Gli infostealer iniziano a raccogliere configurazioni e token del gateway di OpenClaw

A febbraio 2026 un info-stealer commerciale ha sottratto l'ambiente di configurazione di un agente OpenClaw da una macchina infetta: il file JSON contenente il token del gateway dell'agente, il file JSON contenente la sua chiave di firma del dispositivo e i file Markdown che definiscono la sua persona e la sua memoria. Hudson Rock, la società di threat intelligence che ha pubblicato la scoperta, l'ha definita una pietra miliare nel comportamento degli stealer, descrivendo un passaggio dalle credenziali del browser alle identità degli agenti AI personali; BleepingComputer ha riportato l'affermazione della società secondo cui si trattava del primo caso di questo tipo osservato in natura, e anche The Hacker News ne ha parlato quel mese. Lo stealer non era stato creato per OpenClaw. Secondo il resoconto di Hudson Rock, una routine generica di acquisizione di file ha setacciato estensioni e nomi di directory sensibili come .openclaw e ha prelevato la cartella incidentalmente, motivo per cui la società descrive il malware come qualcosa che ha trovato l'oro anziché aver dato la caccia all'agente. L'archivio classifica l'episodio come un incidente di credenziali ad alta gravità con confidenza B, non contestato, con danni reali registrati, e l'Orca AI Incident Archive conserva questo record insieme alle sue voci OpenClaw adiacenti, ciascuna valutata in base alle proprie prove.

Tre file, e ciò che ciascuno sblocca

OpenClaw, in precedenza Clawdbot e Moltbot, è un agente AI personale self-hosted che mantiene uno stato persistente in file sulla macchina dell'utente. Il resoconto di Hudson Rock, sintetizzato da The Hacker News e da BleepingComputer, elenca tre elementi prelevati dalla directory OpenClaw della vittima. openclaw.json conteneva un indirizzo Gmail parzialmente oscurato, il percorso del workspace e un token del gateway ad alta entropia memorizzato in gateway.auth.token. La nota tecnica di Hudson Rock afferma che quel token consentirebbe a un attaccante di connettersi da remoto all'istanza OpenClaw locale della vittima se la porta è esposta, oppure di impersonare il client nelle richieste autenticate al gateway AI.

device.json conteneva publicKeyPem e privateKeyPem del dispositivo dell'utente, la coppia di chiavi che OpenClaw usa per l'accoppiamento e per le operazioni di firma. Secondo Hudson Rock, con la metà privata un attaccante può firmare messaggi a nome del dispositivo della vittima, aggirando potenzialmente i controlli "Safe Device" e raggiungendo i registri cifrati o i servizi cloud accoppiati a quel dispositivo. soul.md, insieme ai file di memoria AGENTS.md e MEMORY.md, conteneva i principi operativi dell'agente, le linee guida comportamentali e i confini etici e, secondo la descrizione dell'azienda, conteneva probabilmente registri giornalieri dell'attività dell'utente, messaggi privati ed eventi di calendario — quella che l'azienda definisce una mappa della vita dell'utente.

Un dettaglio nel resoconto del fornitore merita di essere distinto dal resto. Hudson Rock ha passato i file rubati al proprio sistema di IA, Enki, per una valutazione automatizzata del rischio, e la sintesi di quell'output è che token, chiavi e contesto personale insieme equivalgono a un compromesso totale dell'identità digitale dell'utente. Si tratta di un modello di rischio applicato ai file. Non è la registrazione di ciò che un attaccante ha fatto con essi.

Il meccanismo era un insieme eterogeneo, non una voce di una checklist

Il riepilogo in una riga dell'archivio afferma che le credenziali degli agenti sono "entrate formalmente nella checklist standard degli infostealer". Il documento sottostante dice qualcosa di più circoscritto. Hudson Rock è esplicito nel dire che non è stato coinvolto alcun modulo specifico per OpenClaw: il malware eseguiva una routine generica che raccoglieva file per estensione e per nome di directory, e .openclaw corrispondeva. Alon Gal, co-fondatore e CTO di Hudson Rock, ha dichiarato a BleepingComputer che la routine analizzava file e directory contenenti parole chiave come "token" e "private key".

Il modulo dedicato è una previsione, non un'osservazione. Hudson Rock scrive che, man mano che agenti come OpenClaw diventano più integrati nei flussi di lavoro professionali, gli sviluppatori di stealer probabilmente rilasceranno moduli progettati specificamente per decrittografare e analizzare questi file, proprio come fanno oggi per Chrome o Telegram. Il 26 gennaio 2026 la stessa azienda aveva pubblicato un post intitolato ClawdBot: il nuovo obiettivo principale degli infostealer nell'era dell'AI, sostenendo che l'agente conserva memorie, profili e token di autenticazione in Markdown e JSON in chiaro, spesso leggibili da qualsiasi processo in esecuzione come l'utente. Il caso di febbraio è la prima volta in cui ha segnalato che quella previsione si è concretizzata su una macchina reale.

La distinzione non è accademica. Una scansione incidentale significa che l'esposizione è una proprietà di dove l'agente custodisce i propri segreti, non del fatto che gli attaccanti abbiano deciso di dare la caccia a OpenClaw. Se arrivano i parser, gli stessi file diventano leggibili su larga scala anziché semplicemente raccoglibili, e la questione difensiva si sposta dai permessi di directory a ciò che un token di gateway e una chiave di dispositivo possono ancora raggiungere una volta che sono spariti.

Una sola macchina, un solo fornitore e una lunga serie di ripetizioni

Il post di Hudson Rock descrive una vittima, al singolare, e pubblica screenshot dell'albero delle directory di una macchina infetta. Non dice da quante macchine provenga il campione, e nessuna delle testate consultate per questo articolo aggiunge un secondo caso. Bill Toulas di BleepingComputer ha parlato direttamente con Gal e riporta dettagli che il post di Hudson Rock non contiene — l'attribuzione a Vidar e la scansione basata su parole chiave — ma l'osservazione di fondo resta una singola infezione, osservata da un solo fornitore. Infosecurity Magazine e SecurityAffairs hanno ribadito la stessa conclusione entro un giorno dal post di Hudson Rock, e ThaiCERT l'ha ripetuta in un avviso il 25 febbraio 2026. La ripetizione di un rapporto di un fornitore da parte di un CERT nazionale è amplificazione, non conferma indipendente.

Questo è ciò che registra il livello di confidenza B dell'archivio: documentato, ma da una fonte unica o secondaria. La voce è inoltre datata a febbraio 2026 con precisione mensile; il resoconto di BleepingComputer colloca il furto in una data più circoscritta, ma l'archivio riporta solo il mese, e questo articolo si attiene alla precisione dell'archivio. Nulla di quanto letto per questo articolo contesta il resoconto di Hudson Rock, e la voce è contrassegnata come non contestata. L'avvertenza non è una contraddizione. È che l'inquadramento come pietra miliare — il primo caso reale, il passaggio dalle credenziali del browser alle identità degli agenti — è una caratterizzazione dell'azienda che ha trovato il campione, e non esiste una base di riferimento pubblica rispetto alla quale verificare "primo".

Nessun CVE è stato assegnato. Nelle fonti consultate per questo articolo non compare alcun avviso di sicurezza di OpenClaw che affronti questo furto, e nessun regolatore ha pubblicato un proprio accertamento in merito: l'unico documento di area governativa individuato è l'avviso di ThaiCERT, che ribadisce il rapporto di Hudson Rock. A differenza di un difetto del software, questo incidente non ha una patch da indicare, perché i file non stavano facendo nulla che il software considerasse sbagliato. Erano presenti in chiaro sul disco, accanto all'agente.

Ciò che il fascicolo non stabilisce

• Nessuna fonte consultata per questo articolo mostra l'uso di un token del gateway o di una chiave del dispositivo rubati. I danni descritti da Hudson Rock sono sempre condizionali — "se la porta è esposta", "potenzialmente aggirando" — e la copertura mediatica che li ripete non aggiunge alcuna intrusione dimostrata.

• L'attribuzione a Vidar è formulata con cautela da parte dell'azienda che l'ha effettuata. Gal ha descritto il campione come probabilmente una variante di Vidar, uno stealer pronto all'uso attivo dalla fine del 2018, sulla base dei dettagli dell'infezione; nessun hash pubblicato, né analisi del campione o confronto tra famiglie compare nelle fonti consultate qui.

• Il numero di utenti colpiti è sconosciuto. Hudson Rock ha segnalato una sola vittima e non ha fornito alcun conteggio di macchine aggiuntive, né alcun successivo resoconto reperito per questo articolo ne ha fornito uno.

Non è stabilito da alcuna fonte consultata qui se il materiale rubato sia stato scambiato, venduto o indicizzato da qualche servizio criminale.

• Il vero danno che il documento segnala è l'esfiltrazione stessa: le credenziali e le chiavi di una macchina reale hanno lasciato la macchina. È una soglia più bassa rispetto a un'acquisizione del controllo, e il documento non sostiene che vi sia stata un'acquisizione del controllo.

Cosa era già cambiato e cosa non copriva

OpenClaw ha annunciato una partnership con VirusTotal il 7 febbraio 2026, prima che Hudson Rock pubblicasse il proprio resoconto. L'accordo analizza ogni skill caricata su ClawHub: la impacchetta, ne calcola l'hash, verifica l'hash su VirusTotal ed esegue l'analisi Code Insight di VirusTotal su qualsiasi elemento non ancora visto; il progetto ha affiancato a questo un modello di minaccia e un audit per potenziali configurazioni errate. Interessa il marketplace. Non crittografa openclaw.json sul disco di un utente e non fa nulla contro il malware già in esecuzione sull'endpoint che legge la directory home, che è il vettore in questo caso.

La cosa più vicina a una guida mirata a questo tipo di fallimento è di natura consultiva anziché tecnica. La nota di ThaiCERT del 25 febbraio 2026 ripete la scoperta di Hudson Rock e raccomanda di eseguire gli agenti in macchine virtuali o container isolati (sandbox) con privilegi minimi, evitando l'accesso diretto ai dati sensibili, verificando la fonte di ogni skill installata, monitorando i log delle attività e preparando un piano di risposta agli incidenti che includa reset completi del sistema e rotazione delle credenziali. Il resoconto pubblico di OpenClaw sul proprio lavoro in materia di sicurezza, pubblicato nell'aprile 2026, afferma che i segreti sono stati spostati da un approccio basato su «state attenti» verso riferimenti, affinché le credenziali non risiedano nei prompt, nei log, nelle trascrizioni o nello stato dell'agente — la stessa direzione, sebbene quel post non affronti i file di configurazione documentati da Hudson Rock.

Quello a cui prestare attenzione è se compariranno parser dedicati. La previsione di Hudson Rock è che compariranno, e il suo post di gennaio è il motivo per prendere sul serio la previsione, anziché considerare il campione di febbraio come la sua prova. Fino ad allora, il caso resta un singolo furto ben documentato: stato dell'agente in testo in chiaro, prelevato da uno stealer che non lo stava cercando, con il danno valutato dal fornitore anziché osservato sul campo.