Setki tysięcy instancji AI na widoku. Dlaczego firmy muszą pilnie sprawdzić swoje agenty

Badacze bezpieczeństwa z firmy Cyera opublikowali szczegóły dotyczące czterech podatności w OpenClaw, popularnym frameworku do budowy asystentów AI. Łańcuch tych błędów, nazwany Claw Chain, pozwala atakującemu na ucieczkę z piaskownicy, eskalację uprawnień i trwałe przejęcie kontroli nad systemem operacyjnym. Z raportu wynika, że w sieci znajduje się obecnie ponad 60 000 publicznie dostępnych instancji OpenClaw, co oznacza, że problem dotyczy bardzo szerokiego grona organizacji. Producenci udostępnili już łatki, ale to od administratorów zależy, czy zostaną one wdrożone.

Czym jest Claw Chain i jak działa atak?

Opisany przez Cyerę łańcuch podatności nie opiera się na pojedynczym, spektakularnym błędzie. „Importantly, this chain does not rely on a single critical exploit like arbitrary command execution. Instead, it demonstrates how multiple smaller weaknesses (data leakage, race conditions, and improper access control) can be exploited in parallel from a single foothold to achieve a full compromise scenario” – podkreślają badacze. Atak zaczyna się od uzyskania przez napastnika możliwości wykonania kodu wewnątrz piaskownicy OpenShell, która izoluje działanie agenta.

Pierwszym krokiem jest wykorzystanie jednej z dwóch podatności: CVE-2026-44113 (wyścig do odczytu plików poza katalogiem głównym) lub CVE-2026-44115 (błąd analizy listy dozwolonych komend). Pozwalają one na ominięcie ograniczeń piaskownicy i kradzież danych wrażliwych, takich jak klucze API, tokeny, hasła czy pliki konfiguracyjne. Następnie, dzięki luce CVE-2026-44118 w mechanizmie MCP (Model Context Protocol), atakujący może manipulować flagą własności i podnieść swoje uprawnienia do poziomu właściciela, zyskując dostęp do kluczowych funkcji zarządzania instancją.

Ostatnim ogniwem jest krytyczna podatność CVE-2026-44112 z oceną CVSS 9.6. To kolejny błąd wyścigu w piaskownicy OpenShell, który umożliwia zapis danych poza jej granicami. Dzięki niemu atakujący może modyfikować konfiguracje, instalować backdoory i uzyskać trwałą kontrolę nad hostem.

Kto jest zagrożony i jakie dane mogą wyciec?

Zagrożenie dotyczy wszystkich organizacji, które wdrożyły OpenClaw i udostępniły go w sieci. Jak wskazują analitycy Cyery, agenty AI mają zazwyczaj szeroki dostęp do systemów wewnętrznych, danych wrażliwych i sekretów. Udany atak łańcuchowy może doprowadzić do przejęcia zmiennych środowiskowych, tokenów uwierzytelniających, wewnętrznych konfiguracji, poświadczeń systemowych, kodu źródłowego, historii rozmów użytkowników oraz uprzywilejowanych operacji.

Badacze zwracają uwagę, że każdy krok ataku z osobna może wyglądać jak normalne zachowanie agenta, przez co tradycyjne mechanizmy obronne mają trudności z wykryciem zagrożenia. „By weaponizing the agent’s own privileges, an adversary moves through data access, privilege escalation, and persistence – using the agent as their hands inside the environment. Each step looks like normal agent behavior to traditional controls, broadening blast radius and making detection significantly harder” – podsumowują eksperci z Cyery.

Reakcja producenta i dalsze kroki

Podatności zostały zgłoszone do opiekunów OpenClaw 22 kwietnia 2026 roku, a łatki udostępniono następnego dnia. To bardzo szybka reakcja, która daje firmom szansę na zabezpieczenie systemów. Kluczowe jest jednak, aby zespoły IT i security jak najszybciej zidentyfikowały instancje OpenClaw w swoim środowisku i zastosowały aktualizacje.

W przypadku agentów AI warto rozważyć dodatkowe środki ostrożności. Po pierwsze, należy ograniczyć dostęp do instancji tylko do zaufanych sieci i użytkowników – najlepiej w ogóle nie wystawiać ich bezpośrednio do publicznego internetu. Po drugie, warto wdrożyć monitoring pod kątem nietypowego zachowania agentów, szczególnie prób odczytu lub zapisu plików poza oczekiwanymi lokalizacjami. Po trzecie, administratorzy powinni regularnie przeglądać uprawnienia przyznane agentom i stosować zasadę minimalnych niezbędnych dostępu.

Atakujący od lat skanują sieci w poszukiwaniu publicznie dostępnych interfejsów API, a teraz ich celem stają się również agenty AI. Wykrycie otwartej instancji OpenClaw to dla napastnika zaproszenie do ataku. Nie czekaj na incydent – sprawdź, czy twoje agenty nie są widoczne w sieci.