Malware-verseuchte Skills bei ClawHub

Doch nicht nur OpenClaw hat mit Sicherheitsanfälligkeiten zu kämpfen. Auch die Plattform ClawHub birgt Risiken für die Informationssicherheit. So berichten die Forscher von Koi Security, 341 schädliche ClawHub-Skills entdeckt zu haben, die darauf abzielen würden, Daten von OpenClaw-Nutzern zu stehlen. Bei einem Sicherheitsaudit von 2.857 Skills auf ClawHub hätten die Forscher entdeckt, dass 335 der Skills gefälschte Voraussetzungen verwenden würden, um einen Apple-macOS-Stealer namens Atomic Stealer zu installieren. Koi verfolgt dieses Angriffsszenario unter dem Namen „ClawHavoc“. Der Angriff beginne mit der Installation eines schädlichen ClawHub-Skills, der gefälschte Voraussetzungen angebe. Der Nutzer werde aufgefordert, eine Datei namens „openclaw-agent.zip“ herunterzuladen oder ein Skript in das Terminal einzugeben. Diese Datei enthalte einen Trojaner, der sensible Daten wie API-Schlüssel und Anmeldedaten anfange. Sobald der Trojaner aktiv sei, könne er weitere Schadsoftware ausführen und auf persönliche Informationen des Nutzers zugreifen. Interessant ist, dass Koi diese Sicherheitsanfälligkeit mit dem hauseigenen KI-System „Alex“ entdeckt haben will.

Laut Koi tarnen sich die bösartigen Skills unter anderem als:

• ClawHub-Typosquats, wie clawhub, clawhub1, clawhubb oder clawhubcli

• Kryptowährungs-Tools wie Solana-Wallets und Wallet-Tracker

• Polymarket-Bots, wie polymarket-trader oder polymarket-pro

• YouTube-Utilities

• Auto-Updater, zum Beispiel auto-updater-agent oder updater

• Finanz- und Social-Media-Tools, yahoo-finance-pro und x-trends-tracker

• Google Workspace-Tools

Nach diesen Entdeckungen nahm Peter Steinberger bei der Community-Konferenz ClawCon am 4. Februar 2026 Stellung dazu. Das Unternehmen wolle neue Schutzmaßnahmen einrichten. So wurde eine Meldefunktion eingeführt, mit der angemeldete Benutzer Skills melden können. Jeder Benutzer kann bis zu 20 aktive Meldungen gleichzeitig haben. Skills, die mehr als drei ein­deutige Meldungen erhalten, werden standardmäßig auf ClawHub ausgeblendet.

Slopsquatting

So nutzen Angreifer Halluzinationen von KI-Modellen für Angriffe

Die nächste große Angriffsfläche

Die Schwachstellen in OpenClaw sowie die Anfälligkeit für eingeschleuste Malware-Skills zeigen erneut, dass KI-Systeme, Large Language Models sowie KI-Agenten gerade wegen ihrer Viel­fältigen Anwendbarkeit und den sensiblen Daten, die User hochladen, zum gefundenen Fressen für Cyberkriminelle werden können. Palo Alto Networks warnte in einem Blogbeitrag, dass OpenClaw das darstelle, was der britische Softwareentwickler Simon Willison, der den Begriff „Prompt Injection“ prägte, als „tödliche Dreifaltigkeit“ („lethal trifecta“) bezeichnete. Damit sei die Tatsache gemeint, dass KI-Agenten aufgrund ihres Zugriffs auf private Daten, ihrer Ex­po­si­tion gegenüber nicht vertrauenswürdigen Inhalten und ihrer Fähigkeit zur externen Kom­mu­ni­ka­tion von Grund auf angreifbar sind. Das Zusammenspiel dieser drei Eigenschaften, kom­bi­niert mit dem persistenten Speicher von OpenClaw, wirke Palo Alto zufolge wie ein Be­schleu­ni­ger und verstärke die Risiken der KI-Agenten.

Eric Fourrier, CEO bei Gitguardian, erläutert: „KI-Agenten sind hochprivilegierte Systeme, die wie eigenständige Identitäten agieren, aber oft nicht so behandelt werden. Sie benötigen Zugriff auf sensible Daten, APIs und Infrastruktur, um autonom arbeiten zu können. Das Problem: Im Gegensatz zu menschlichen Nutzern arbeiten diese Agenten rund um die Uhr, erstellen auto­matisch Dateien, Logs und Outputs. Genau dort landen häufig auch vertrauliche Zu­gangs­daten. Die Angriffsfläche wächst exponentiell, weil jeder Agent eigene Credentials benötigt und tra­di­tionelle Sicherheitskonzepte für diese neue Realität nicht ausgelegt sind.“

Threat Hunting Report 2025 von Crowdstrike

KI-Agenten im Fokus von Cyberangreifern

Aus diesen Gründen beschreibt Fourrier Maschinenidentitäten und KI-Agen­ten als die nächste große Angriffsfläche. Während klassische IAM-Lösungen für menschliche Identitäten und statische Service-Accounts konzipiert seien, würden sich KI-Agen­ten jedoch grundlegend anders verhalten. „Sie erstellen eigenständig Dateien, führen Tools aus, loggen Sessions und generieren Outputs. Zum Beispiel auch in lokalen Workspaces, die zur Syn­chro­ni­sa­ti­on in Repositories geladen werden. Dabei entstehen Zugangsdaten an un­er­war­te­ten Stellen: in Session-Logs, generierten Scripts oder Tool-Outputs. IAM-Systeme können nicht kontrollieren, was der Agent während seiner Arbeit produziert und wohin diese Artefakte wan­dern.“

Hier kann dem CEO zufolge nur ein mehrschichtiger Ansatz Abhilfe schaffen:

• 1. Kontinuierliches Scanning der Agent-Workspaces hinsichtlich Zugangsinformationen.Nicht nur im Git-Repository, sondern auch in lokalen Konfigurationsdateien.

• 2. Pre-Commit-Hooks installieren, die Commits mit Zugangsdaten automatisch blockieren, bevor sie in die Versionskontrolle gelangen

• 3. Integration der Zugangsdaten-Erkennung direkt in den Agent selbst.

Kritische Lücken

DeepSeek versagt bei Sicherheitsuntersuchung

OpenClaw kooperiert mit VirusTotal

OpenClaw hat zuletzt eine Partnerschaft mit dem kostenlosen Online-Dienst VirusTotal an­ge­kündigt, um seine Sicherheit zu erhöhen . Die Zusammenarbeit mit dem seit 2012 zu Google ge­hörenden Online-Scanner soll helfen, das Hochladen von Malware-verseuchten Skills ein­zu­dämmen. Dafür scannen die Engines von VirusTotal die Uploads bei ClawHub und spüren Schad­code auf. Verdächtige Skills werden gesperrt und können nicht heruntergeladen werden. Bereits hochgeladene Skills werden jeden Tag erneut gescannt werden, um auch nachträglich hinzugefügte Malware entdecken zu können.

Security-Learning

Die Antwort auf die Frage „Wie sicher ist OpenClaw“ lässt sich nur schwer eindeutig be­ant­wor­ten. Aktuell ist die Sicherheitslage des KI-Assistenten besorgniserregend, da er weitreichende Systemrechte benötigt, damit ein attraktives Ziel für Cyberkriminelle darstellt und bereits aktiv für die Verteilung von Malware missbraucht wird. Die Verantwortung für die architektonische Sicherheit der KI-Systeme liegt bei den Hersteller, die die Sicherheit als Kernelement von Anfang an in die Entwicklung mit einfließen lassen sollten. Dies beinhaltet die Imple­men­tierung robuster Sicherheitsprotokolle, die kontinuierliche Überprüfung von Software und das regelmäßige Patchen von Schwachstellen. Nur so kann die grundlegende Sicherheit von KI-Assistenten langfristig verbessert werden.

Auf der anderen Seite sind die Unternehmen, die die Systeme einsetzen, dazu aufgerufen, klare Richtlinien für die sichere Verwendung zu implementieren und ihre Mitarbeiter zu sen­si­bi­li­sier­en. Sie sollten darin geschult werden, potenzielle Risiken zu erkennen und verant­wor­tungs­voll mit den ihnen anvertrauten Daten umzugehen. Eine Kombination dieser Maßnahmen kann dazu beitragen, die Sicherheit von OpenClaw und ähnlichen KI-Systemen erheblich zu ver­bes­sern.

Trotz Kritik und möglicher Sicherheitsrisiken

Microsoft treibt agentenbasiertes Windows 11 weiter voran

Tipps für den sicheren Umgang mit KI-Agenten

• Verwendung von Sicherheits-Tools: Der kostenlose AI Skill Checker von Bitdefender kann helfen, bösartigen Payload in OpenClaw Skills zu identifizieren. Dies ist besonders wichtig, da laut Bitdefender 17 Prozent der in der ersten Februarwoche bereitgestellten Skills von Open­Claw ein verdächtiges Verhalten zeigten. Nutzer sollen mit diesem Tool potenzielle Ri­siken vor der Installation oder dem Betrieb eines Skills analysieren können und werden bei verdächtigem Verhalten gewarnt.

• Private Speicher nutzen: Gitguardian empfiehlt Nutzern von OpenClaw, den bereitgestellten Arbeitsbereich als privaten Speicher zu behandeln und rät, ihn in privaten GitHub-Repo­si­tories zu speichern. Der Hersteller hat das ClawHub-Skill „ggshield“ entwickelt, welches OpenClaw-User nutzen können, um nach der Installation der KI-Agenten ihren Arbeits­be­reich auf hartcodierte Geheimnisse zu scannen, Sicherheitslücken zu identifizieren und sicherzustellen, dass keine sensiblen Daten in öffentliche Repositories eingecheckt werden. Damit sollen Nutzer nur noch Fragen wie „Sind diese Daten sicher?“ stellen müssen und sofortige Rückmeldungen erhalten, um die Sicherheit ihrer Projekte zu gewährleisten.

• Klare Richtlinien und Vorsicht bei der Eingabe von Inhalten: OpenClaw-Nutzer sollten besonders vorsichtig sein, welche KI-Skills sie verwenden. Grundsätzlich gilt, das Un­ter­nehmen klare Richtlinien für die Nutzung von KI-Tools und -Skills entwickeln sollten und ihren Mitarbeitenden eine Whitelist der erlaubten KI-Systeme sowie Leitfäden zur sicheren Nutzung bereitstellen sollten. Generell gilt, dass Nutzer keine sensiblen und personen­be­zo­genen Daten in die Systeme einspeisen sollten. Zudem sollten Unternehmen den Zugriff auf KI-Anwendungen und -Daten auf autorisierte Benutzer beschränken und die Multifaktor-Authentifizierung zwingend etablieren.

• Regelmäßige Sicherheitsupdates und Awareness-Schulungen: Unternehmen, die KI-Tools nutzen, sollten diese stets auf dem aktuellen Stand halten, um Sicherheitslücken zu schlie­ßen. Dabei hilft auch ein regelmäßiges Monitoring und Reporting. Zudem sollten Mitarbeiter regelmäßig zum Umgang mit Künstlicher Intelligenz geschult werden.

KI-Agenten vor Missbrauch schützen

KI-Willkür: 3 Risiken und ihre Lösung

(ID:50708355)