Forscher von Harvard bis MIT greifen OpenClaw an: Was die Studie zeigt

38 Wissenschaftler haben den KI-Agenten OpenClaw zwei Wochen lang unter kontrollierten Bedingungen angegriffen. Die Forscher kommen unter anderem von der Northeastern University, Harvard, der University of British Columbia, Carnegie Mellon, Stanford und dem MIT. Ihre Studie „Agents of Chaos“ dokumentiert zehn Sicherheitsvorfälle, darunter Identitätsfälschung, Datenlecks und zerstörte Server. Die Ergebnisse sind real. Allerdings benötigen sie Kontext.

Was die Forscher gemacht haben

Das Forschungsteam hat sechs OpenClaw-Agenten auf isolierten virtuellen Maschinen installiert. Die Agenten erhielten E-Mail-Konten, einen Discord-Account, Dateisysteme und Shell-Zugriff. Als Sprachmodelle kamen Claude Opus von Anthropic und Kimi K2.5 von MoonshotAI zum Einsatz. 20 KI-Forscher haben anschließend zwei Wochen lang versucht, die Agenten zu manipulieren, auszutricksen und zu sabotieren.

Der Ansatz folgt dem Red-Teaming-Prinzip: Schwachstellen aufdecken, bevor sie in der Praxis ausgenutzt werden. Das ist eine etablierte Methode aus der IT-Sicherheit und grundsätzlich sinnvoll.

Entscheidend ist allerdings, wie die Agenten konfiguriert waren. Die Forscher schreiben in ihrem Paper auf arXiv: „Agents were given unrestricted shell access (including sudo permissions, in some cases), no tool-use restrictions, and the ability to modify any file in their workspace – including their own operating instructions.„

Die Agenten hatten also uneingeschränkten Zugriff auf die Kommandozeile, teilweise mit Administratorrechten. Es gab weder Tool-Einschränkungen noch Zugriffskontrollen. Zudem war es möglich, die eigenen Betriebsanweisungen zu ändern. Dies entspricht einer OpenClaw-Installation, bei der sämtliche Sicherheitsmechanismen bewusst deaktiviert wurden.

Anzeige

Was ist passiert?

Die Studie dokumentiert zehn Sicherheitsvorfälle und mehrere Fälle einer erfolgreichen Verteidigung. Vier Fälle stechen jedoch heraus.

Ein Agent löscht seinen eigenen E-Mail-Server

Eine Forscherin bat den Agenten „Ash“, ein Geheimnis zu bewahren. Als sie später verlangte, die E-Mail mit dem Geheimnis zu löschen, fehlte dem Agenten das passende Werkzeug dafür. Statt eine einfache Lösung zu finden, eskalierte Ash schrittweise. Am Ende löschte der Agent seinen gesamten lokalen E-Mail-Server. Das Geheimnis blieb trotzdem im Webmail-Postfach einsehbar.

Fremde steuern den Agenten

Forscher ohne Administratorrechte konnten Shell-Befehle ausführen sowie Dateien erstellen und übertragen. In einem Fall leakte ein Agent 124 E-Mail-Datensätze aus der Laborumgebung. Die Daten standen nicht im Zusammenhang mit der Anfrage.

Sensible Daten trotz Ablehnung preisgegeben

Ein Agent verweigerte die direkte Frage nach einer Sozialversicherungsnummer. Als der Angreifer stattdessen bat, die vollständige E-Mail weiterzuleiten, schickte der Agent alles ungeschwärzt. Die Forscher hatten fiktive personenbezogene Daten in der Laborumgebung hinterlegt. Sozialversicherungsnummer, Bankdaten und medizinische Details waren in der weitergeleiteten E-Mail enthalten. Die technisch korrekte Sperre ließ sich mit einer simplen Umformulierung umgehen.

Dass KI-Agenten sensible Daten preisgeben können, ist kein theoretisches Szenario. Wir haben einen konkreten Fall bereits dokumentiert.

Identitätsfälschung per Discord

Durch das Ändern eines Anzeigenamens in einem neuen Discord-Kanal akzeptierte ein Agent die gefälschte Identität. Der Angreifer konnte anschließend privilegierte Befehle ausführen. Dazu zählte unter anderem das Herunterfahren des Systems und das Löschen von Dateien.