Les infostealers commencent à récolter les configurations OpenClaw et les jetons de passerelle

En février 2026, un voleur d’informations courant a récupéré l’environnement de configuration d’un agent OpenClaw sur une machine infectée : le fichier JSON contenant le jeton de passerelle de l’agent, le fichier JSON contenant sa clé de signature d’appareil, et les fichiers Markdown qui définissent sa persona et sa mémoire. Hudson Rock, la société de renseignement sur les menaces qui a publié la découverte, y a vu un jalon dans le comportement des voleurs d’informations, décrivant un passage des identifiants de navigateur aux identités des agents d’IA personnels ; BleepingComputer a rapporté l’affirmation de la société selon laquelle il s’agissait du premier cas de ce type observé dans la nature, et The Hacker News l’a également rapporté ce mois-là. Le voleur n’avait pas été conçu pour OpenClaw. Le compte rendu de Hudson Rock indique qu’une vaste routine de capture de fichiers a balayé les extensions et noms de répertoires sensibles tels que .openclaw et a récupéré le dossier de manière fortuite, ce qui explique pourquoi la société décrit le logiciel malveillant comme ayant touché le jackpot plutôt que comme ayant traqué l’agent. L’archive classe l’épisode comme un incident d’identifiants de gravité élevée au niveau de confiance B, non contesté, avec des dommages réels consignés, et le Orca AI Incident Archive conserve cette entrée aux côtés de ses entrées OpenClaw voisines, chacune étant évaluée selon ses propres preuves.

Trois fichiers, et ce que chacun déverrouille

OpenClaw, anciennement Clawdbot et Moltbot, est un agent IA personnel auto-hébergé qui conserve un état persistant dans des fichiers sur la machine de l’utilisateur. L’article de Hudson Rock, résumé par The Hacker News et par BleepingComputer, énumère trois éléments prélevés dans le répertoire OpenClaw de la victime. openclaw.json contenait une adresse Gmail partiellement masquée, le chemin de l’espace de travail et un jeton de passerelle à forte entropie stocké sous gateway.auth.token. La note technique de Hudson Rock indique que ce jeton permettrait à un attaquant de se connecter à distance à l’instance OpenClaw locale de la victime si le port est exposé, ou d’usurper l’identité du client dans des requêtes authentifiées adressées à la passerelle IA.

device.json contenait les valeurs publicKeyPem et privateKeyPem de l’appareil de l’utilisateur, la paire de clés qu’OpenClaw utilise pour l’appairage et pour les opérations de signature. Selon Hudson Rock, avec la moitié privée, un attaquant peut signer des messages en se faisant passer pour l’appareil de la victime, contournant potentiellement les contrôles « Safe Device » et accédant aux journaux chiffrés ou aux services cloud appairés à cet appareil. soul.md, ainsi que les fichiers de mémoire AGENTS.md et MEMORY.md, contenait les principes de fonctionnement, les lignes directrices comportementales et les limites éthiques de l’agent et, selon la description de l’entreprise, contenait probablement des journaux quotidiens de l’activité de l’utilisateur, des messages privés et des événements de calendrier — ce qu’elle appelle un plan de la vie de l’utilisateur.

Un détail dans le compte rendu du fournisseur mérite d’être isolé du reste. Hudson Rock a fait passer les fichiers volés dans son propre système d’IA, Enki, pour une évaluation automatisée des risques, et son résumé de ce résultat est que les jetons, les clés et le contexte personnel constituent ensemble une compromission totale de l’identité numérique de l’utilisateur. Il s’agit d’un modèle de risque appliqué aux fichiers. Ce n’est pas le relevé de ce qu’un attaquant a fait avec eux.

Le mécanisme était un fourre-tout, et non une ligne de checklist.

Le résumé en une ligne de l'archive indique que les identifiants d'agents ont « officiellement intégré la checklist standard des infostealers ». Le document qui se trouve en dessous dit quelque chose de plus restrictif. Hudson Rock précise explicitement qu'aucun module spécifique à OpenClaw n'était impliqué : le logiciel malveillant exécutait une routine générique qui collectait des fichiers par extension et par nom de répertoire, et .openclaw correspondait. Alon Gal, cofondateur et CTO de Hudson Rock, a déclaré à BleepingComputer que la routine analysait les fichiers et répertoires contenant des mots-clés tels que « token » et « private key ».

Le module dédié est une prévision, pas une observation. Hudson Rock écrit que, à mesure que des agents comme OpenClaw s’intègrent davantage aux flux de travail professionnels, les développeurs de stealers publieront probablement des modules spécialement conçus pour déchiffrer et analyser ces fichiers, à l’image de ce qu’ils font aujourd’hui pour Chrome ou Telegram. Le 26 janvier 2026, la même entreprise avait publié un article intitulé ClawdBot: The New Primary Target for Infostealers in the AI Era, soutenant que l’agent conserve ses mémoires, ses profils et ses jetons d’authentification dans des fichiers Markdown et JSON en clair, souvent lisibles par tout processus s’exécutant sous le compte de l’utilisateur. Le cas de février est la première fois qu’elle rapporte que cette prédiction s’est concrétisée sur une machine réelle.

La distinction n’est pas académique. Un balayage fortuit signifie que l’exposition tient à l’endroit où l’agent conserve ses secrets, et non au fait que des attaquants aient décidé de traquer OpenClaw. Si des parseurs arrivent, les mêmes fichiers deviennent lisibles à grande échelle plutôt que simplement collectables, et la question défensive passe des permissions de répertoire à ce qu’un jeton de passerelle et une clé d’appareil peuvent encore atteindre une fois qu’ils ont disparu.

Une seule machine, un seul fournisseur et une longue série de répétitions

Le billet de Hudson Rock décrit une victime, au singulier, et publie des captures d’écran de l’arborescence d’une seule machine infectée. Il ne précise pas de combien de machines provient l’échantillon, et aucun des articles de presse consultés pour cet article n’ajoute un second cas. Bill Toulas, de BleepingComputer, s’est entretenu directement avec Gal et rapporte des détails que le billet de Hudson Rock ne contient pas — l’attribution à Vidar et l’analyse par mots-clés — mais l’observation sous-jacente reste une seule infection, constatée par un seul fournisseur. Infosecurity Magazine et SecurityAffairs ont repris la même conclusion dans le jour suivant la publication du billet de Hudson Rock, et ThaiCERT l’a répétée dans un avis le 25 février 2026. Le fait qu’un CERT national reprenne le rapport d’un fournisseur relève de l’amplification, non d’une confirmation indépendante.

C’est ce que consignent les fiches de confiance B de l’archive : documenté, mais à partir d’une source unique ou secondaire. La fiche est également datée de février 2026, à la précision du mois ; le récit de BleepingComputer date le vol avec plus de précision, mais l’archive ne conserve que le mois, et cet article s’en tient à la précision de l’archive. Rien de ce qui a été lu pour cet article ne conteste le récit de Hudson Rock, et la fiche est marquée comme non contestée. La réserve n’est pas une contradiction. C’est que le cadrage de jalon — le premier cas en conditions réelles, le passage des identifiants de navigateur aux identités d’agents — est une caractérisation de l’entreprise qui a trouvé l’échantillon, et il n’existe aucune base de référence publique permettant de vérifier le « premier ».

Aucune CVE n'a été attribuée. Aucun avis de sécurité OpenClaw traitant de ce vol n'apparaît dans les sources consultées pour cet article, et aucun régulateur n'a publié de conclusion qui lui soit propre à ce sujet — le seul document proche d'une source gouvernementale localisé est l'avis de ThaiCERT, qui reprend le rapport de Hudson Rock. Contrairement à une faille logicielle, cet incident n'a aucun correctif à pointer, car les fichiers ne faisaient rien que le logiciel considérait comme anormal. Ils étaient posés en clair sur le disque, à côté de l'agent.

Ce que le dossier n’établit pas

• Aucune source consultée pour cet article ne montre l’utilisation d’un jeton de passerelle ou d’une clé d’appareil volés. Les préjudices décrits par Hudson Rock sont conditionnels d’un bout à l’autre — « si le port est exposé », « permettant potentiellement de contourner » — et la couverture médiatique qui les reprend n’ajoute aucune intrusion démontrée.

• L’attribution à Vidar est nuancée par l’entreprise qui l’a formulée. Gal a décrit l’échantillon comme probablement une variante de Vidar, un stealer prêt à l’emploi actif depuis fin 2018, d’après les détails de l’infection ; aucun hash publié, aucune analyse d’échantillon ni comparaison de familles n’apparaît dans les sources consultées ici.

• Le nombre d'utilisateurs concernés est inconnu. Hudson Rock a signalé une seule victime et n'a donné aucun décompte de machines supplémentaires, et aucun article publié ultérieurement et retrouvé pour cet article n'en a fourni.

• Que le matériel volé ait été échangé, vendu ou indexé par un quelconque service criminel n’est établi par aucune source consultée ici.

• Le préjudice réel consigné dans le rapport est l’exfiltration elle-même : les identifiants et les clés d’une machine réelle ont quitté la machine. C’est un seuil moins élevé qu’une prise de contrôle, et le rapport ne fait pas état d’une prise de contrôle.

Ce qui avait déjà changé, et ce que cela ne couvrait pas

OpenClaw a annoncé un partenariat avec VirusTotal le 7 février 2026, avant que Hudson Rock ne publie son compte rendu. L'accord analyse chaque skill téléversé sur ClawHub — en l'empaquetant, en calculant son empreinte, en vérifiant cette empreinte auprès de VirusTotal et en exécutant l'analyse Code Insight de VirusTotal sur tout élément inconnu — et le projet l'a assorti d'un modèle de menace ainsi que d'un audit des erreurs de configuration potentielles. Cela couvre la place de marché. Cela ne chiffre pas openclaw.json sur le disque d'un utilisateur et ne fait rien contre un logiciel malveillant déjà en cours d'exécution sur le poste et lisant le répertoire personnel, qui est le vecteur en cause dans ce dossier.

Ce qui s’approche le plus de conseils ciblant cette défaillance relève du recommandatoire plutôt que du technique. La note du ThaiCERT du 25 février 2026 reprend la conclusion de Hudson Rock et recommande d’exécuter les agents dans des machines virtuelles ou des conteneurs isolés selon le principe du moindre privilège, d’éviter l’accès direct aux données sensibles, de vérifier la source de chaque compétence installée, de surveiller les journaux d’activité et de préparer un plan de réponse aux incidents incluant des réinitialisations complètes du système et la rotation des identifiants. Le propre compte rendu public d’OpenClaw sur son travail de sécurité, publié en avril 2026, indique que les secrets ont été éloignés du « faites attention » au profit de références afin que les identifiants ne se trouvent pas dans les invites, les journaux, les transcriptions ou l’état des agents — la même direction, bien que cet article n’aborde pas les fichiers de configuration documentés par Hudson Rock.

Ce qu'il faut surveiller, c'est si des parseurs dédiés apparaissent. Hudson Rock prévoit qu'ils le feront, et son article de janvier est la raison de prendre cette prévision au sérieux, plutôt que de voir dans l'échantillon de février la preuve de celle-ci. D'ici là, le constat reste celui d'un vol unique et bien documenté : un état d'agent en clair, dérobé par un stealer qui ne le cherchait pas, les dommages étant évalués par le fournisseur plutôt qu'observés dans la nature.