OpenClaw: amikor a „segítőkész asszisztens” támadási felületté válik

Az OpenClaw — más néven clawdbot vagy Moltbot — nyílt forráskódú, a saját gépünkön futó mesterségesintelligencia-asszisztens, amely olyan üzenetküldő alkalmazásokhoz kapcsolódik, mint a Telegram, Discord és Slack. Működése egy helyi Gatewayre épül a ws://127.0.0.1:18789 címen; ez vezérli a munkameneteket, eszközöket és integrációkat.

A folyamatosan működő ügynök, a tartósan tárolt hitelesítő adatok, a parancssori hozzáférés és a nem megbízható bejövő tartalom együttese miatt a biztonsági csapatoknak az OpenClaw-t inkább privilegizált automatizálásként, mint chatbotként kell kezelniük. A lényeges hibák olyan támadási láncok, amelyekben egy üzenet vagy skill valós jogosultságokat irányít át, tényleges következményekkel.

Miért változtatja meg az OpenClaw a fenyegetési modellt?

A hagyományos automatizálás rendszerint elkülöníti a kódot, a bemenetet és az identitást. Az OpenClaw közelebb hozza őket: ugyanaz a futtatókörnyezet olvashat üzeneteket, kérhet le webes tartalmat, hívhat eszközöket, írhat fájlokat és használhatja a tárolt tokeneket. A támadónak nem feltétlenül kell szoftversérülékenység: elegendő adatot juttatnia a modell kontextusába, majd az ügynökre bíznia a további lépéseket.

A legfontosabb veszélyek

A Gateway vezérlősík, nem ártalmatlan localhost-segéd

Az alapbeállítás helyi, loopback-hozzáférésre épül, de ettől még nem alacsony kockázatú. Egyetlen porton kezel HTTP- és WebSocket-forgalmat, és elérhetővé teszi a párosítást, az eszközöket és az operátori műveleteket. Ha LAN-interfészhez kötjük, reverse proxy mögé tesszük vagy lazítjuk az origin-ellenőrzéseket, veszélyes API-t publikálunk.

A helyi szolgáltatások böngészőből is elérhetők, és a hibás proxybeállítások vagy a működés félreértése összemoshatja a bizalmi határokat. A Gateway biztonsági útmutatója figyelmeztet a túl megengedő trustedProxies beállításokra, a minden origint engedélyező szabályokra és a nyilvános kitettségre. E tervezési mintához már egykattintásos átvételi láncok is kapcsolódnak, például a CVE-2026-25253 sérülékenység: egy rosszindulatú oldal kéréseket irányított a helyi Gatewayhez, konfigurációt módosított, majd a gépen történő kódfuttatás felé lépett tovább.

A skillek ügynöki jogosultságokkal járó ellátásilánc-kockázatot jelentenek

A ClawHub skilleket szoftvertelepítésként kell kezelni, nem pusztán kényelmi promptként. Egy skill megváltoztathatja, mit lát a modell, milyen eszközöket kér, és mely fájlokhoz vagy szolgáltatásokhoz nyúl. Az OpenClaw saját biztonsági dokumentációja szerint a skillmappák megbízható kódnak számítanak, és csak megbízható operátorok számára lehetnek írhatók.

Nemrég rosszindulatú ClawHub-feltöltések hullámát figyelték meg, amelyek kereskedési segédeknek, menedzsmenteszközöknek és tartalomkezelési segédprogramoknak adták ki magukat. Egyesek hamis segédprogramok — például az AuthTool — felé terelték az áldozatokat, és ClickFix-jellegű megtévesztéssel vették rá őket a kód gépre juttatására. Még ha a tartalom Markdownnak vagy konfigurációnak tűnik is, letöltésével támadó által meghatározott viselkedéssel bővítünk egy internetes tartalmat feldolgozó automatizálási környezetet.

A prompt injection tartós hozzáféréssé válhat

Az OpenClaw legérdekesebb hibái nem arról szólnak, hogy a modell rosszat mond, hanem arról, hogy rossz eszközt hív meg. Megfigyeltek egy támadási láncot, amelyben a felhasználó egy rosszindulatú oldal összefoglalását kérte. Az oldal OpenClaw-vezérlőtokeneket hamisított, és az ügynököt korlátozás nélküli exec hívás felé terelte. Az injektált tartalom ezután rosszindulatú utasításokat írt a HEARTBEAT.md fájlba.

Ez azért fontos, mert az OpenClaw az ismétlődő heartbeat-futtatásokkor olvashatja a HEARTBEAT.md fájlt. A dokumentáció szerint a fájl a szokásos munkaterület része, és az ügynök módosíthatja. Ha a támadó ide tartalmat juttat, a kompromittálás ismétlődő utasítás-végrehajtássá válik, beépített tárolóhellyel az operátori szándéknak látszó útmutatáshoz.

Ugyanez a logika MCP-szerverekre is alkalmazható. Egy MCP-szerver promptokat, erőforrásokat és eszközeredményeket adhat a modell kontextusához. Egy rosszindulatú vagy kompromittált szerver így megbízható útmutatásnak látszó utasításokat csempészhet be. Az MCP-specifikáció kifejezetten előírja a promptbemenetek és -kimenetek ellenőrzését az injekció megelőzésére. A biztonsági útmutató valós kockázatként említi a helyi szerver kompromittálását, a DNS rebindingot, a tetszőleges kódfuttatást és az adatlopást, de ezek mérséklése nem könnyű feladat. A nem megbízható MCP-szerver tehát nem egyszerű csatlakozó: befolyásolhatja, mit lát a modell, és milyen adatokat tud megszerezni.

A tartós titkok és az operátori kontextus lemezen élnek

Az OpenClaw jól kiszámítható helyeken gyűjti össze az értékes titkokat. A biztonsági dokumentáció megemlíti a ~/.openclaw/openclaw.json fájlt, a credentials/** útvonalat, az ügynökök hitelesítési profiljait és az egyes ügynökök munkamenetnaplóit a ~/.openclaw/agents/<agentId>/sessions/*.jsonl alatt. A gép kompromittálása nem csupán egyetlen API-kulcs ellopását jelenti: a támadó csatornák hitelesítő adatait, szolgáltatói tokeneket, párosítási állapotot és a további visszaélést segítő átiratokat gyűjthet.

Ezért illeszkedik az OpenClaw olyan könnyen az információlopó kártevők működéséhez. Az ilyen kártevők már tudják, hogyan keressenek böngészőben tárolt titkokat, tárcaadatokat és felhős hitelesítő adatokat. Az ügynöki futtatókörnyezet egy újabb nagy értékű könyvtárat ad ehhez, amely azt is dokumentálja, mit kért az operátor a rendszertől.

Egy Gateway gyakran egyetlen bizalmi határt jelent

Az OpenClaw személyes asszisztensmodellre épül, nem ellenséges többfelhasználós környezetre. Ha több ember küldhet üzenetet ugyanannak az eszközökkel rendelkező ügynöknek, mindannyian ugyanazt a jogosultságkészletet irányíthatják. A munkamenetek elkülönítése segíti az adatvédelmet, de nem hoz létre felhasználónkénti jogosultságkezelést a gazdagépen.

Ezért fontosak a nyitott csoportházirendek, a helyettesítő karakteres engedélylisták és a közös csapatbotok. Egy exec, böngésző- vagy fájlhozzáféréssel rendelkező megosztott ügynök közelebb áll a delegált adminisztrátori hozzáféréshez, mint az üzenetautomatizáláshoz. Maga a prompt injection is hasonló helyzetet teremthet.

Záró gondolat

Az OpenClaw azért hasznos, mert egyetlen futtatókörnyezetbe sűríti az üzenetek fogadását, a webes hozzáférést, az eszközhívásokat és a tárolt jogosultságokat. Ezek nagyon vonzóvá teszik, de éppen ez a veszély lényege is. Ha a támadó befolyásolhatja, mit olvas a modell, mit telepít megbízható összetevőként, vagy elérheti a működését vezérlő síkot, az „asszisztensből” privilegizált automatizálássá vezető út rövid és veszélyes.

Források

• Az OpenClaw biztonsági dokumentációja
• Az OpenClaw Gateway biztonsági dokumentációja
• MITRE ATLAS: az OpenClaw vizsgálata
• A HiddenLayer kutatása az OpenClaw prompt injection és tartós hozzáférési kockázatairól
• A Kaspersky elemzése az OpenClaw kitettségéről és a rosszindulatú skillekről
• A Model Context Protocol biztonsági és promptkezelési útmutatója
• A Model Context Protocol promptbiztonsági követelményei
• A Model Context Protocol registry moderálási szabályzata