Seria krytycznych luk w OpenClaw ujawnia ryzyko agentów AI w firmach

Firma Cyera ostrzega przed czterema poważnymi lukami w popularnym narzędziu OpenClaw – otwartoźródłowym asystencie AI, który firmy mogą wykorzystywać do automatyzacji zadań. Błędy, określone zbiorczą nazwą Claw Chain, pozwalają atakującemu z wnętrza sandboksa na stopniowe przejęcie kontroli nad całym systemem.

Jak działa atak Claw Chain?

Jak wyjaśniają badacze z Cyera, atak nie opiera się na pojedynczej krytycznej luce, ale na skutecznym łączeniu kilku słabszych podatności. „Przez uzbrojenie własnych uprawnień agenta, przeciwnik porusza się przez dostęp do danych, eskalację uprawnień i utrzymanie dostępu – używając agenta jako swoich rąk wewnątrz środowiska” – czytamy w raporcie.

Łańcuch zaczyna się od uzyskania kodu wykonawczego w środowisku OpenShell. Atakujący może wtedy wykorzystać lukę CVE-2026-44113 (wyścig do odczytu plików poza katalogiem głównym) oraz CVE-2026-44115 (błąd analizy listy dozwolonych poleceń). Pozwala to ominąć ograniczenia sandboksa i wykraść dane uwierzytelniające, klucze API, tokeny i pliki konfiguracyjne.

Eskalacja i trwała obecność

W kolejnym kroku sprawca wykorzystuje lukę CVE-2026-44118, która umożliwia manipulację flagą własności i podniesienie uprawnień do poziomu właściciela instancji. Zyskuje dzięki temu dostęp do funkcji zarządczych, w tym konfiguracji i orkiestracji wykonania.

Ostatnim ogniwem jest krytyczna podatność CVE-2026-44112 (wynik CVSS 9.6), która pozwala na zapis danych poza granicami sandboksa. „Umożliwia atakującemu modyfikację konfiguracji, podłożenie backdoora i uzyskanie trwałej kontroli nad hostem” – podkreślają badacze. W efekcie atakujący może przejąć zmienne środowiskowe, tokeny, dane uwierzytelniające, kod źródłowy, historię rozmów i uprzywilejowane operacje.

Skala zagrożenia i kontekst biznesowy

Z danych Cyera wynika, że w sieci dostępnych publicznie jest ponad 60 000 instancji OpenClaw. Agenci AI tego typu mają często szeroki dostęp do wewnętrznych systemów, wrażliwych danych i sekretów. Atakujący, który przejmie kontrolę nad takim agentem, może pozostać niewykryty, ponieważ każdy krok ataku maskuje się jako normalne działanie systemu.

Dla firm, które wdrażają asystentów AI do automatyzacji procesów, incydent ten stanowi poważne ryzyko. Wpisuje się ono w szerszy obraz rosnącego zagrożenia ze strony agentów AI, o czym pisaliśmy przy okazji modelu Claude Mythos od Anthropic. W kwietniu 2026 roku jego możliwość znajdowania podatności wywołała alarm na najwyższych szczeblach władz USA i Wall Street.

„Każdy krok wygląda jak normalne zachowanie agenta dla tradycyjnych kontroli, poszerzając pole rażenia i znacznie utrudniając wykrycie” – Cyera.

Jak się chronić przed atakami na agentów AI?

Na szczęście twórcy OpenClaw zareagowali szybko – zgłoszenie podatności nastąpiło 22 kwietnia, a łatki zostały wydane już następnego dnia. To jednak nie wystarczy. Każda organizacja korzystająca z agentów AI powinna podjąć następujące kroki:

• Natychmiast zaktualizować OpenClaw do najnowszej wersji, która zawiera poprawki dla wszystkich czterech luk CVE.
• Sprawdzić dzienniki zdarzeń pod kątem podejrzanych aktywności od czasu pierwszej publikacji podatności.
• Ograniczyć uprawnienia agentów do absolutnego minimum niezbędnego do pracy – reguła najmniejszego przywileju obowiązuje też w przypadku AI.
• Segmentować sieć, aby agent nie miał nieograniczonego dostępu do wszystkich systemów.
• Wdrożyć monitoring zachowań agentów – odchylenia od normalnych wzorców mogą wskazywać na kompromitację.

Firmy, które dopiero rozważają wdrożenie asystentów AI do automatyzacji, powinny przede wszystkim przeprowadzić analizę ryzyka i upewnić się, że ich środowisko jest gotowe na bezpieczne uruchomienie takiego narzędzia. W najbliższych miesiącach można spodziewać się kolejnych raportów o podatnościach w tej rozwijającej się technologii. Dlatego należy podchodzić do agentów AI z taką samą ostrożnością jak do każdego innego oprogramowania.