Аналитик в сфере информационной безопасности под псевдонимом veganmosfet представил детальный разбор уязвимости в OpenClaw. Одно электронной сообщение, отправленное на Gmail жертвы, может раскрыть атакующему полный контроль над машиной через reverse shell, без необходимости в клике. Атака основана на трех ключевых особенностях дефолтной настройки OpenClaw.
Во-первых, Gmail-хук автоматически пересылает содержимое почты языковой модели с правами пользователя. Во-вторых, песочница отключена, и агент функционирует с полномочиями пользователя. В-третьих, система плагинов запускает код любых найденных расширений без криптовалютной проверки.
Внутри письма содержатся вредоносные инструкции, завуалированные под стандартное сообщение. Несмотря на попытки защиты OpenClaw, исследователь обошел механизм безопасности, вставив ошибочный тег с опечаткой. Это позволило модели воспринимать дальнейший текст как доверенные инструкции, что в итоге привело к загрузке вредоносного плагина и подготовки reverse shell.
Исследователь акцентировал внимание на том, что OpenClaw функционирует согласно документам, тем не менее, предостерег пользователей о необходимости строго контролировать права агента. С его стороны уже отправлены предложения по улучшению безопасности.