OpenClaw: Anfällig für Prompt-Injection-Angriffe
Zwei unabhängige Sicherheitsforschungsteams haben diese Woche gezeigt, dass OpenClaw, ein beliebter selbstgehosteter AI Agent, durch geschickt präparierte Eingaben zur Ausführung von Code oder zur Offenlegung sensibler Daten verleitet werden kann.
Angriffsvektoren: Versteckte Instruktionen in alltäglichen Formaten
Imperia demonstrierte, wie Angreifer Instruktionen in Kontakte, vCards und Standort-Pins einschleusen können. Der Agent führt diese Befehle aus, ohne dass der Nutzer etwas von der Manipulation bemerkt. Die Angriffe funktionieren, weil der Agent externe Daten automatisch verarbeitet und interpretiert – ohne ausreichende Validierung.
Varonis wählte einen ähnlichen Ansatz und baute einen Test-Agent auf, um die Anfälligkeit in der Praxis zu reproduzieren. Beide Teams kamen zu dem Ergebnis, dass OpenClaw nicht zwischen legitimem Agent-Input und eingeschleusten Instruktionen unterscheiden kann.
Das Kernproblem: Mangelnde Input-Validierung
Die Anfälligkeit liegt darin, dass OpenClaw externe Daten verarbeitet und diese automatisch in Instruktionen für den Agent umwandelt. Ein vCard-Eintrag mit versteckten Befehlen wird nicht als verdächtig erkannt. Das macht den Agent zu einem Werkzeug für Prompt Injection – eine gut bekannte Angriffsklasse, die bei LLM-basierten Systemen besonders wirksam ist.
Praktische Implikationen
Für Unternehmen, die OpenClaw selbst hosten, bedeutet das:
- Datenlecks: Angreifer können auf interne Daten und API-Keys zugreifen
- Code-Execution: Ungewollte Skripte können auf dem Server ausgeführt werden
- Supply-Chain-Risiko: Kontakte, die von außen importiert werden, werden zur Angriffsfläche
Mitigationsmöglichkeiten
Bis ein Patch veröffentlicht wird, sollten Organisationen:
- Den Agent nur mit vertrauenswürdigen, internen Datenquellen verbinden
- Eingaben aus externen Quellen (APIs, Dateien, Kontaktimporte) zusätzlich validieren
- Strikte Zugriffskontrolle auf sensitive Operationen implementieren
- Logs monitoren auf unerwartete Code-Ausführungen
Fazit
Die Forschung unterstreicht ein grundsätzliches Problem: AI Agents, die automatisch auf externe Daten reagieren, benötigen robuste Input-Sanitization. OpenClaw ist nicht das einzige System, das dieses Problem hat – es ist ein strukturelles Issue in LLM-basierten Agenten, das ernst genommen werden muss.