kann die Steuerung eines IA selbstgehostet

Vor ein paar Tagen fand die Sicherheitsgemeinschaft einen schweren Ausfall in OpenClaw, einer der Plattformen von selbstgehosteten IA-Agenten, die in den letzten Monaten stark in Popularität gewachsen. Forschung Oasis Sicherheit identifizierte eine Schwäche, die es einer bösartigen Website erlaubte, mit einer lokalen OpenClaw-Instanz zu kommunizieren und Passwörter zu versuchen, bis Sie den richtigen erraten, ohne dass der Benutzer etwas in Ihrem Browser bemerkt.

Die Wurzel des Problems war im OpenClaw Gateway-Service, der eine WebSocket-Schnittstelle, die mit dem default localhost verknüpft. Diese Kombination war gefährlich, weil, im Gegensatz zu anderen Web-APIs, Browser erlauben WebSocket, Verbindungen zu Loopback-Richtungen zu öffnen, ohne die Source-Richtlinien (sam-origin) die Verbindung zu verhindern. Sie können sehen, wie diese Verbindungen in der technischen Dokumentation der Browser auf der Seite der MDN Web Docs auf WebSocket.

Das besorgniserregendste war nicht nur die Möglichkeit der Verbindung, sondern wie OpenClaw lokale Verbindungen behandelte: die Geschwindigkeitsbegrenzungsschutze wurden entwickelt, um brutale Kraftangriffe zu vermeiden, aber sie schließen in der Regel die Richtung des Loopbacks (127.0.0.1) aus, um nicht legitime Sitzungen von der Maschine selbst zu blockieren. Diese Ausnahme öffnete ein Fenster, das nach Forschern Hunderte von Versuchen pro Sekunde von JavaScript in einem Browser-Tab erlaubte, die ausreichten, um Listen von gemeinsamen Passwörtern in zweiten Fraktionen und größeren Wörterbüchern innerhalb von Minuten auszuschöpfen.

Darüber hinaus akzeptierte das OpenClaw-Gateway passende Geräte von localhost, ohne den Benutzer um Bestätigung zu bitten, so dass ein Angreifer nach Erraten des Management-Passworts als Trust-Gerät registrieren und Administratorgenehmigungen erhalten konnte. Mit diesem direkten Zugriff auf die Plattform könnte der Angreifer die angeschlossenen Knoten auflisten, Anmeldeinformationen filtern und stehlen, Aufzeichnungen lesen und den Agenten bestellen, um sensible Informationen zu suchen oder auszufiltern, und sogar Shell-Befehle auf angepassten Maschinen ausführen. In ein paar Worten: ein Browser-Tab könnte der Vektor für eine vollständige Übernahme des Jobs werden.

Oasis Security zeigte Beweise für Konzept und eine praktische Demonstration von Missbrauch und berichtete das Problem an OpenLaw Entwickler. Die Reaktion war schnell: In weniger als 24 Stunden wurde eine Korrektur veröffentlicht, die in der Version 2026 enthalten ist. 2.26 veröffentlicht am 26. Februar, die die Sicherheitskontrollen von WebSocket-Verbindungen strafft und Schutz hinzufügt, so dass die Verbindungen von Loopback nicht für brutale Kraftangriffe oder Sitzungsermächtigungen verwendet werden können, auch wenn sie frei von Designbeschränkungen sind.

Diese Inzidenz zeigt ein doppeltes Risiko, das den Boom von selbstgehosteten Plattformen von autonomen Agenten begleitet: einerseits die große Angriffsfläche, die einen lokalen Kontrolldienst mit administrativen Fähigkeiten umfasst; andererseits die Kombination von Browser-Verhalten und Server-Konfigurationen, die für Komfort konzipiert, aber ausgenutzt werden können. Sicherheitsteams und Administratoren, die diese Art von Software bereitstellen, müssen davon ausgehen, dass jede lokale Schnittstelle von einem Browser erreicht werden kann und entsprechende Verteidigungen entwerfen.

OpenClaw ist nicht das einzige Projekt, um sein Vertrauensmodell neu zu denken: Forschung erinnert auch daran, dass öffentliche Fähigkeiten Repositories und Plugins von bösartigen Schauspielern verwendet werden können, um gefährliche Anweisungen zu verbreiten. Im konkreten Fall wurden Versuche, das "ClawHub"-Repository zu missbrauchen, beobachtet, um Fähigkeiten zu fördern, die Malware-Informationssammler bereitstellen oder Benutzer davon überzeugen, schädliche Befehle auf ihren Maschinen auszuführen.

Wenn Sie eine OpenClaw-Instanz verwalten oder verwenden, ist die sofortige Empfehlung, auf die parcheed-Version zu aktualisieren (2026.2.26 oder später). Über das Patch hinaus ist es angebracht, administrative und wichtige Passwörter zu überprüfen, starke und einzigartige Passwörterrichtlinien anzuwenden, die Belichtung von Administrationsschnittstellen auf unzuverlässige Netzwerke zu minimieren und anormale Datensätze und Verhaltensweisen in den Integrationen des Agenten zu überwachen. Für diejenigen, die die Tests und Techniken rund um WebSocket Kanäle vertiefen wollen, die OWASP Web Security Testing Guide liefert nützliche Anleitungen zu Vektoren und Minderungen.

Die gute Nachricht ist, wie schnell dieses Loch nach verantwortungsvoller Offenlegung gelöst wurde: Ein Beispiel dafür, wie der technische Austausch zwischen Forschern und Entwicklern die Auswirkungen begrenzen kann. Die Lektion muss jedoch dauern: mit Werkzeugen, die Aktionen in realen Umgebungen und auf angeschlossene Geräte ausführen können, sind Designsicherheit und kontinuierliche Überprüfung unerlässlich. Es reicht nicht aus, dass ein Service funktioniert; es muss gepanzert werden, dass die lokale Schnittstelle auch eine potenzielle Eingangstür für einen Angreifer ist.

Für diejenigen, die den vollständigen technischen Bericht lesen und die Demonstration von den Entdeckern teilen möchten, enthält der Oasis-Eintrag die Einzelheiten der Feststellung und die Beweise: Oasis Sicherheitsbericht über Sicherheitslücke in OpenClaw. Das Halten von Informationen und die Anwendung von Patches bleibt schnell die beste Verteidigung gegen solche Bedrohungen.