Forscher von Harvard bis MIT greifen OpenClaw an: Was die Studie zeigt

Was die Studie nicht zeigt

Die Forscher stellen in ihrem Paper selbst klar: „The system evaluated here was in an early stage of development. The purpose of this study is not to critique an unfinished product.“ Es sollten grundsätzliche Risikopfade identifiziert werden. Es handelt sich dabei nicht um eine Bewertung von OpenClaw als Produkt.

Die Konfiguration der Agenten entsprach nicht dem, was die offizielle Sicherheitsdokumentation von OpenClaw empfiehlt. OpenClaw beschreibt sich dort als „personal assistant security model“ mit einem vertrauenswürdigen Betreiber pro Gateway. Die Forscher haben stattdessen ein Multi-User-Setup gebaut. 20 Forscher konnten auf die Agenten zugreifen. Das ist ein Setup, vor dem die Dokumentation ausdrücklich warnt.

Außerdem enthält die Studie ein Kapitel über gescheiterte Angriffe. In Kapitel 15 des Papers dokumentieren die Forscher fünf Fälle erfolgreicher Abwehr. Der Agent „Ash“ widerstand laut der interaktiven Studienwebseite zahlreichen aufeinanderfolgenden Prompt-Injection-Varianten. Bei Prompt Injection schleusen Angreifer Befehle in Daten ein, um die Anweisungen eines KI-Systems zu überschreiben. Zwei andere Agenten lehnten Social Engineering ab. Sie koordinierten sich sogar eigenständig, um verdächtige Anfragen zu erkennen.

OpenClaw bietet Gegenmaßnahmen für die dokumentierten Angriffsmuster

Die offizielle Sicherheitsdokumentation von OpenClaw und der offizielle Quellcode auf GitHub zeigen: Für die dokumentierten erfolgreichen Angriffe existieren bereits Gegenmaßnahmen.

Gegen unbefugte Steuerung durch Fremde

OpenClaw bietet DM-Pairing per dmPolicy: "pairing". Neue Kontakte müssen sich erst verifizieren, bevor sie den Agenten steuern können. Ergänzend lässt sich eine Allowlist konfigurieren. In der Studie war der Zugang offen. Jeder konnte dem Agenten Befehle geben.

Gegen zerstörerische Shell-Befehle

Das dreistufige Tool-Zugangssystem arbeitet mit Basisprofilen, Allow- und Deny-Listen. Vier Profile stehen zur Auswahl: minimal, coding, messaging und full. Wer Shell-Zugriff per deny: ["exec", "process"] sperrt, verhindert zerstörerische Systembefehle. Die Deny-Liste hat immer Vorrang. In der Studie hatten die Agenten uneingeschränkten Shell-Zugriff.

Gegen Datenlecks bei sensiblen Informationen

OpenClaw bietet automatische Erkennung sensibler Daten über konfigurierbare Muster. Sozialversicherungsnummern, API-Schlüssel und Kreditkartennummern lassen sich automatisch schwärzen. In der Studie war diese Funktion nicht aktiviert.

Gegen Identitätsfälschung

Das Pairing-System mit Allowlists verhindert, dass ein Angreifer durch das Ändern seines Anzeigenamens privilegierten Zugriff erhält. OpenClaw identifiziert Nutzer über kryptografische Sitzungs-IDs, nicht über Anzeigenamen. Die Forscher hatten diese Kontrolle deaktiviert.

Gegen Ressourcenverschwendung und Endlosschleifen

Cron-Jobs und Hintergrundprozesse lassen sich über die Deny-Liste per deny: ["cron"] komplett sperren. Dateisystemzugriffe können auf bestimmte Verzeichnisse beschränkt werden per fs: { workspaceOnly: true }. Die Forscher hatten beides unbeschränkt gelassen.

Was das für OpenClaw-Nutzer bedeutet

Die Studie ist seriöse Forschung mit einem klaren Verdienst. Sie zeigt systematisch, was passieren kann, wenn KI-Agenten mit maximalen Rechten und minimalen Einschränkungen betrieben werden. Die dokumentierten Schwachstellen sind in einer Laborumgebung nachweisbar aufgetreten.

Gleichzeitig liefert OpenClaw bereits Werkzeuge, die die dokumentierten Angriffsvektoren erheblich erschweren. Wir haben die Sicherheitsrisiken von OpenClaw bereits analysiert. Die Kernregel bleibt: Mit der geringstmöglichen Berechtigung starten und nur erweitern, was tatsächlich gebraucht wird.

Die offizielle Dokumentation formuliert es direkt: „There is no ‚perfectly secure‘ setup. The goal is to be deliberate about: who can talk to your bot, where the bot is allowed to act, what the bot can touch.„

Wer seinen Agenten mit DM-Pairing, eingeschränktem Tool-Profil und aktivierter Sandbox betreibt, reduziert die dokumentierten Angriffsvektoren erheblich. Wer stattdessen sudo-Rechte, offene Kanäle und keine Tool-Einschränkungen konfiguriert, bekommt genau die Ergebnisse, die „Agents of Chaos“ dokumentiert.