NanoClaw soll Sicherheitsprobleme von OpenClaw lösen, setzt auf Agents in isolierten Containern
OpenClaw von Peter Steinberger ist gerade der letzte Schrei in der KI-Welt – und zwar nicht nur wegen des neuen Ansatzes, einen KI-Agenten au den Computer des Users loszulassen, sondern auch, weil dadurch schwerwiegende Sicherheitsprobleme auftreten. So gibt es aktuell bereits weltweit mehr als 150.000 OpenClaw-Instanzen größtenteils von Privatnutzern, die potenzielle leichte Angriffsziele sind.
Ein neues Open-Source-Projekt namens NanoClaw verspricht nun persönliche KI-Assistenten mit deutlich verbesserter Sicherheitsarchitektur. NanoClaw positioniert sich als schlanke Alternative zu OpenClaw und adressiert dabei grundlegende Sicherheitsbedenken, die bei komplexeren Systemen entstehen können.
Kritik an bestehenden Lösungen
Der Entwickler Gavriel Cohen, der viele Jahre als Entwickler für Wix.com arbeitete, begründet die Entwicklung von NanoClaw mit fundamentalen Bedenken gegenüber der Architektur von OpenClaw. Das etablierte Projekt umfasse über 52 Module, 45 Abhängigkeiten und Abstraktionen für 15 verschiedene Kommunikationskanäle. Die zentrale Kritik: Alle Komponenten liefen in einem einzigen Node.js-Prozess mit gemeinsamem Speicher.
„Ich kann nicht ruhig schlafen, wenn ich Software laufen lasse, die ich nicht verstehe und die Zugang zu meinem Leben hat“, erklärt der Entwickler seine Motivation. OpenClaw setze auf anwendungsbasierte Sicherheit durch Allowlists und Pairing-Codes, statt auf Betriebssystem-Isolation.
Sicherheit durch Container-Isolation
NanoClaw verfolgt einen grundlegend anderen Ansatz. Das System nutzt Linux-Container (Apple Container unter macOS, Docker unter Linux), um KI-Agenten zu isolieren. Jeder Agent läuft in einer eigenen Container-Umgebung mit separatem Dateisystem. Zugriff erhalten die Agenten ausschließlich auf explizit freigegebene Verzeichnisse.
Diese Architektur bedeutet konkret: Bash-Befehle werden innerhalb des Containers ausgeführt, nicht auf dem Host-System. Jede WhatsApp-Gruppe erhält einen eigenen Container mit isoliertem Dateisystem und separater Speicherdatei. Ein kompromittierter Agent kann nur auf die ihm zugewiesenen Ressourcen zugreifen.
Minimalismus als Prinzip
Das Projekt setzt konsequent auf Überschaubarkeit. Die gesamte Codebasis besteht aus wenigen Dateien in einem einzigen Node.js-Prozess. Der Entwickler gibt an, die Architektur sei in acht Minuten zu verstehen. Kernkomponenten umfassen:
- Orchestrator für Zustandsverwaltung und Nachrichtenverarbeitung
- WhatsApp-Anbindung über die Baileys-Bibliothek
- SQLite-Datenbank für Nachrichten und Gruppenverwaltung
- Container-Runner für isolierte Agent-Ausführung
- Task-Scheduler für wiederkehrende Aufgaben
Statt Konfigurationsdateien setzt NanoClaw auf direkte Code-Anpassungen. Nutzer sollen das System mit Hilfe von Claude Code an ihre Bedürfnisse anpassen, indem sie den Quellcode modifizieren lassen.
Agent Swarms als Alleinstellungsmerkmal
Als technische Besonderheit unterstützt NanoClaw als erster persönlicher KI-Assistent sogenannte Agent Swarms. Dabei handelt es sich um Teams spezialisierter Agenten, die gemeinsam an komplexen Aufgaben arbeiten. Die Funktion basiert auf dem Claude Agent SDK.
Nutzer können dem Assistenten beispielsweise auftragen, wöchentlich die Git-Historie zu analysieren oder täglich Nachrichten aus bestimmten Quellen zusammenzufassen. Alle Agenten laufen dabei in ihren isolierten Container-Umgebungen.
Beitragsstrategie durch Skills
Das Projekt verfolgt eine ungewöhnliche Entwicklungsstrategie. Statt neue Funktionen direkt in die Codebasis zu integrieren, sollen Beitragende sogenannte Skills entwickeln. Diese Skills sind Anleitungen für Claude Code, wie eine NanoClaw-Installation um bestimmte Funktionen erweitert werden kann.
Konkret bedeutet das: Wer Telegram-Unterstützung möchte, erstellt keine Pull Request mit Telegram-Code, sondern eine Skill-Datei, die Claude Code beibringt, wie die Installation entsprechend anzupassen ist. Nutzer führen dann den Befehl /add-telegram aus und erhalten individuell angepassten Code.
Aktuell werden Skills für weitere Kommunikationskanäle (Telegram, Slack, Discord), Windows-Unterstützung via WSL2 und Session-Management gesucht.
Technische Voraussetzungen
NanoClaw erfordert macOS oder Linux, Node.js ab Version 20 sowie Claude Code. Als Container-Runtime dient Apple Container unter macOS oder Docker. Die Installation erfolgt über Claude Code, das alle Abhängigkeiten, Authentifizierung und Container-Konfiguration übernimmt.
Die Architektur folgt einem einfachen Datenfluss: WhatsApp empfängt Nachrichten, speichert sie in SQLite, eine Polling-Schleife verarbeitet sie, Container führen die KI-Agenten aus und senden Antworten zurück. Die Kommunikation zwischen Prozessen erfolgt über das Dateisystem.
Offene Fragen zur Sicherheit
Während die Container-Isolation einen deutlichen Sicherheitsgewinn gegenüber Prozess-internen Berechtigungsprüfungen darstellt, bleibt die praktische Sicherheit von mehreren Faktoren abhängig. Die Qualität der Container-Konfiguration, die Sicherheit der gemounteten Verzeichnisse und die Vertrauenswürdigkeit des Claude Agent SDK spielen eine zentrale Rolle.
Das Projekt verweist auf ein Sicherheitsdokument, das das vollständige Sicherheitsmodell beschreibt. Der Entwickler betont, dass die überschaubare Codebasis es Nutzern ermöglicht, selbst zu überprüfen, was sie ausführen.
NanoClaw adressiert legitime Sicherheitsbedenken bei persönlichen KI-Assistenten durch konsequente Isolation und radikale Vereinfachung. Ob dieser Ansatz sich durchsetzt, hängt davon ab, ob Nutzer bereit sind, Funktionsumfang gegen Überschaubarkeit und Sicherheit einzutauschen. Die Skill-basierte Erweiterungsstrategie ist ein interessantes Experiment, dessen Praxistauglichkeit sich erst zeigen muss.
