Sicherheitsbewertung des KI-Agenten OpenClaw und identifizierte Risiken

Sicherheitsanalyse autonomer KI-Agenten: Eine kritische Betrachtung von OpenClaw

Die rasante Entwicklung und Verbreitung autonomer KI-Agenten hat das Potenzial, Geschäftsprozesse grundlegend zu verändern. Eines der prominentesten Beispiele hierfür ist OpenClaw, ehemals bekannt als Clawdbot oder Moltbot. Dieser quelloffene, selbstgehostete KI-Agent hat innerhalb kürzester Zeit eine bemerkenswerte Popularität erlangt. Er ermöglicht die Ausführung komplexer Aufgaben, die von der E-Mail-Verwaltung über die Browsersteuerung bis hin zur Ausführung von Shell-Befehlen reichen. Diese weitreichenden Fähigkeiten, die eine nahtlose Integration in lokale Systeme und Web-Workflows umfassen, bringen jedoch auch erhebliche Sicherheits- und Risikobedenken mit sich, die einer detaillierten Analyse bedürfen.

Die Architektur von OpenClaw und ihre Angriffsflächen

OpenClaw basiert auf einer hierarchischen Architektur, die soziale IM-Software tiefgreifend mit automatisierten Agenten verknüpft. Die Befehlseingabe erfolgt über ein IM-integriertes Gateway, das unstrukturierte Befehle in das System einspeist. Ein großes Sprachmodell (LLM) übernimmt dann die Aufgabenorchestrierung und Entscheidungsfindung, unterstützt durch Kontext- und Speichermanagementmodule. Für die Interaktion mit der realen Welt ermöglicht OpenClaw dem Agenten den Aufruf von Befehlsausführungen sowie das Lesen und Schreiben von Dateien im zugrunde liegenden Betriebssystem. Ergänzend dazu bieten "Skills" und ein MCP-Plug-in-System flexible Erweiterungsmöglichkeiten für Tools wie Netzwerkinformationen, API-Aufrufe oder Software-Operationen. Der ClawHub-Community-Marktplatz stellt einen Mechanismus zur Verteilung und zum Laden dieser Plug-ins bereit.

Diese vielschichtige Architektur ist zwar auf Flexibilität und Skalierbarkeit ausgelegt, schafft aber gleichzeitig zahlreiche Angriffsflächen. Diese reichen von direkter und indirekter Prompt-Injektion über Konfigurationsfehler in der Authentifizierung bis hin zu Berechtigungsmissbrauch und Supply-Chain-Angriffen in der Ausführungsebene. Insbesondere die Fähigkeit des Agenten, in einer Umgebung mit weitreichenden Berechtigungen zu agieren, verstärkt das Schadenspotenzial im Falle einer Kompromittierung.

Kritische Sicherheitslücken und Angriffsszenarien

Fehlende Authentifizierung bei Reverse Proxies

Eine der auffälligsten Schwachstellen betrifft die Konfiguration von Reverse Proxies. OpenClaw ist standardmäßig so konfiguriert, dass es "lokale Verbindungen" automatisch zulässt. Wenn der Agent hinter einem Reverse Proxy wie Nginx oder Caddy betrieben wird, interpretiert das Backend alle Anfragen als von 127.0.0.1 (localhost) kommend. Dies führt dazu, dass Anfragen, die eigentlich aus dem Internet stammen, fälschlicherweise als vertrauenswürdige lokale Verbindungen eingestuft werden. Ohne korrekte Konfiguration von trustedProxies oder eine erzwungene Authentifizierung können Angreifer direkten Zugriff auf die Steuerungsoberfläche erhalten, die kritische Berechtigungen wie Proxy-Konfiguration, Speicherung von Zugangsdaten und Befehlsausführung umfasst. Dies kann zu einer vollständigen Übernahme des KI-Agenten führen (CVE-2026-25253).

Schwachstellen in der Konfigurationsverwaltung

Eine weitere kritische Schwachstelle wurde in der Konfigurationsverwaltung identifiziert. Das `config.patch`-Tool ermöglicht es dem KI-Agenten, seine eigene Konfigurationsdatei (`clawdbot.json5`) zur Laufzeit zu ändern. Da diese Datei auch die Initialisierungslogik der Docker-Sandbox steuert, kann ein Angreifer, der den Agenten kontrolliert, den `setupCommand` umschreiben. Dies führt zu einer persistenten Remote Code Execution (RCE) mit Root-Privilegien im Sandkasten, was eine vollständige Kompromittierung der Umgebung ermöglicht.

Arbiträre Schreib- und Lesevorgänge im Dateisystem

Das `nodes-tool.ts` von OpenClaw erlaubt es, einen `outPath` für die Speicherung von Bildschirmaufzeichnungen anzugeben. Hierbei fehlt jedoch eine Validierung, um sicherzustellen, dass der Pfad sicher ist oder innerhalb eines bestimmten Verzeichnisses liegt. Ein Angreifer könnte dies nutzen, um kritische Systemdateien wie SSH-Schlüssel zu überschreiben, was zu einem Denial of Service oder im schlimmsten Fall zu einem SSH-Zugriff führen kann. Ergänzend dazu ermöglicht eine Schwachstelle im `logs.tail`-Endpunkt das arbiträre Auslesen von Dateien, da die Pfadauflösungslogik fehlerhaft ist und Verzeichnisbeschränkungen umgangen werden können. Dies könnte zur Exfiltration sensibler Dateien wie `/etc/shadow` oder `.env` führen.

Zero-Day SSRF über DNS-Rebinding

Ein besonders raffinierter Angriffspunkt ist eine Time-of-Check Time-of-Use (TOCTOU)-Schwachstelle im Netzwerk-Layer des `web-fetch`-Tools. Obwohl versucht wird, den Zugriff auf interne IPs zu verhindern, missverstehen die Entwickler die atomare Natur der DNS-Auflösung. Ein Angreifer kann einen bösartigen DNS-Server mit einer kurzen Time-To-Live (TTL) konfigurieren. Beim ersten DNS-Check wird eine öffentliche IP zurückgegeben, der Check besteht. Kurz darauf, wenn der `fetch()`-Aufruf initiiert wird, ist der DNS-Cache abgelaufen, und der bösartige DNS-Server liefert eine interne IP (z.B. die AWS EC2 Metadata Service-IP), wodurch der Bot interne Dienste erreicht. Dies ermöglicht die Exfiltration von Cloud-Zugangsdaten und somit die vollständige administrative Kontrolle über die Cloud-Infrastruktur.

Autorisierungs-Bypass durch Client-seitiges Vertrauen

Das "Human-in-the-Loop" (HITL)-Konzept, das gefährliche Aktionen menschlicher Genehmigung unterwerfen soll, ist in OpenClaw fehlerhaft implementiert. Die `exec.approval.resolve` Remote Procedure Call (RPC) zur Genehmigung oder Ablehnung von Ausführungsanfragen fehlt eine rollenbasierte Zugriffskontrolle (RBAC). Dies bedeutet, dass jede verbundene Entität, einschließlich eines kompromittierten Agenten, die Genehmigung für eigene gefährliche Befehle erteilen kann, was das HITL-Modell untergräbt.

Protokollfehler und Feldverschiebung

Die Eigenentwicklung eines Authentifizierungstoken-Formats, anstatt auf etablierte Standards wie JWT zurückzugreifen, führt zu einer Serialisierungsfehler. Tokens werden durch Verkettung von Feldern mit einem Pipe-Zeichen (`|`) als Trennzeichen erstellt. Wenn ein Angreifer ein `|` in ein früheres Feld injizieren kann, verschieben sich die nachfolgenden Felder, wodurch der Angreifer seine eigenen Daten in das kritische Rollenfeld einfügen kann. Dies ermöglicht eine Privilegeskalation zum Administrator.

Unzureichende Sanitization und Shell-Injection

Die Blacklist-basierte Sanitization von Shell-Befehlen in `infra/exec-safety.ts` ist unzureichend. Das System blockiert zwar einige gefährliche Zeichen, übersieht aber viele andere Metazeichen wie Klammern, geschweifte Klammern oder Backslashes. Dies ermöglicht Angreifern, Filter zu umgehen und Remote Code Execution (RCE) durch Subshell-Ausführung oder Brace Expansion zu erreichen, ohne die verbotenen Zeichen zu verwenden. Eine Allowlist-basierte Validierung wäre hier sicherer.

RCE via Umgebungsvariablen-Injektion

Die Umgebungsvariablen werden oft als harmlose Konfigurationsdaten behandelt, können aber in UNIX-ähnlichen Systemen das Verhalten des dynamischen Linkers und der Shell grundlegend ändern. Das `exec`-Tool von OpenClaw erlaubt es, ein `env`-Objekt zu übergeben, das blind mit der Systemumgebung zusammengeführt wird. Dies ermöglicht Angreifern, Variablen wie `LD_PRELOAD` oder `BASH_ENV` zu injizieren, um vor der eigentlichen Befehlsausführung bösartigen Code auszuführen und somit RCE zu erreichen.

Folgen und Risikobewertung

Die Summe dieser Schwachstellen führt zu einem hohen Risikopotenzial. Ein Sicherheitsaudit von Saad Khalid identifizierte acht kritische Zero-Day-Exploits und Schwachstellen, die OpenClaw in seiner aktuellen Form unsicher für den Produktionseinsatz machen. Die Architektur verletzt das Prinzip des geringsten Privilegs auf mehreren Ebenen und vertraut dem KI-Agenten implizit administrative Befugnisse an, die eine triviale Privilegeskalation ermöglichen. Von Logic Bombs über Zero-Day SSRF bis hin zu Remote Code Execution (RCE) sind die Ergebnisse kritisch. Ein weiterer Audit von Dmitry Labintcev listete 50 Angriffsszenarien auf, darunter 10 für Remote Code Execution und 10 für Datenexfiltration, und betonte die Risiken von `eval()`-Nutzung, fehlender Ratenbegrenzung und unzureichendem CSRF/CORS-Schutz.

Die schnelle Verbreitung von OpenClaw, wie sie auch NSFOCUS analysierte, mit Zehntausenden von Installationen weltweit, von denen viele öffentlich zugänglich sind, verstärkt die Dringlichkeit dieser Sicherheitsprobleme. Insbesondere die Exponierung sensitiver Industrie-Assets und die Möglichkeit von Supply-Chain-Angriffen über den ClawHub-Marktplatz für Skills, wo in der Vergangenheit bösartige Plug-ins entdeckt wurden, stellen erhebliche Risiken dar.

Empfehlungen für den sicheren Einsatz

Angesichts der identifizierten Schwachstellen sind umfassende Sicherheitsmaßnahmen unerlässlich, wenn OpenClaw in Betracht gezogen wird. Experten raten dringend von einem Einsatz in Produktionsumgebungen ohne weitreichende Vorkehrungen ab. Zu den wichtigsten Empfehlungen gehören:

Deaktivierung kritischer Funktionen:

• Entfernen der Möglichkeit für den Agenten, Systemkonfigurationen zu ändern (`config.patch`).
• Deaktivierung von `browser.evaluateEnabled` und `tools.exec.enabled`, um die Ausführung von willkürlichem Code zu verhindern.

Stärkung der Autorisierung und Authentifizierung:

• Implementierung einer strikten RBAC für Genehmigungsprozesse, um die Selbstautorisierung durch Agenten zu unterbinden.
• Verwendung standardisierter, robuster Authentifizierungsmechanismen wie JWTs anstelle von Eigenentwicklungen.
• Aktivierung von "Human-in-the-Loop"-Bestätigungen für alle sensitiven Aktionen (`tools.exec.security: allowlist`, `ask: always`).

Netzwerkhärtung und Isolation:

• Sicherstellung, dass OpenClaw nur auf `127.0.0.1` (localhost) lauscht und nicht dem öffentlichen Netzwerk ausgesetzt ist.
• Korrekte Konfiguration von Reverse Proxies, um eine fälschliche Einstufung externer Anfragen als lokal zu verhindern.
• Deaktivierung von mDNS-Broadcasting, um die Offenlegung von Systeminformationen zu verhindern.
• Einsatz von Docker-Containern mit strikten Sicherheitsflags (`--cap-drop ALL`, `--security-opt no-new-privileges`, `--read-only`, `--network none`, `--user`).

Eingabevalidierung und Sanitization:

• Verwendung strikter Allowlists für Umgebungsvariablen und Shell-Zeichen, um Injektionsangriffe zu verhindern.
• Implementierung robuster Filter für externe Inhalte, um Prompt-Injektionen zu mitigieren.

Umgang mit Zugangsdaten:

• Speicherung von Zugangsdaten in verschlüsselter Form oder in einem Secrets Manager, nicht im Klartext.
• Regelmäßige Rotation aller Zugangsdaten, auf die OpenClaw Zugriff hatte.

Audit und Überwachung:

• Regelmäßige Durchführung von Sicherheitsaudits (`openclaw security audit --deep`).
• Überprüfung installierter Skills auf Malicious Code.
• Implementierung von Audit-Logging und SIEM-Integration für die Überwachung von Agentenaktivitäten.

Fazit

OpenClaw ist ein Paradebeispiel für die Innovationskraft von KI-Agenten, aber auch für die damit verbundenen, oft unterschätzten Sicherheitsrisiken. Die hohe Autonomie und der weitreichende Systemzugriff, gepaart mit einer "Funktion zuerst, Sicherheit später"-Mentalität, führen zu einer Vielzahl kritischer Schwachstellen. Für B2B-Anwender, die den Einsatz solcher Agenten in Betracht ziehen, ist es von entscheidender Bedeutung, diese Risiken vollständig zu verstehen und robuste Sicherheitsmaßnahmen von Anfang an zu implementieren. Der Übergang von experimentellen KI-Anwendungen zu zuverlässiger Produktivitätsinfrastruktur erfordert eine konsequente "Security-by-Design"-Strategie, die über die bloße Funktionalität hinausgeht und den gesamten Lebenszyklus des Agenten berücksichtigt.

Bibliographie

• Chen, Tianyu et al. "A Trajectory-Based Safety Audit of Clawdbot (OpenClaw)." arXiv.org, 2026.
• Khalid, Saad. "Why Clawdbot is a Bad Idea: Critical Zero-days Found in My Audit (Full Report)." OSINT Team, 2026.
• Labintcev, Dmitry. "Riding the Hype: Security Audit of AI Agent Clawdbot." Dev.to, 2026.
• NSFOCUS. "OpenClaw Open Source AI Agent Application Attack Surface and Security Risk System Analysis." NSFOCUS Global, 2026.
• Mercer, T.O. "OpenClaw Security Audit: Complete Checklist (2026)." SafePasswordGenerator.net, 2026.
• Prompt Security Team. "What OpenClaw's (Clawdbot) Virality Reveals About the Risks of Agentic AI." Prompt Security Blog, 2026.
• Dayan, Maor. "The Trust Void: Identity Nullification in the OpenClaw Agent Ecosystem." Medium, 2026.
• Walker, John. "Malicious Websites Can Exploit Openclaw (aka Clawdbot) To Steal Credentials." ZeroPath Blog, 2026.
• HiddenLayer. "Claws for Concern: Exploring the Security Risks of AI Assistants like OpenClaw." HiddenLayer Research, 2026.
• VoltAgent. "GitHub - VoltAgent/awesome-openclaw-skills." GitHub, 2026.