ClawJacked: situs web mana pun dapat melakukan brute-force pada agen OpenClaw lokal

ClawJacked, kerentanan yang diungkapkan Oasis Security dalam agen AI sumber terbuka OpenClaw pada 26 Februari 2026, memungkinkan situs web mana pun yang dikunjungi pengembang membuka koneksi ke agen yang berjalan di mesin mereka sendiri dan menebak kata sandinya sampai agen itu menyerahkan kendali. Tidak perlu klik, plugin, atau prompt. Sasarannya adalah gateway yang mengorkestrasi agen: penyusup yang berhasil masuk dapat berbicara langsung dengan agen, membuang konfigurasinya, mendaftar setiap perangkat yang dipasangkan, dan membaca lognya. Oasis, vendor perangkat lunak manajemen akses agentik, mendemonstrasikan rantai serangan itu secara menyeluruh di laboratoriumnya sendiri dan melaporkannya secara privat, dan OpenClaw merilis perbaikan dalam waktu kurang dari 24 jam. Tidak ada sumber yang dikutip dalam artikel ini yang mencatat serangan tersebut digunakan terhadap pengguna nyata. Arsip tersebut mengarsipkan episode ini sebagai insiden infrastruktur berkeparahan tinggi dengan tanggal presisi hari 25 Februari 2026 dan tanpa kerugian dunia nyata yang tercatat, bersama entri OpenClaw lainnya di Orca AI Incident Archive.

Tiga default, satu rantai

OpenClaw adalah agen pribadi yang di-host sendiri yang dioperasikan penggunanya dari dasbor web atau terminal, dan yang terhubung ke aplikasi pesan, kalender, serta alat pengembang dan bertindak di dalamnya. Di pusatnya terdapat gateway, server WebSocket lokal yang oleh Oasis disebut sebagai "otak dari operasi ini": gateway tersebut menangani autentikasi, menyimpan konfigurasi, mengelola sesi obrolan, dan mengirimkan perintah ke node seperti aplikasi pendamping macOS atau iPhone. Autentikasi dilakukan dengan token atau kata sandi, dan gateway secara default terikat ke localhost, dengan asumsi eksplisit bahwa akses lokal pada dasarnya dipercaya (Oasis Security, 26 Februari 2026).

Tiga konsekuensi dari asumsi tersebut yang saling berkaitan. Pertama, browser tidak menerapkan aturan lintas-origin pada koneksi WebSocket seperti yang diterapkannya pada permintaan HTTP biasa, sehingga JavaScript di halaman mana pun yang dikunjungi pengguna dapat membuka soket ke porta gateway lokal tanpa ada yang terlihat di layar. Kedua, pembatas laju gateway mengecualikan koneksi loopback sepenuhnya, sehingga upaya kata sandi yang gagal dari 127.0.0.1 tidak dihitung, dibatasi, atau dicatat. Ketiga, gateway menyetujui secara otomatis pemasangan perangkat yang datang dari localhost, sehingga skrip yang terautentikasi dapat mendaftarkan dirinya sebagai perangkat tepercaya tanpa perintah konfirmasi yang akan dipicu oleh perangkat jarak jauh.

Oasis mengukur tingkat tebakan di laboratoriumnya sendiri dan melaporkannya dalam pengungkapan tersebut: "Dalam pengujian lab kami, kami mencapai tingkat berkelanjutan ratusan tebakan kata sandi per detik hanya dari JavaScript browser. Pada kecepatan itu, daftar kata sandi umum habis dalam waktu kurang dari satu detik, dan kamus besar hanya akan memakan waktu beberapa menit. Kata sandi yang dipilih manusia tidak punya peluang." BleepingComputer, yang meliput pengungkapan itu pada 1 Maret 2026, menggambarkan tiga langkah yang sama dan urutan yang sama.

Apa yang didapat penyerang, dan apa yang sebenarnya ditunjukkan Oasis

Setelah terautentikasi, skrip tersebut memegang sesi operator dengan izin tingkat admin. Oasis mencantumkan empat hal yang kemudian dapat dilakukannya secara langsung: mengirim pesan ke agen AI dan membaca balasannya, membuang konfigurasi gateway, yang mengungkap penyedia AI, model, dan saluran perpesanan yang digunakan, mengenumerasi setiap node yang terhubung beserta platform dan alamat IP-nya, serta membaca log aplikasi. Dari sana Oasis menjelaskan, alih-alih mendemonstrasikan, eskalasinya: menginstruksikan agen untuk mencari kunci API di riwayat Slack pengembang, membaca pesan pribadi, mengeksfiltrasi file dari perangkat yang dipasangkan, atau menjalankan perintah shell arbitrer pada node mana pun yang dipasangkan. Ringkasan perusahaan atas hasilnya adalah bahwa bagi pengembang dengan integrasi OpenClaw yang tipikal, hal ini setara dengan "kompromi penuh workstation, yang dimulai dari tab browser".

Demonstrasi yang diterbitkan Oasis, dengan video proof of concept, lebih sempit daripada deskripsi itu: sebuah browser di situs yang tidak terkait menebak kata sandi gateway, terhubung dengan izin penuh dan berhasil berinteraksi dengan agen pengguna, tanpa indikasi apa pun yang ditunjukkan kepada pengguna. Eksfiltrasi file dan eksekusi shell dijelaskan sebagai hal yang dimungkinkan oleh akses tersebut, bukan sebagai langkah yang dilakukan proof of concept itu. Perbedaan itu penting ketika catatan dibaca sebagai insiden yang benar-benar terjadi alih-alih sebagai insiden yang didemonstrasikan.

Patch tersebut masuk di 2026.2.25, bukan di 2026.2.26

Oasis memberi tahu pembaca untuk memperbarui ke versi 2026.2.25 atau yang lebih baru, dan advisory OpenClaw sendiri sependapat. Advisory GitHub, GHSA-jmmg-jqc7-5qf4, mencantumkan versi yang terdampak sebagai 2026.2.24 dan sebelumnya, versi yang telah ditambal sebagai 2026.2.25 dan sesudahnya, serta mencantumkan kredit laporan kepada @luz-oasis, yakni Elad Luz, pimpinan riset Oasis. Stempel waktu registri npm untuk 2026.2.25 adalah 04:16 UTC pada 26 Februari 2026, dan catatan rilis proyek untuk versi tersebut menjelaskan perbaikannya dengan istilah yang memetakan satu-ke-satu ke tiga default: “Security/Gateway WebSocket auth: tegakkan pemeriksaan origin untuk klien WebSocket browser langsung di luar Control UI/Webchat, terapkan pembatasan laju kegagalan autentikasi kata sandi pada upaya loopback yang berasal dari browser (termasuk localhost), dan blokir pemasangan otomatis secara senyap untuk klien browser non-Control-UI.”

Dua dari laporan berita tersebut menyebutkan nomor yang berbeda. BleepingComputer menyatakan perbaikannya "dirilis dalam versi 2026.2.26 pada 26 Februari", dan SecurityAffairs mengulangi bahwa 2026.2.26 adalah rilis yang mengatasi masalah tersebut, sementara paragraf sarannya sendiri memberitahu pembaca untuk memperbarui ke 2026.2.25 atau lebih baru. Infosecurity Magazine, dalam liputannya tentang pengungkapan pada 2 Maret 2026, mengutip 2026.2.25. Rilis 2026.2.26 memang ada, tetapi npm mencatatnya pada 23:59 UTC tanggal 26 Februari, sekitar dua puluh jam setelah 2026.2.25, dan catatannya merupakan kumpulan pengerasan yang terpisah. Perbaikan yang harus dicari pembaca adalah yang ada di 2026.2.25.

Pengenal tersebut muncul kemudian. Advisory GitHub diterbitkan pada 3 Maret 2026 dengan CVE-2026-32025, dan catatan NVD untuk itu diterbitkan pada 19 Maret 2026 dengan skor dasar CVSS 3.1 sebesar 7.5, dinilai tinggi oleh NVD sebagai penilai utama dan oleh VulnCheck sebagai penilai sekunder. Advisory itu sendiri lebih berhati-hati daripada skornya: bidang tingkat keparahannya sendiri menyebut sedang, dan teksnya menyebut bug tersebut "serius, tetapi bersyarat", dengan merinci empat prasyarat — gateway dapat dijangkau melalui loopback, autentikasi kata sandi digunakan, korban membuka konten web yang dikendalikan penyerang, dan kata sandi dapat ditebak dalam jumlah percobaan yang layak. Dokumen itu juga menyatakan secara gamblang apa yang bukan merupakan bug tersebut: "Ini bukan masalah RCE yang terekspos internet tanpa autentikasi dengan sendirinya; ini adalah celah pengerasan autentikasi berbasis origin browser lokal dengan dampak berarti pada kondisi di atas."

Dari mana 42,665 berasal, dan mengapa itu bukan angka ClawJacked

Ringkasan arsip mencatat bahwa 42,665 instans terekspos pada saat pengungkapan, dan mencatat bahwa SecurityScorecard memberikan angka berbeda, yaitu 40,214, yang 35.4% di antaranya rentan. Tidak satu pun dari tiga sumber yang dikutip untuk catatan ini memuat salah satu angka tersebut — Oasis, BleepingComputer, dan SecurityAffairs semuanya mendeskripsikan kerentanan tanpa menyertakan jumlah basis terpasang. Kedua angka berasal dari tempat lain, dan keduanya diterbitkan sebelum ClawJacked ada.

Angka 42.665 merupakan pemindaian independen. Maor Dayan, peneliti keamanan yang memublikasikan temuannya di Medium, membuat pemindai bernama ClawdHunter v3.0 dan menjalankannya atas data Shodan dan Censys yang dikumpulkan antara 28 dan 31 Januari 2026, lalu melaporkan "setidaknya 42.665 instance" OpenClaw yang terekspos publik di internet, yang 5.194 di antaranya terverifikasi aktif sebagai rentan dan 93,4% dari yang terverifikasi menunjukkan bypass autentikasi. Angka 40.214 berasal dari tim STRIKE SecurityScorecard, dalam riset yang diterbitkan pada 9 Februari 2026, yang menghitung instance OpenClaw yang terekspos internet dan menandai 15,2K sebagai rentan terhadap eksekusi kode jarak jauh, dengan "35,4% dari deployment yang diamati ditandai sebagai rentan". Poin ringkasan SecurityScorecard sendiri menyebutkan 42,9K alamat IP unik yang menghosting panel kontrol terekspos, di samping 40.214 instance terkonfirmasi dalam teks isinya — dua pengukuran berbeda dalam satu laporan.

Tidak ada dari kedua angka itu yang mengukur jangkauan ClawJacked, karena keduanya menghitung instans yang merespons pada antarmuka publik. Prasyarat ClawJacked adalah konfigurasi yang berlawanan: gateway yang terikat ke loopback, dalam mode kata sandi, pada mesin yang penggunanya menjelajah ke halaman berbahaya. Server yang terhitung dalam pemindaian seluruh internet mungkin berada di balik autentikasinya sendiri dan tidak tersentuh bug ini, sedangkan laptop yang tidak pernah muncul dalam pemindaian semacam itu justru merupakan target persis seperti yang dijelaskan Oasis. Frasa arsip itu sendiri, “pada saat pengungkapan”, dengan demikian melekatkan hitungan populasi Januari pada kerentanan Februari. Angka-angka itu adalah pengukuran nyata atas seberapa besar OpenClaw terpapar; angka itu bukan hitungan mesin yang bisa diambil alih ClawJacked. Artikel ini tidak memutus sengketa — catatan tersebut tidak ditandai sebagai disengketakan — tetapi asal-usul kedua angka itu dapat diperiksa dan tidak mendukung pembingkaian “pada saat pengungkapan”.

Apa yang sudah mapan, dan apa yang belum

Terbukti: bahwa Oasis Security menemukan rantai tersebut dan mendemonstrasikannya di laboratorium; bahwa advisory dan catatan rilis OpenClaw sendiri mengonfirmasi ketiga perilaku tersebut — tidak adanya penegakan origin untuk klien WebSocket peramban, tidak adanya pembatasan laju untuk percobaan kata sandi loopback, pemasangan otomatis secara senyap — dan bahwa 2026.2.25 mengubah masing-masingnya; bahwa perbaikannya dirilis dalam waktu satu hari setelah laporan; dan bahwa tiga media di luar blog milik penemu sendiri meliputnya. Peringkat keyakinan A dari arsip konsisten dengan catatan tersebut, dan tidak ada hal di sini yang disengketakan oleh pihak-pihak yang terlibat.

Belum terbukti: bahwa ada orang yang menggunakannya. Tidak ada sumber yang dikutip di sini, dan tidak ada yang ditemukan dalam pemberitaan seputar pengungkapan tersebut, yang melaporkan kompromi di dunia nyata, korban, atau data yang diambil. Yang dilakukan Oasis adalah demonstrasi laboratorium dan tulisan tersebut menggambarkan kemampuan penyerang alih-alih serangan yang teramati. Hal itu konsisten dengan arsip yang mencatat tidak adanya kerugian nyata, dan ini merupakan kualifikasi terpenting dalam kisah ini: ini adalah catatan kerentanan, bukan laporan pelanggaran.

Dua label yang beredar salah, dan keduanya mudah diwarisi. Beberapa tulisan sekunder mengaitkan CVE-2026-25253 dengan ClawJacked. Catatan NVD untuk pengenal tersebut menjelaskan bug yang berbeda pada produk yang sama: OpenClaw sebelum 2026.1.29 mengambil gatewayUrl dari query string dan terhubung ke sana tanpa meminta konfirmasi sambil mengirim token, pencurian token satu klik dengan skor CVSS 8.8, diterbitkan pada 1 Februari 2026 dan diperbaiki pada 29 Januari. Itu adalah kerentanan Januari, dengan mekanisme dan patch yang berbeda. Pengenal ClawJacked adalah CVE-2026-32025. Sementara itu, Infosecurity Magazine menggambarkan ClawJacked sebagai indirect prompt injection; rantai yang didokumentasikan Oasis tidak melibatkan prompt maupun keputusan model sama sekali — itu adalah authentication bypass yang berakhir pada sesi operator.

Apa yang berubah setelahnya

OpenClaw menambalnya, menerbitkan advisory dan memberi kredit kepada pelapor, serta CVE ditetapkan dalam waktu seminggu setelah laporan publik. Rekomendasi Oasis kepada organisasi melampaui patch: inventarisasi agen dan asisten mana yang berjalan di seluruh mesin pengembang, perbarui setiap instans, audit kredensial dan kapabilitas yang dimiliki masing-masing serta cabut yang tidak digunakan, dan kelola agen sebagai identitas non-manusia dengan pemeriksaan intent, penegakan kebijakan, akses just-in-time, dan jejak audit dari manusia ke agen ke tindakan. Perusahaan itu menjual perangkat lunak dalam kategori terakhir, yang perlu diketahui saat menimbang rekomendasi terakhir terhadap tiga rekomendasi pertama.

Konteks yang lebih luas adalah bahwa ClawJacked hanyalah satu advisory di tengah banjir advisory. Basis data advisory GitHub memuat banyak sekali advisory OpenClaw bertanggal 3 Maret 2026 — hari yang sama saat advisory ClawJacked diterbitkan — yang mencakup bug autentikasi, pairing, path-traversal, dan sandbox-escape yang terpisah pada versi 2026.2.19 hingga 2026.2.26. Pola yang dipertahankan oleh catatan ClawJacked lebih sempit daripada "agen AI tidak aman" dan lebih berguna: gateway memperlakukan loopback sebagai batas kepercayaan, dan browser membuat asumsi itu menjadi keliru. Layanan lokal apa pun yang mengecualikan 127.0.0.1 dari pembatasan laju, dan alur pairing perangkat apa pun yang menyetujui pemanggil lokal secara otomatis, mewarisi bentuk yang sama terlepas dari apakah ada model AI di belakangnya. Dalam kasus ini, model tidak pernah menjadi komponen yang rentan — lapisan autentikasi di sekitarnya lah yang rentan.