OpenClaw achève son audit de sécurité avec Trail of Bits via Patch the Planet d'OpenAI

OpenClaw a terminé un audit de sécurité mené par Trail of Bits dans le cadre de l'initiative Patch the Planet d'OpenAI. Le récapitulatif, rédigé par Josh Avant, couvre ce que l'examen a analysé et ce qui a été livré en conséquence. Selon l'annonce, chaque problème exploitable découvert lors de l'audit a été corrigé, les correctifs étant déployés dans des versions stables.

Ce que l'audit a couvert

La question centrale qui a motivé l'examen : que se passe-t-il lorsque les permissions d'un agent IA changent alors qu'il est encore en train de travailler ? Ce scénario est spécifique aux exécutions d'agents multi-étapes, où une seule tâche peut impliquer de nombreux appels d'outils, approbations et transitions de contexte. Si les permissions changent en cours de route, il faut savoir si l'agent respecte le nouvel état ou continue à fonctionner selon l'ancien.

L'audit a examiné trois domaines :

• Permissions — comment elles se comportent et tiennent le coup lorsqu'un agent progresse dans une tâche multi-étapes.
• Identité — comment l'identité de l'agent est représentée et maintenue tout au long de l'exécution.
• Approbations — comment les barrières d'approbation fonctionnent lorsqu'un agent exécute un travail sur plusieurs étapes.

C'est le type de problème qui compte pour quiconque exécute des agents avec un accès réel — système de fichiers, réseau, shell ou API externes. Une vérification de permission correcte à l'étape 1 mais obsolète à l'étape 7 constitue une véritable surface d'exposition.

Résultat

Toutes les conclusions exploitables ont été corrigées. Les correctifs ont été livrés dans des versions stables plutôt que retenus derrière un indicateur ou un canal de prévisualisation. Le récapitulatif complet — ce que l'équipe a trouvé, ce qui a changé et ce qu'elle a appris sur la sécurisation des systèmes d'agents — est lié ci-dessous.

Si vous construisez ou exécutez des agents qui détiennent des identifiants ou effectuent des effets de bord sur plusieurs étapes, la question de la revalidation des permissions pendant le travail mérite d'être étudiée directement. Le billet source renvoie à openclaw.ai/blog/openclaw-trail-of-bits-engagement-recap pour les détails.