Sicherheitsanalyse der Extraktion von OpenClaw-Komponenten für benutzerdefinierte KI-Agenten
Ein Entwickler hat eine detaillierte Sicherheitsanalyse veröffentlicht, welche OpenClaw-Komponenten sicher für den Einsatz in benutzerdefinierten KI-Agenten-Stacks extrahiert werden können, ohne das gesamte System auszuführen. Die Analyse konzentriert sich auf Komponenten wie Speichersuche, Browser-Automatisierung und Task-Queue-Funktionalität.
Sicherheitsbewertungsmethodik
Der Entwickler verwendete das Lethal Quartet-Framework (Willison/Palo Alto Networks), um jede Komponente basierend auf vier Kriterien zu bewerten: ob sie auf private Daten zugreift, nicht vertrauenswürdige Inhalte verarbeitet, extern kommuniziert oder Zustand speichert.
Sicherheitsgefälle der Komponenten
- Lane Queue (0/4): Reine Logik ohne Ein-/Ausgabe. Vollständig sicher zu extrahieren. Erfordert das Austauschen von 3 Importen über zwei Dateien.
- Workspace Config (2/4): Das Format ist harmlos, aber memory.md dient sowohl als Konfiguration als auch als Schreibziel, was Potenzial für Memory-Poisoning-Angriffe schafft.
- Memory System (3/4): Speichert alles im Klartext. Die memsearch-Extraktion verpasste 10 Produktionsfeatures.
- Semantic Snapshots (4/4): Vollständiger Bedrohungsvektor. BrowserClaw extrahierte diese Komponente, ließ aber alle Sicherheitsumhüllungen weg.
Kritische Sicherheitserkenntnisse
Die 4/4-Bewertung für Semantic Snapshots stellt den besorgniserregendsten Befund dar. OpenClaw umhüllt alle Browser-Ausgaben mit randomisierten Grenzmarkierungen, damit das LLM vertrauenswürdige von nicht vertrauenswürdigen Inhalten unterscheiden kann. BrowserClaw, agent-browser und moltworker ließen diese Sicherheitsfunktion jedoch bei der Extraktion der Komponente weg.
Keine der eigenständigen Extraktionen beinhaltet irgendeine Form von Inhaltsumhüllung. Das bedeutet, dass jede Seitenaufnahme als Rohtext in den LLM-Kontext gelangt, was eine erhebliche Angriffsfläche für Prompt-Injection schafft.
BrowserClaw selbst bietet 90 % Token-Einsparungen gegenüber Screenshots und ist produktionserprobt, aber die Sicherheitsimplikationen der Extraktion ohne Umhüllung sind erheblich.
Verfügbare Ressourcen
Der Entwickler erstellte detaillierte Profile für jede Komponente, einschließlich Extraktionsrezepten, Abhängigkeitskarten, was bei der Extraktion kaputt geht, Framework-Integrationsmustern (LangGraph/AutoGen/CrewAI/SK) und spezifischen Gegenmaßnahmen. Diese sind verfügbar unter: https://github.com/Agent-Trinity/openclaw-block-profiles
📖 Read the full source: r/LocalLLaMA
👀 Siehe auch
llm-hasher: Lokale PII-Erkennung und Tokenisierung für hybride LLM-Workflows
llm-hasher ist ein Tool, das persönlich identifizierbare Informationen lokal mit Ollama erkennt, bevor Daten externe LLMs wie OpenAI oder Claude erreichen, die PII tokenisiert und die Originale nach der Verarbeitung wiederherstellt. Es nutzt Regex für strukturierte Datentypen und ein lokales LLM für kontextbezogene Erkennung, mit verschlüsselter Speicherung für Zuordnungen.
OpenClaw Skill-Sicherheitsscanner: 7,6 % von 31.371 Skills als gefährlich eingestuft
Ein Entwickler hat ein Tool erstellt, das das gesamte ClawHub-Register durchsucht und festgestellt hat, dass 2.371 von 31.371 Skills gefährliche Muster wie Wallet-Drainer, Diebstahl von Zugangsdaten und Prompt-Injection enthalten. Das Tool bietet API-Zugang und Badges zur Überprüfung von Skills vor der Installation.
Hackerbot-Claw: KI-Bot, der GitHub Actions-Workflows ausnutzt
Ein KI-gestützter Bot namens hackerbot-claw führte eine einwöchige automatisierte Angriffskampagne gegen CI/CD-Pipelines durch und erreichte Remote-Code-Ausführung bei mindestens 4 von 6 Zielen, darunter Microsoft, DataDog und CNCF-Projekte. Der Bot verwendete 5 verschiedene Exploit-Techniken und exfiltrierte ein GitHub-Token mit Schreibberechtigungen.
Wesentliche Dateiblockierung für KI-Codierungsassistenten: Eine praktische Sicherheits-Checkliste
KI-Codierungsassistenten lesen von Ihrer lokalen Festplatte, nicht nur aus Ihrem Repository, und offenbaren Dateien, die .gitignore vor GitHub schützt, aber nicht vor dem Agenten. Eine Reddit-Diskussion identifiziert kritische Dateien, die blockiert werden sollten, einschließlich KI-Assistenten-Konfigurationen mit API-Schlüsseln, Dienstzugangsdaten, SSH-Schlüsseln und Umgebungsdateien.