OpenClaw et le risque de retour en boucle : un onglet navigateur peut prendre le contrôle d'un IA auto-organisé

Il y a quelques jours, la communauté de la sécurité a trouvé un grave échec dans OpenClaw, l'une des plateformes d'agents d'IA auto-accueillés qui au cours des derniers mois a rapidement augmenté en popularité. Recherche Sécurité Oasis identifié une faiblesse qui a permis à un site Web malveillant de communiquer avec une instance locale OpenClaw et essayer des mots de passe jusqu'à ce que vous devinez le bon, tout sans que l'utilisateur remarque quoi que ce soit dans votre navigateur.

La racine du problème était dans le service de passerelle OpenClaw, qui expose une interface WebSocket liée à localhost par défaut. Cette combinaison était dangereuse parce que, contrairement à d'autres API Web, les navigateurs permettent à WebSocket d'ouvrir des connexions à des directions loopback sans les politiques source (même origine) empêchant la connexion. Vous pouvez voir comment ces connexions fonctionnent dans la documentation technique des navigateurs sur la page de MDN Web Docs sur WebSocket.

La chose la plus inquiétante était non seulement la possibilité de se connecter, mais aussi la façon dont OpenClaw traitait les connexions locales : les protections de limitation de vitesse étaient conçues pour éviter les attaques de force brute, mais elles excluaient généralement la direction du loopback (127.0.0.1) afin de ne pas bloquer les sessions légitimes de la machine elle-même. Cette exception a ouvert une fenêtre qui, selon les chercheurs, a permis des centaines de tentatives par seconde à partir de JavaScript dans un onglet de navigateur, ce qui était suffisant pour épuiser les listes de mots de passe communs en deuxième fraction et les dictionnaires plus grands en quelques minutes.

De plus, la passerelle OpenClaw a accepté les appareils correspondants de localhost sans demander de confirmation à l'utilisateur, de sorte qu'une fois le mot de passe de gestion deviné, un attaquant puisse s'enregistrer en tant que périphérique de confiance et obtenir le permis d'administrateur. Avec cet accès direct à la plate-forme, l'attaquant pourrait lister les nœuds connectés, filtrer et voler les identifiants, lire les enregistrements et ordonner à l'agent de rechercher ou d'exfilter des informations sensibles, et même exécuter des commandes shell sur les machines correspondantes. En quelques mots : un onglet navigateur pourrait devenir le vecteur d'une reprise complète du travail.

Oasis Security a montré des preuves de concept et une démonstration pratique d'abus, et a signalé le problème aux développeurs OpenLaw. La réaction a été rapide: en moins de 24 heures, une correction a été publiée, incluse dans la version 2026. 2.26 publié le 26 février, qui resserre les contrôles de sécurité sur les connexions WebSocket et ajoute des protections afin que les connexions de loopback ne puissent pas être utilisées pour les attaques de force brute ou l'appropriation de session, même si elles sont exemptes de limitations de conception.

Cette incidence montre un double risque qui accompagne le boom des plates-formes auto-hôtes d'agents autonomes: d'une part, la grande surface d'attaque qui implique d'exposer un service de contrôle local avec des capacités administratives; d'autre part, la combinaison des comportements du navigateur et des configurations de serveur conçues pour la commodité mais qui peuvent être exploitées. Les équipes de sécurité et les administrateurs qui déploient ce type de logiciel doivent supposer que toute interface locale peut être atteinte à partir d'un navigateur et concevoir des défenses correspondantes.

OpenClaw n'est pas le seul projet à repenser son modèle de confiance : la recherche rappelle également que les référentiels publics de compétences et les plugins peuvent être utilisés par les acteurs malveillants pour distribuer des instructions dangereuses. Dans le cas précis, des tentatives d'abus du dépôt "ClawHub" ont été observées pour promouvoir des compétences qui déploient des collecteurs d'informations de malware ou persuader les utilisateurs d'exécuter des commandes nuisibles sur leurs machines.

Si vous administrez ou utilisez une instance OpenClaw, la recommandation immédiate est de mettre à jour la version parché (2026.2.26 ou ultérieure). Au-delà du patch, il convient d'examiner les mots de passe administratifs et clés, d'appliquer des politiques de mots de passe solides et uniques, de minimiser l'exposition des interfaces d'administration à des réseaux peu fiables et de surveiller les enregistrements et les comportements anormaux dans les intégrations de l'agent. Pour ceux qui veulent approfondir les tests et les techniques autour des canaux WebSocket, OWASP Web Security Testing Guide fournit des conseils utiles sur les vecteurs et l'atténuation.

La bonne nouvelle est la rapidité avec laquelle ce trou a été résolu après une divulgation responsable : un exemple de la façon dont les échanges techniques entre chercheurs et développeurs peuvent limiter l'impact. La leçon, cependant, doit durer: avec des outils qui peuvent exécuter des actions dans des environnements réels et accéder aux appareils connectés, la sécurité de conception et la révision continue sont essentiels. Il ne suffit pas qu'un service fonctionne; il doit être blindé pour supposer que l'interface locale est également une porte d'entrée potentielle pour un attaquant.

Pour ceux qui veulent lire le rapport technique complet et voir la démonstration partagée par les découvreurs, l'entrée Oasis contient les détails de la constatation et des preuves: Rapport Oasis Security sur la vulnérabilité dans OpenClaw. La meilleure défense contre de telles menaces est de rester informé et d'appliquer rapidement les correctifs.