Openclaw AI hat eine Sicherheitslücke, Benutzer könnten durch bösartige "Fähigkeiten" angegriffen werden

Ein Bericht des Cybersicherheitsunternehmens Certik vom 16.03.2026 warnt davor, dass Openclaw – eine Open-Source-Künstliche-Intelligenz-Plattform – zahlreiche Sicherheitslücken aufweist, insbesondere das „Skill Scanning“-System nicht ausreicht, um Nutzer vor schädlichen Erweiterungen (Skills) von Drittanbietern zu schützen.

Laut Bericht hängt das Sicherheitsmodell von Openclaw zu stark von Erkennung und Warnungen ab, anstatt auf sichere Laufzeitisolierung zu setzen, was es Angreifern erleichtert, auf Systemebene einzudringen.

Einschränkungen des Clawhub-Überprüfungsprozesses

Auf dem Openclaw-Markt, Clawhub, werden „Skills“ – Drittanbieter-Anwendungen, die Funktionen wie Systemautomatisierung oder Krypto-Wallet-Management bieten – durch mehrere Schichten geprüft, darunter Virustotal zur Erkennung bekannter Schadsoftware, die Static Moderation Engine zur Identifikation verdächtiger Muster und ein „Incoherence Detector“, der die Diskrepanz zwischen den erklärten Zielen eines Skills und seinem tatsächlichen Verhalten überprüft.

Certik ist jedoch der Ansicht, dass statische Regeln durch einfaches Umschreiben des Codes umgangen werden können. Die KI-Bewertungsschicht erkennt nur klare Absichten, während versteckte Schwachstellen im Code, die plausibel erscheinen, leicht übersehen werden können.

Schwachstelle „Pending“

Ein bedeutendes Problem ist die Behandlung der ausstehenden Scan-Ergebnisse. Skills können weiterhin installiert werden, auch wenn Virustotal noch keine Ergebnisse geliefert hat. Dieser Vorgang kann mehrere Stunden oder Tage dauern, wird aber vom System dennoch als „sicher“ eingestuft.

Zur Demonstration erstellten Certik-Forscher eine Proof-of-Concept-Skill namens „test-web-searcher“. Dieser Skill wirkt harmlos, enthält jedoch eine Schwachstelle, die die Ausführung beliebiger Befehle auf dem Server ermöglicht. Beim Einsatz über Telegram umgeht dieser Skill die Sandbox von Openclaw und führt Berechnungen auf einem Testrechner durch – ein typisches Beispiel für eine vollständige Systeminfiltration.

Empfehlungen und Warnungen

Der Bericht schlussfolgert, dass Erkennung die tatsächlichen Sicherheitsgrenzen nicht ersetzen kann. Certik empfiehlt, dass Openclaw Drittanbieter-Skills standardmäßig in isolierten Umgebungen ausführt und die Skills vorab klar Ressourcenanforderungen deklarieren sollten, ähnlich wie moderne Betriebssysteme.

Nutzer werden gewarnt, dass das Label „benign“ auf Clawhub nicht gleichbedeutend mit Sicherheit ist. Bis stärkere Isolationsmechanismen standardmäßig implementiert werden, sollte die Plattform nur in Umgebungen mit geringem Wert genutzt werden, um sensible Informationen oder wichtige Vermögenswerte zu schützen.