OpenClaw: KI-Agent soll jetzt besser gegen Schad-Code geschützt werden
Er hat einen großen Hype erfahren, wurde aber schon als Security-Albtraum bezeichnet: Der Open-Source KI-Assistent OpenClaw (vormals Clawdbot/Moltbot) des Österreichers Peter Steinberger. Der Entwickler des KI-Assistenten OpenClaw hat jetzt eine Partnerschaft mit VirusTotal geschlossen, um den Skill-Marktplatz ClawHub vor schadhaften Erweiterungen zu schützen. Wie berichtet, gehen mit OpenClaw einige Sicherheitsrisiken (Stichwort Prompt Injections) einher.
Die Bedrohungsdatenbank von Google scannt ab sofort alle hochgeladenen Skills auf Malware-Bestandteile und verdächtigen Code. Denn OpenClaw verfügt je nach Konfiguration über weitreichende Systemrechte, kann Anwendungen steuern und Software eigenständig installieren. Nutzer erteilen Befehle unter anderem über Messaging-Dienste wie Signal. Diese Funktionalität macht das System zu einem attraktiven Ziel für Angreifer, die bereits Hunderte mit Schadsoftware verseuchte Erweiterungen auf ClawHub verbreitet haben.
Zahlreiche manipulierte Skills entdeckt
Sicherheitsforscher von VirusTotal berichten in einer Analyse, dass sie bereits auf zahlreiche manipulierte Skills gestoßen sind, die nicht die versprochenen Funktionen ausführen, sondern heimlich Passwörter auslesen und an Kriminelle übermitteln. Die Risiken erstrecken sich auf das gesamte Spektrum möglicher Angriffe: Erweiterungen können sensible Informationen exfiltrieren, unerlaubte Befehle ausführen, Nachrichten im Namen des Nutzers versenden oder externe Schadprogramme herunterladen und starten.
Da OpenClaw bei entsprechender Berechtigung beispielsweise Vollzugriff auf Passwortmanager erhält, entsteht ein immenses Sicherheitsrisiko. Die Entwickler betonen, dass KI-Agenten einen fundamentalen Wandel gegenüber traditioneller Software darstellen, da sie natürliche Sprache interpretieren und eigenständig Entscheidungen treffen, wodurch sich die Grenzen zwischen Nutzerabsicht und Maschinenausführung verwischen.
Mehrstufiger Scan-Prozess mit KI-gestützter Analyse
Das implementierte Sicherheitssystem arbeitet in mehreren Schritten: Zunächst werden hochgeladene Skills deterministisch in ein ZIP-Archiv verpackt und mit Metadaten versehen. Das System berechnet einen SHA-256-Hash als eindeutigen Fingerabdruck des gesamten Pakets und prüft diesen gegen die VirusTotal-Datenbank. Falls die Datei bereits bekannt ist und ein Analyseergebnis vorliegt, erfolgt die Auswertung unmittelbar. Andernfalls lädt das System das komplette Paket zur Untersuchung über die VirusTotal-API hoch. Skills mit gutartigem Ergebnis werden automatisch freigegeben, verdächtige Erweiterungen erhalten eine Warnung bleiben aber verfügbar, während als bösartig eingestufte Skills sofort blockiert werden. Alle aktiven Erweiterungen durchlaufen täglich erneute Scans, um nachträglich eingeschleuste Malware zu entdecken.
Eine zentrale Rolle spielt die Code-Insight-Funktion von VirusTotal, die auf einem Large Language Model basiert und mit Gemini arbeitet. Diese KI-gestützte Analyse untersucht nicht nur, was eine Erweiterung vorgibt zu tun, sondern analysiert aus Sicherheitsperspektive, welche Aktionen der Code tatsächlich ausführt. Das System erkennt, ob eine Erweiterung externen Code herunterlädt und ausführt, auf sensible Daten zugreift, Netzwerkoperationen durchführt oder Anweisungen enthält, die den Agenten zu unsicherem Verhalten verleiten könnten.
Schutz nur vor bereits bekannte Trojaner und Hintertüren
Die Verantwortlichen betonen aber auch ausdrücklich, dass diese Maßnahme keine vollständige Lösung darstellt. Der primär signaturbasierte Ansatz findet nur bereits bekannte Trojaner und Hintertüren. Sorgfältig ausgearbeitete Payload-Prompts können das System umgehen, ebenso wie Erweiterungen, die durch natürlichsprachliche Anweisungen bösartige Aktionen auslösen, ohne klassische Malware-Signaturen aufzuweisen. Die Partnerschaft bietet jedoch Schutz gegen bekannte Schadsoftware, ermöglicht Verhaltensanalysen auch bei neuartigen Bedrohungen, schafft Transparenz in der Lieferkette und signalisiert das Engagement für Sicherheit.
OpenClaw hat Jamieson O’Reilly, Gründer von Dvuln und Mitgründer von Aether AI sowie Mitglied des CREST Advisory Council, als leitenden Sicherheitsberater verpflichtet. In den kommenden Tagen will das Unternehmen ein umfassendes Bedrohungsmodell für das gesamte Ökosystem veröffentlichen, eine öffentliche Sicherheits-Roadmap mit konkreten Zielen präsentieren, Details einer vollständigen Code-Prüfung offenlegen und einen formellen Prozess zur Meldung von Sicherheitslücken mit definierten Reaktionszeiten etablieren. Die Informationen werden auf einer eigenen Plattform für Sicherheitstransparenz gebündelt.
