Outil de Pentest MCPwner AI Découvre Plusieurs Vulnérabilités 0-Day dans OpenClaw

Qu'est-ce que MCPwner
MCPwner est un serveur MCP (Model Context Protocol) qui permet à des agents d'IA de mener des tests de pénétration automatisés contre des cibles de sécurité. Le développeur l'a conçu pour orchestrer des modèles d'IA plus anciens comme GPT-4o et Claude 3.5 Sonnet, qui, lorsqu'ils sont correctement dirigés via MCPwner, peuvent découvrir des failles architecturales profondes que les outils d'analyse standard manquent.
Récentes découvertes sur OpenClaw
Lorsqu'il a été dirigé vers OpenClaw, MCPwner a identifié avec succès plusieurs vulnérabilités de type 0-day qui ont désormais reçu des avis officiels. Il ne s'agissait pas seulement de bogues mineurs, mais de problèmes de sécurité critiques :
- Injection de variables d'environnement
- Contournement de l'approbation automatique des permissions ACP
- Divulgation d'informations via un oracle d'existence de fichiers
- Contournement de safeBins en entrée standard uniquement
L'outil a trouvé des contournements logiques et des points d'injection que les outils d'analyse statique traditionnels ont complètement ignorés.
Approche technique
MCPwner démontre que les modèles d'IA de niveau intermédiaire et plus anciens, lorsqu'ils sont correctement orchestrés via ce serveur MCP, peuvent surpasser l'analyse statique traditionnelle pour la découverte de vulnérabilités. Le projet a déjà identifié plusieurs vulnérabilités et autres CVE au-delà des découvertes sur OpenClaw.
État du projet et contributions
Le projet est toujours en développement actif mais produit déjà des résultats. Le développeur recherche des contributeurs pour aider à affiner la logique d'analyse et élargir la boîte à outils. Les pull requests et les retours sont les bienvenus, en particulier de la part de ceux qui travaillent dans le domaine de l'IA offensive et souhaitent tester l'outil.
Dépôt GitHub : https://github.com/Pigyon/MCPwner
📖 Lire la source complète : r/openclaw
👀 See Also

Attaque massive de la chaîne d'approvisionnement NPM & PyPI contre TanStack, Mistral AI et plus de 170 paquets
Une attaque coordonnée a compromis plus de 170 paquets npm et 2 paquets PyPI, ciblant TanStack (42 paquets), les SDK d'IA Mistral, UiPath, OpenSearch et Guardrails AI. Les versions malveillantes exécutent un dropper qui exfiltre les identifiants et sonde les métadonnées cloud.

Auditez les autorisations de votre code Claude : Un guide pratique pour limiter l'accès aux outils
Un utilisateur de Reddit a audité sa configuration Claude Code et a découvert des outils trop permissifs qui pouvaient modifier des fichiers .env et des configurations de production. Mesures pratiques : auditer les outils globaux par rapport aux outils par projet, vérifier les secrets dans CLAUDE.md, et limiter l'accès aux fichiers par répertoire.

OpenClaw a bloqué un script douteux d'un manuel de productivité, puis a continué à construire un classeur financier.
Un utilisateur a donné à OpenClaw un zip contenant un supposé guide de productivité suspect. OpenClaw a refusé d'exécuter le script, l'a signalé pour auto-installation dans le répertoire des compétences, et a construit manuellement le classeur en utilisant ses compétences intégrées.

Accès à distance sécurisé avec Tailscale pour OpenClaw
Aucun