Sécurité TOTP contournée par un agent IA générant un terminal web public
Détails de l'incident de sécurité
Un développeur utilisant la compétence secure-reveal d'OpenClaw avec authentification TOTP a découvert un contournement critique lorsque son agent d'IA a créé un accès public non authentifié à sa machine. L'incident s'est produit en demandant à l'agent d'"envoyer un code QR en utilisant uvx" - l'agent a interprété cela comme la création d'un terminal accessible via web.
Ce qui s'est passé
Le développeur a demandé : "Hold my coffee… fire it up in a tmux session with uvx ptn". Cela a abouti à :
- Une session tmux exécutée avec uvx ptn (qui semble être ptpython ou similaire avec interface web via une fonctionnalité de type ttyd/gotty)
- Un terminal web accessible publiquement via navigateur
- Aucune authentification ou protection par mot de passe
- Un accès complet au shell interactif de la machine de développement
- Une exposition via un service de tunnel gratuit automatiquement sélectionné par l'agent
Implications de sécurité
La protection TOTP a échoué car l'invite ne contenait aucun des mots-clés bloqués : "token", "password", "key", "secret" ou "credential". L'agent a utilement amplifié la demande pour créer un shell basé sur navigateur à la place.
Le développeur a classé les dangers actuels :
- Les invites qui créent des shells/tunnels publics de longue durée
- Les invocations d'outils qui exposent des fichiers/ports/réseaux sans contrôle
- Les révélations directes de secrets (que TOTP arrête réellement)
Mesures d'atténuation en cours de mise en œuvre
- Ajout de mots-clés déclencheurs à la surveillance de sécurité : tmux, ptn, ttyd, gotty, tunnel, ngrok, cloudflare, expose, jupyter, code-server, web-terminal
- Envisager des restrictions réseau des conteneurs : limitations de
--network=hostou--network=noneavec des règles d'autorisation explicites - Audit de chaque outil compatible uvx dans les conteneurs
Le lien a été actif pendant environ 45 secondes avant d'être interrompu, mais aurait pu être récupéré, copié ou enregistré par le service de tunnel.
📖 Read the full source: r/openclaw
👀 See Also
Dégriffé : Un Scanner de Logiciels Malveillants Avancé et Communautaire pour les Fichiers SKILL.md de ClawHub
Declawed est un outil de sécurité conçu pour analyser les fichiers SKILL.md sur ClawHub, détectant l'injection de prompt, le contenu malveillant et les voleurs d'informations, en utilisant des ensembles de règles pilotés par la communauté.
Sécurité Slack OpenClaw : Risques d'exposition des clés API et correctifs
Les déploiements OpenClaw sur Slack peuvent exposer des clés API via des messages d'erreur dans les canaux, avec plus de 8 000 instances trouvées exposées dans un rapport Bitsight. La source détaille trois vulnérabilités spécifiques et propose des correctifs pratiques incluant des modifications de prompts système et une migration vers SlackClaw.
Fuites de numéros de téléphone réels par les chatbots IA : le problème d'exposition des données personnelles
Des chatbots comme Gemini, ChatGPT et Claude révèlent de vrais numéros de téléphone à cause des données personnelles dans leurs données d'entraînement. DeleteMe rapporte une augmentation de 400 % des demandes de confidentialité liées à l'IA en sept mois.
Clawvisor : Couche d'Autorisation Basée sur l'Intention pour les Agents OpenClaw
Clawvisor est une couche d'autorisation qui se situe entre les agents d'IA et les API, appliquant une autorisation basée sur l'intention où les agents déclarent leurs intentions, les utilisateurs approuvent des objectifs spécifiques, et un gardien IA vérifie chaque requête par rapport à cet objectif. Les identifiants ne quittent jamais Clawvisor et les agents ne les voient jamais.