(C) unter Verwendung eines Motivs von Andrei Suslov / 123RF.com
Die Sicherheitsfirma Virus Total hat Hunderte sogenannte Skills entdeckt, die vorgeben die Fähigkeiten des populären KI-Agenten OpenClaw zu erweitern, tatsächlich aber Malware-Schleudern sind.
Gerade diese Skills sollen den Agenten so leistungsfähig machen: Anstatt alles fest in den Agenten zu programmieren, fügen Sie einfach Fähigkeiten hinzu, und schon kann er neue Tools, APIs und Workflows nutzen. Der Agent liest die Dokumentation zu den Fähigkeiten bei Bedarf und folgt den Anweisungen. Das nutzen Angreifer skrupellos aus. Über die Austauschplattform ClawHub verteilen sie massenweise Software zum Datendiebstahl, für die Einrichtung von Hintertüren oder Fernzugriffstools. Weil der Skill zunächst funktioniert und die Schadsoftware erst nach einer Wartezeit nachgeladen wird, schöpft der Anwender zunächst keinen Verdacht.
VirusTotal untersuchte insgesamt 3 016 OpenClaw-Skills und stieß auf verschiedene Gefährdungen. Teils wiesen sie Schwachstellen auf wie unsichere Verwendung von APIs, unsichere Befehlsausführung, fest codierte Geheimnisse, übermäßige Berechtigungen oder schlampige Handhabung von Benutzereingaben. Dies kommt im Zeitalter des Vibe-Coding, in dem Code schnell und oft ohne echtes Sicherheitsmodell generiert und direkt in der Produktion veröffentlicht wird, immer häufiger vor. Teils hatten sie aber auch gezielt bösartige Absichten: etwa das Abfischen sensibler Daten oder die Fernsteuerung des befallenen Rechners.
Ganz besonders tat sich der ClawHub-Nutzer ‘hightower6eu’ hervor. Allein von ihm wurden 314 bösartige Skills entdeckt, und ihre Anzahl steigt noch weiter. Das Muster war immer gleich: Der Benutzer wurde aufgefordert im Rahmen des Setup-Prozesses Software aus nicht vertrauenswürdigen Quellen herunterzuladen. Diese Files wirken auf den ersten Blick harmlos und enthalten den eigentlichen Schadcode auch noch nicht, weswegen Prüfprogramme scheitern. Stattdessen enthält das SKILL.md-File Anweisungen, um später ein verschlüsseltes Zip-File herunterzuladen, das den eigentlichen Schadcode mitbringt.
VirusTotal empfiehlt, OpenClaw immer in einer Sandbox-Umgebung laufen zu lassen, den Zugriff auf den Skills-Folder so weit irgend möglich einzuschränken und extrem skeptisch gegenüber Skills zu sein, die verlangen, Shellcode in ein Terminal zu übertragen, oder unbekannte Binaries auszuführen.
