OpenClaw 0 – Click Güvenlik Açığı, Kötü Amaçlı Web Sitelerinin Geliştirici AI Ajanlarını Ele Geçirmesine İzin Verir

Tarihteki en hızlı büyüyen açık kaynaklı AI aracı çerçevelerinden biri olan OpenClaw'daki kritik bir sıfır etkileşim güvenlik açığı, Oasis Security araştırmacıları tarafından keşfedildi ve herhangi bir kötü amaçlı web sitesinin eklenti, uzantı veya herhangi bir kullanıcı eylemi gerektirmeden bir geliştiricinin AI aracısının tam kontrolünü sessizce ele geçirmesine izin verdi. Eskiden Clawdbot ve MoltBot olarak bilinen ve kendi kendine barındırılan bir yapay zeka ajanı olan OpenClaw, sadece 5 gün içinde 100.000 'den fazla GitHub yıldızına fırladı ve dünya çapında binlerce geliştiricinin varsayılan kişisel asistanı haline geldi. Araç, geliştirici dizüstü bilgisayarlarda yerel olarak çalışır, mesajlaşma uygulamalarına, takvimlere, geliştirme araçlarına ve yerel dosya sistemlerine bağlanır ve kullanıcı adına otonom işlemler yapar. Bu geniş erişim, tam da bu güvenlik açığını bu kadar tehlikeli kılan şeydir. Saldırı Nasıl Çalışır?

OpenClaw, localhost'a bağlanan ve aracı için merkezi orkestrasyon katmanı olarak işlev gören yerel bir WebSocket ağ geçidi aracılığıyla çalışır. MacOS tamamlayıcı uygulamaları, iOS cihazları veya diğer makineler gibi bağlı "düğümler" ağ geçidine kaydolur ve sistem komutu yürütme, dosya erişimi ve kişi okuma gibi yetenekleri ortaya çıkarır. Saldırının tek bir koşulu vardır: Geliştirici, tarayıcısında kötü amaçlı veya güvenliği ihlal edilmiş bir web sitesini ziyaret eder. The full exploitation chain unfolds as follows:

A victim visits any attacker-controlled website in their normal browser

JavaScript on the page opens a WebSocket connection to the OpenClaw gateway on localhost permitted because browsers do not block cross-origin WebSocket connections to loopback addresses

The script brute-forces the gateway password at hundreds of attempts per second; the gateway’s rate limiter completely exempts localhost connections, meaning failed attempts are not counted, throttled, or logged

Once authenticated, the script silently registers as a trusted device the gateway auto-approves pairings from localhost with no user prompt

The attacker gains full admin-level co