135 000 instances exposées : ce que l'année de sécurité d'OpenClaw nous apprend sur l'identité des agents

Plus de 135 000 instances OpenClaw ont été découvertes exposées sur Internet, aux côtés de CVE-2026-25253 avec un score CVSS de 8,8 et d'une campagne de supply-chain que la presse spécialisée en sécurité a nommée ClawHavoc — le tout signalé par des tiers plutôt que par le projet. Le nombre qui compte n'est cependant pas 135 000. C'est ce à quoi chaque instance exposée avait accès : un compte mail actif, une carte enregistrée, un système de fichiers et un navigateur connecté, appartenant tous à une personne. C'est ce couplage que OrcaID est conçu pour briser.

Aucun de ces arguments ne prouve qu’OpenClaw est un mauvais logiciel. Il est gratuit, open source, sous licence MIT, écrit en TypeScript et Swift, maintenu par l’OpenClaw Foundation et Peter Steinberger, et il a récolté environ 355 000 étoiles GitHub en cinq mois — parmi les dépôts les plus étoilés de l’histoire, décrit par plus d’un observateur comme le moment Netscape des agents d’IA. Il l’a mérité. Le propos est plus étroit et plus inconfortable : OpenClaw est la plus grande expérience naturelle dont nous disposons sur ce qui se passe quand un agent compétent agit avec l’identité d’un humain, et les résultats sont tombés.

Ce que OpenClaw contient réellement

La description du projet elle-même est ce qui rend le bilan de sécurité lisible — et elle ne mâche pas ses mots. Sa grille de capacités liste « ACCÈS TOTAL AU SYSTÈME : lire et écrire des fichiers, exécuter des commandes shell, lancer des scripts. Accès complet ou sandbox — à vous de choisir. » À côté, « CONTRÔLE DU NAVIGATEUR : il peut naviguer sur le web, remplir des formulaires et extraire des données de n'importe quel site », « MÉMOIRE PERSISTANTE » qui « se souvient de vos préférences, de vos projets et de vos contacts », et la discussion via « l'un de ses 29 canaux ». OpenClaw s'exécute sur votre machine locale et connecte un LLM directement à votre système d'exploitation, à vos fichiers, à vos applications de messagerie et à Internet. Les plateformes de messagerie constituent l'interface principale. Il peut lire et envoyer des e-mails, gérer les calendriers et la messagerie, exécuter du code et enchaîner des flux de travail entre applications et API. Il fonctionne de manière proactive — tâches cron, rappels, travail en arrière-plan — plutôt que seulement lorsqu'on s'adresse à lui.

Chacune de ces capacités est bien réelle et c'est la raison pour laquelle les gens l'utilisent. Mais relisez la liste en tant qu'attaquant, et elle se transforme en inventaire :

Lecture et envoi d'e-mails. Votre boîte de réception est l'endroit où atterrissent les réinitialisations de mot de passe. Un accès en lecture à celle-ci équivaut presque à une prise de contrôle de tous vos comptes ; un accès en envoi signifie que tout ce que l'agent émet porte votre nom.

Accès au système de fichiers et au système d'exploitation. Identifiants locaux, clés SSH, jetons dans les dotfiles, tout ce qui se trouve sur le disque.

Exécution de code. Action arbitraire sur l'hôte.

Sessions connectées. Quelle que soit la session à laquelle votre navigateur est authentifié, l'agent peut agir avec votre pleine autorité et sans plafond.

Planification toujours active. La fenêtre d'exposition est continue, et non limitée à la durée d'une conversation.

Une instance exposée n'est donc pas une fuite de données d'agent. C'est une fuite de l'opérateur.

Le schéma sur l’année

Prenez les événements de 2026 dans leur ensemble et une forme unique émerge, qui est plus utile que n'importe quel incident isolé.

Le nombre d'expositions est une histoire de configuration : des dizaines de milliers de personnes installent un puissant agent local sur le réseau sans le durcir. C'est un résultat prévisible pour un logiciel aussi populaire et aussi facile à installer, et aucun projet ne peut l'empêcher complètement.

CVE-2026-25253, avec un score CVSS de 8,8, est une histoire de sévérité. Des bogues à haute sévérité surviennent dans tous les logiciels. Ce qui fixe le plafond de sévérité, c'est ce que le logiciel peut atteindre — et ici, l'ensemble atteignable est toute la vie numérique de l'utilisateur.

ClawHavoc, une campagne de supply-chain, est une histoire d'écosystème. L'extensibilité d'OpenClaw grâce à ses plugins est un élément majeur de son attrait, et un plugin s'exécute dans le cadre de l'autorité de l'agent. Lorsque cette autorité est l'identité de l'opérateur, un plugin malveillant hérite de l'identité de l'opérateur.

La restriction de mars 2026, dans laquelle les autorités chinoises ont restreint l'utilisation des applications OpenClaw par les entreprises d'État et les agences gouvernementales sur les ordinateurs de bureau, est la réponse institutionnelle — une organisation qui ne peut pas borner ce qu'un agent atteint finira par simplement l'interdire.

La réponse technique du projet jusqu'à août 2026 a été sérieuse et va dans le même sens : des limites plus sûres entre navigateur et réseau, une récupération de canal plus robuste, de meilleurs diagnostics pour les opérateurs, et dans la version 2026.8.1, une sécurité renforcée contre l'exfiltration de secrets, une commutation atomique du modèle et de l'exécution, une sauvegarde et une restauration par instantanés SQLite, et l'isolation du profil de l'application macOS. Les contrôles d'exfiltration de secrets et l'isolation du profil visent tous deux à établir une barrière entre l'agent et les informations d'identification de l'opérateur. C'est le bon instinct, et il est poursuivi depuis l'intérieur d'une architecture où l'agent agit fondamentalement comme l'utilisateur.

Le plafond de durcissement

Voici la thèse structurelle, et c'est tout l'article : vous ne pouvez pas isoler un agent des identifiants qu'il est conçu pour utiliser.

L'isolation des profils, les règles de sortie des secrets et les frontières réseau réduisent toutes la probabilité de fuite accidentelle. Elles ne changent pas ce que l'agent détient légitimement. Si la fonctionnalité est « lit et envoie vos e-mails », alors aucun bac à sable ne peut empêcher l'agent de lire et d'envoyer vos e-mails — c'est l'exigence. Le durcissement fait baisser la probabilité de défaillance ; il laisse le rayon d'explosion exactement là où il était.

Ce qui signifie que la gravité de toute future vulnérabilité d'OpenClaw est plafonnée par l'architecture, et non par l'effort d'ingénierie. Tant que l'autorité de l'agent est l'identité de l'opérateur, « agent compromis » et « utilisateur compromis » restent la même phrase.

Il n'y a que deux façons d'en sortir. Réduire ce que l'agent peut faire, ce qui revient à abandonner le produit. Ou donner à l'agent une identité propre, afin que ce qu'un attaquant capture soit limité par conception.

À quoi ressemble le borné

OrcaID prend la forme d'un compte délivré à l'agent : un identifiant @name résolu en name.orcaid.ai, avec un portefeuille détenant un solde au nom de l'agent, une carte virtuelle verrouillée sur un marchand, débitée sur ce solde, une boîte de réception couvrant l'ensemble du domaine de l'agent et analysée avant que quoi que ce soit n'atteigne le modèle, et un numéro de téléphone enregistré et transcrit. L'opérateur conserve un plafond mensuel strict, un interrupteur d'arrêt en un clic et un relevé unique couvrant les jetons et les dollars.

Exécutez les événements OpenClaw contre cette forme et la différence n'est pas incrémentale :

Instance exposée à Internet. Sous une identité empruntée : L'attaquant obtient vos e-mails, fichiers, carte, sessions. Sous une identité attribuée : L'attaquant obtient le solde de l'agent, plafonné, et sa propre boîte de réception.

RCE de sévérité élevée. Sous une identité empruntée : S'étend à toute votre vie numérique. Sous une identité attribuée : Limitée par ce que cet identifiant a été financé et autorisé à faire.

Plugin malveillant. Sous une identité empruntée : Hérite de votre autorité. Sous une identité attribuée : Hérite de l'autorité de l'agent, laquelle a un plafond.

L'agent doit être arrêté. Sous une identité empruntée : Changez vos propres identifiants, vous enfermant dehors. Sous une identité délivrée : Interrupteur d'arrêt sur la poignée ; vous n'êtes pas affecté.

Après coup. Sous une identité empruntée : Reconstituer à travers courrier, carte, fournisseurs. Sous une identité délivrée : Un registre pour cet agent.

La carte verrouillée sur un commerçant est une bonne illustration de pourquoi les instruments par agent l'emportent sur ceux par utilisateur. Une carte qui ne fonctionne qu'avec des commerçants spécifiques et qui est refusée dès qu'elle dépasse un plafond est un mauvais moyen de paiement à usage général, mais un excellent moyen de paiement pour un agent, car les dépenses légitimes d'un agent sont restreintes et prévisibles, contrairement à celles d'une personne. Vous pouvez contraindre la carte d'un agent d'une manière que vous ne toléreriez jamais sur la vôtre.

La précision obligatoire : sur orcaid.ai, le portefeuille, la carte et le numéro sont étiquetés « par vérification » et la boîte de réception « au lancement ». Il s'agit d'une pré-inscription. Réserver un identifiant est gratuit et n'ouvre pas de compte ni ne démarre de facturation. Et il n'y a aucune intégration OpenClaw — aucune n'a été annoncée, et rien ici ne doit être interprété comme tel. OpenClaw est la preuve, pas l'intégration.

Si vous exécutez OpenClaw aujourd’hui.

Le projet est véritablement utile et ceci n'est pas une recommandation d'arrêter. C'est une recommandation de tarifer honnêtement l'exposition.

Considérez que tout ce que l'agent peut atteindre est dans le périmètre si l'agent est compromis, et réduisez cet ensemble plutôt que d'essayer de le protéger — un utilisateur OS dédié, un compte mail séparé, une carte à faible plafond et aucun accès à votre boîte de réception principale sont tous disponibles maintenant, et chacun réduit réellement le rayon d'explosion. Prenez le durcissement 2026.8.1 au sérieux et mettez à jour, mais ne confondez pas durcissement et isolation. Gardez la surface des plugins aussi petite que possible, car ClawHavoc a montré que l'écosystème est une cible. Et si l'instance est accessible depuis Internet, traitez cela comme l'incident plutôt que comme le risque — 135 000 personnes n'avaient pas l'intention d'être sur cette liste.

Le point à retenir

OpenClaw 2026 est la démonstration disponible la plus claire que l'autonomie sans identité est une architecture de sécurité avec un plafond. Le projet a fait ce qu'il fallait à chaque étape — limites, contrôles de sortie des secrets, isolation des profils — et la gravité du prochain bug sera toujours déterminée par le fait que l'agent agit en tant qu'utilisateur. Ce n'est pas un défaut du code ; c'est une propriété de la conception, partagée par tout agent qui emprunte les identifiants d'un humain pour accomplir quoi que ce soit.

Donner à l’agent son propre nom, son propre solde financé et plafonné, sa propre boîte de réception filtrée et un seul interrupteur à actionner est la version de ceci où un compromis reste un petit événement. OrcaID est aujourd’hui une réservation plutôt qu’un produit livré, et il devrait être jugé au lancement. Mais la démonstration de l’idée a été faite, à grande échelle, par 135 000 instances qui n’avaient jamais vocation à être trouvées.

Note sur les sources : la licence, le langage, les mainteneurs, l'architecture de machine locale d'OpenClaw, sa liste de capacités (lecture/envoi d'e-mails, calendriers, messagerie, exécution de code, workflows inter-applications, planification proactive) et les éléments de durcissement de la version 2026.8.1 proviennent des documents du projet lui-même et de ses notes de version. Les ~355 000 étoiles GitHub, la caractérisation de « moment Netscape », les plus de 135 000 instances exposées, la CVE-2026-25253 (CVSS 8.8), la campagne ClawHavoc visant la chaîne d'approvisionnement, la restriction de mars 2026 imposée par le gouvernement chinois aux entreprises et agences d'État, et le changement de nom suscité par Anthropic rapporté par The Verge, sont tous rapportés de manière indépendante, et ne constituent pas des affirmations du projet. Le wallet, la carte, la boîte de réception et le numéro d'OrcaID, leurs libellés « By verification » et « At launch », ainsi que les contrôles de plafond / kill switch / registre unique proviennent d'orcaid.ai, vérifié le 22/08/2026 — des annonces de pré-inscription plutôt que des capacités réellement livrées. Aucune intégration entre OrcaID et OpenClaw n'a été annoncée.