Neue Security-Roadmap: Wie OpenClaw seine Sicherheit auditierbar machen will

„Powerful agents need guardrails you can actually audit.“ Mit dieser Zeile setzt OpenClaw den Ton für die nächsten Securityupdates. Am 15. Mai 2026 hatte der Security-Engineer Jesse Merhi die Roadmap auf dem OpenClaw-Blog im Detail vorgestellt. fs-safe für klare Grenzen beim Dateizugriff, Proxyline für Netzwerk-Egress, ClawHub als geprüften Marktplatz für Erweiterungen und neue Befehlsfreigaben stehen im Mittelpunkt.

Warum jetzt eine Security-Roadmap?

OpenClaw stand monatelang als Sicherheits-Risiko in den Schlagzeilen. Bitsight zählte zwischen Ende Januar und Anfang Februar mehr als 30.000 erreichbare Instanzen auf Shodan. SecurityScorecard kam kurz darauf auf über 40.000 und im Folgescan auf 135.000. Der Sicherheitsforscher Maor Dayan dokumentierte 42.665 Instanzen. Sogar das chinesische Industrieministerium warnte vor Angriffen.

Der quelloffene KI-Agent OpenClaw hat dabei ein Problem, das klassische Software so nicht kennt. Wer einem Agenten Zugriff auf Dateien, Befehle und das Netzwerk gibt, erweitert die Angriffsfläche. Datenzugriffe sowie externe Inhalte oder das Auführen von Aktionen ergeben eine gefährliche Kombination.

Das Projekt hat darauf zuletzt mit personeller Verstärkung reagiert. Anfang Mai hatte Gen Digital eine eigene Security Working Group für OpenClaw angekündigt und Stellen ausgeschrieben. Die jetzt veröffentlichte Roadmap zeigt, woran diese Teams arbeiten werden.

Anzeige

fs-safe zieht die Dateisystemgrenze

Den ersten Block der Roadmap bildet das Modul fs-safe. Die Bibliothek bündelt sichere Muster für Dateisystem-Operationen und stellt die Plugins zentral zur Verfügung. Path Traversal ist dabei nur das auffälligste Beispiel für ein größeres Problem. Path Traversal nennt sich die Technik, mit der ein Angreifer über relative Pfade wie ../ aus einem erlaubten Verzeichnis ausbricht.

Laut Merhi ist das Risiko nur ein Symptom unklarer Grenzen. Symlinks, absolute Pfade, schlampige Pfad-Verkettung und Archiv-Entpacker erzeugen denselben Effekt. Das passt zum Bild, das ClawNews im Februar in einer Analyse zum Lethal Trifecta beschrieben hat. fs-safe sammelt die schon vorhandenen Muster im OpenClaw-Code in einer geteilten Bibliothek. Entwickler müssen die Prüfungen nicht selbst nachbauen.

Wichtig ist dabei eine Klarstellung, die Merhi explizit hervorhebt. fs-safe ist keine Sandbox. Ein Plugin, das Shell-Befehle ausführen darf, kann weiterhin alles leisten, was Shell-Befehle auch können. Geschützt wird nur der direkte Dateizugriff. Schreiben innerhalb des Plugin-Verzeichnisses funktioniert, Pfade außerhalb scheitern mit der Meldung outside-workspace.

Als nächster Schritt wandern die laufenden Zustandsdaten in eine SQLite-Datenbank. Sitzungen, Transkripte und Plugindaten lagen bisher als lose Dateien auf der Platte. Mit dem Umzug entfallen ganze Klassen von Dateisystemzugriffen während des Betriebs. Nach Merhis Darstellung ist der sicherste Aufruf der, den man nicht macht.