ClawJacked: dowolna witryna internetowa mogła przeprowadzić atak brute force na lokalnego agenta OpenClaw

ClawJacked – luka w zabezpieczeniach ujawniona przez Oasis Security w open-source'owym agencie AI OpenClaw 26 lutego 2026 r. – pozwalała dowolnej odwiedzonej przez dewelopera stronie internetowej otworzyć połączenie z agentem działającym na jego własnej maszynie i zgadywać jego hasło, aż przejęła nad nim kontrolę. Nie trzeba było żadnego kliknięcia, wtyczki ani monitu. Nagrodą była brama orkiestrująca agenta: intruz, który się do niej dostał, mógł rozmawiać z agentem bezpośrednio, zrzucić jego konfigurację, wylistować wszystkie sparowane urządzenia i odczytać jego logi. Oasis, dostawca oprogramowania do zarządzania dostępem agentowym, zademonstrował cały łańcuch od początku do końca we własnym laboratorium i zgłosił go prywatnie, a OpenClaw wydał poprawkę w ciągu niespełna 24 godzin. Żadne ze źródeł cytowanych w tym artykule nie odnotowuje wykorzystania ataku wobec rzeczywistego użytkownika. Archiwum klasyfikuje ten epizod jako incydent infrastrukturalny o wysokiej wadze, z datą 25 lutego 2026 r. z dokładnością do dnia i bez odnotowanych szkód w świecie rzeczywistym, obok pozostałych swoich wpisów dotyczących OpenClaw w Orca AI Incident Archive.

Trzy wartości domyślne, jeden łańcuch

OpenClaw to samodzielnie hostowany osobisty agent, którym użytkownicy sterują z poziomu panelu internetowego lub terminala, a który łączy się z aplikacjami do komunikacji, kalendarzami i narzędziami programistycznymi oraz działa w ich wnętrzu. W jego centrum znajduje się gateway — lokalny serwer WebSocket, który Oasis określa jako „mózg całej operacji”: obsługuje uwierzytelnianie, przechowuje konfigurację, zarządza sesjami czatu i wysyła polecenia do węzłów, takich jak towarzysząca aplikacja na macOS lub iPhone. Uwierzytelnianie odbywa się za pomocą tokena lub hasła, a gateway domyślnie nasłuchuje na localhost, przy wyraźnym założeniu, że dostęp lokalny jest z natury zaufany (Oasis Security, 26 lutego 2026).

Trzy konsekwencje tego założenia, połączone ze sobą. Po pierwsze, przeglądarki nie stosują reguł pochodzenia krzyżowego do połączeń WebSocket tak jak do zwykłych żądań HTTP, więc JavaScript na dowolnej odwiedzanej przez użytkownika stronie może otworzyć gniazdo do lokalnego portu bramy, nie pokazując niczego na ekranie. Po drugie, mechanizm ograniczania szybkości bramy całkowicie zwalniał połączenia loopback z ograniczeń, więc nieudane próby hasła z 127.0.0.1 nie były liczone, ograniczane ani rejestrowane. Po trzecie, brama automatycznie zatwierdzała parowania urządzeń przychodzące z localhost, więc uwierzytelniony skrypt mógł zarejestrować się jako zaufane urządzenie bez monitu potwierdzenia, który wywołałoby urządzenie zdalne.

Oasis zmierzyło wskaźnik zgadywania we własnym laboratorium i podało go w ujawnieniu: „W naszych testach laboratoryjnych osiągnęliśmy utrzymywane tempo setek prób odgadnięcia hasła na sekundę wyłącznie za pomocą JavaScriptu w przeglądarce. W tym tempie lista popularnych haseł zostaje wyczerpana w mniej niż sekundę, a duży słownik zająłby tylko kilka minut. Hasło wybrane przez człowieka nie ma szans”. BleepingComputer, który poinformował o ujawnieniu 1 marca 2026 r., opisuje te same trzy kroki i tę samą kolejność.

Co zyskuje atakujący i co faktycznie pokazało Oasis

Po uwierzytelnieniu skrypt uzyskiwał sesję operatora z uprawnieniami na poziomie administratora. Oasis wymienia cztery rzeczy, które może następnie wykonać bezpośrednio: wysyłać wiadomości do agenta AI i odczytywać jego odpowiedzi, zrzucać konfigurację bramy, która ujawnia używanych dostawców AI, modele i kanały komunikacji, wyliczać każdy podłączony węzeł wraz z jego platformą i adresem IP oraz odczytywać logi aplikacji. Następnie Oasis opisuje, zamiast demonstrować, eskalację: wydawanie agentowi polecenia przeszukania historii Slacka dewelopera w poszukiwaniu kluczy API, czytanie prywatnych wiadomości, eksfiltrację plików ze sparowanych urządzeń lub uruchamianie dowolnych poleceń powłoki na dowolnym sparowanym węźle. Firma podsumowuje wynik, że w przypadku dewelopera z typowymi integracjami OpenClaw oznacza to „pełne przejęcie stacji roboczej, zainicjowane z karty przeglądarki”.

Demonstracja opublikowana przez Oasis, wraz z nagraniem proof of concept, jest węższa niż ten opis: przeglądarka na niepowiązanej witrynie odgadła hasło bramy, połączyła się z pełnymi uprawnieniami i skutecznie weszła w interakcję z agentem użytkownika, bez pokazania użytkownikowi żadnego sygnału. Eksfiltracja plików i wykonanie poleceń powłoki są opisane jako to, co dostęp umożliwia, a nie jako kroki przeprowadzone w ramach proof of concept. To rozróżnienie ma znaczenie, gdy zapis odczytuje się jako incydent, który miał miejsce, a nie jako zdarzenie zademonstrowane.

Poprawka trafiła do wersji 2026.2.25, a nie do 2026.2.26.

Oasis poinformowało czytelników, aby zaktualizowali do wersji 2026.2.25 lub nowszej, a własny biuletyn OpenClaw zgadza się z tym. Biuletyn GitHub, GHSA-jmmg-jqc7-5qf4, wymienia wersje podatne jako 2026.2.24 i niższe, wersje z poprawką jako 2026.2.25 i wyższe, i przypisuje raport @luz-oasis, liderowi badań Oasis, Eladowi Luzowi. Znacznik czasu w rejestrze npm dla wersji 2026.2.25 to 04:16 UTC 26 lutego 2026, a notatki wydania projektu dla tej wersji opisują poprawkę w sposób, który przekłada się jeden do jednego na trzy domyślne ustawienia: „Security/Gateway WebSocket auth: wymuszaj sprawdzanie origin dla bezpośrednich klientów WebSocket w przeglądarce poza Control UI/Webchat, stosuj ograniczanie nieudanych prób uwierzytelniania hasłem do prób loopback pochodzących z przeglądarki (w tym localhost) i blokuj ciche automatyczne parowanie dla klientów przeglądarki innych niż Control UI.”

Dwa z doniesień prasowych podają inną liczbę. BleepingComputer twierdzi, że poprawka została „wydana w wersji 2026.2.26 26 lutego”, a SecurityAffairs powtarza, że 2026.2.26 była wersją, która rozwiązała problem, podczas gdy jego własny akapit z zaleceniami mówi czytelnikom, aby zaktualizowali do 2026.2.25 lub nowszej. Infosecurity Magazine, opisując ujawnienie 2 marca 2026 r., podaje 2026.2.25. Wersja 2026.2.26 istnieje, ale npm odnotowuje ją o 23:59 UTC 26 lutego, około dwadzieścia godzin po 2026.2.25, a jej informacje stanowią osobną partię wzmocnień zabezpieczeń. Poprawka, której powinien szukać czytelnik, to ta w wersji 2026.2.25.

Identyfikator pojawił się później. {{1}}Biuletyn GitHub został opublikowany 3 marca 2026 r. pod numerem CVE-2026-32025, a wpis NVD dotyczący tego zagrożenia opublikowano 19 marca 2026 r. z bazowym wynikiem CVSS 3.1 wynoszącym 7,5; NVD jako główny oceniający oraz VulnCheck jako drugorzędny oceniający ocenili go jako wysoki.{{/1}} {{2}}Sam biuletyn jest ostrożniejszy niż ocena: jego własne pole ważności wskazuje umiarkowaną, a w tekście błąd nazwano „poważnym, ale warunkowym”, wymieniając cztery warunki wstępne — bramę osiągalną przez loopback, używane uwierzytelnianie hasłem, otwarcie przez ofiarę treści internetowej kontrolowanej przez atakującego oraz hasło możliwe do odgadnięcia w wykonalnej liczbie prób.{{/2}} {{3}}Wyraźnie stwierdza też, czym błąd nie jest: „To nie jest sam w sobie problem klasy RCE związany z nieuwierzytelnionym dostępem wystawionym na internet; to lokalna luka w utwardzaniu uwierzytelniania w kontekście pochodzenia z przeglądarki, o znaczącym wpływie w powyższych warunkach”.{{/3}}

Skąd pochodzi 42 665 i dlaczego nie jest to liczba ClawJacked

Podsumowanie archiwum odnotowuje, że w momencie ujawnienia eksponowanych było 42 665 instancji, i zauważa, że SecurityScorecard podaje inną liczbę — 40 214, z których 35,4% było podatnych. Żadne z trzech źródeł cytowanych dla tego rekordu nie zawiera żadnej z tych liczb — Oasis, BleepingComputer i SecurityAffairs opisują tę podatność bez podawania liczby zainstalowanych egzemplarzy. Obie liczby pochodzą skądinąd i obie opublikowano, zanim ClawJacked istniał.

Liczba 42,665 pochodzi z niezależnego skanu. Maor Dayan, badacz bezpieczeństwa, który opublikował swoje ustalenia na Medium, zbudował skaner o nazwie ClawdHunter v3.0 i uruchomił go na danych Shodan i Censys zebranych między 28 a 31 stycznia 2026 r., podając „co najmniej 42,665 instancji” OpenClaw publicznie eksponowanych w internecie, z czego 5,194 aktywnie zweryfikowano jako podatne, a 93.4% spośród zweryfikowanych wykazywało obejście uwierzytelniania. Liczba 40,214 pochodzi od zespołu STRIKE firmy SecurityScorecard, który w badaniu opublikowanym 9 lutego 2026 r. zliczył instancje OpenClaw eksponowane w internecie i oznaczył 15.2K jako podatne na zdalne wykonanie kodu, przy czym „35.4% zaobserwowanych wdrożeń oznaczono jako podatne”. Własne punkty podsumowania SecurityScorecard podają 42.9K unikalnych adresów IP hostujących eksponowane panele sterowania, obok 40,214 potwierdzonych instancji w treści raportu — dwa różne pomiary w jednym raporcie.

Żadna z tych liczb nie mierzy zasięgu ClawJacked, ponieważ obie liczą instancje odpowiadające na publicznym interfejsie. Warunkiem wstępnym ClawJacked jest konfiguracja odwrotna: brama powiązana z pętlą zwrotną, w trybie hasła, na maszynie, której użytkownik wchodzi na wrogą stronę. Serwer policzony w skanie całego internetu może znajdować się za własnym uwierzytelnianiem i pozostawać nietknięty przez ten błąd, podczas gdy laptop, który nigdy nie pojawia się w takim skanie, jest dokładnie celem opisanym przez Oasis. Sformułowanie samego archiwum – „w momencie ujawnienia” – przypisuje zatem styczniową liczbę populacji do lutowej podatności. Liczby te są rzeczywistymi pomiarami tego, jak bardzo OpenClaw był eksponowany; nie są liczbą maszyn, które ClawJacked mógł przejąć. Ten artykuł nie rozstrzyga sporu – zapis nie jest oznaczony jako sporny – ale pochodzenie obu liczb można zweryfikować i nie wspiera ono ujęcia „w momencie ujawnienia”.

Co jest ustalone, a co nie

Ustalono: że firma Oasis Security znalazła ten łańcuch i zademonstrowała go w laboratorium; że własny komunikat doradczy i informacje o wydaniu OpenClaw potwierdzają wszystkie trzy zachowania — brak egzekwowania origin dla klientów WebSocket w przeglądarce, brak ograniczania liczby prób hasła przez loopback, ciche automatyczne parowanie — oraz że wersja 2026.2.25 zmieniła każde z nich; że poprawka została wydana w ciągu dnia od zgłoszenia; oraz że trzy media spoza bloga samego odkrywcy opisały tę sprawę. Ocena pewności A w archiwum jest spójna z tym zapisem, a żadna z zaangażowanych stron nie kwestionuje przedstawionych tu informacji.

Nie ustalono: że ktokolwiek to wykorzystał. Nie podano tu żadnego źródła, a w relacjach wokół ujawnienia nie znaleziono żadnego, które donosiłoby o rzeczywistym naruszeniu, ofierze lub przejętych danych. Przypadek Oasis to demonstracja laboratoryjna, a opis przedstawia możliwości atakującego, a nie zaobserwowany atak. Jest to spójne z tym, że archiwum nie odnotowuje rzeczywistych szkód, i stanowi najważniejsze zastrzeżenie w tej historii: to zapis podatności, a nie raport o naruszeniu.

Dwie krążące etykiety są błędne i obie łatwo odziedziczyć. Kilka wtórnych opracowań przypisuje CVE-2026-25253 do ClawJacked. Rekord NVD dla tego identyfikatora opisuje inny błąd w tym samym produkcie: OpenClaw przed 2026.1.29 pobierający gatewayUrl z ciągu zapytania i łączący się z nim bez monitowania, wysyłając przy tym token — jednoklikowa kradzież tokena z wynikiem CVSS 8.8, opublikowana 1 lutego 2026 r. i naprawiona 29 stycznia. To styczniowa podatność, o innym mechanizmie i innej łatce. Identyfikatorem ClawJacked jest CVE-2026-32025. Infosecurity Magazine natomiast opisał ClawJacked jako pośrednie wstrzyknięcie promptu; łańcuch udokumentowany przez Oasis nie obejmuje żadnego promptu ani żadnej decyzji modelu — to obejście uwierzytelniania kończące się sesją operatora.

Co się potem zmieniło?

OpenClaw załatał go, opublikował biuletyn i oddał uznanie zgłaszającemu, a CVE przypisano w ciągu tygodnia od publicznego opisu. Rekomendacje Oasis dla organizacji wykraczają poza samą łatkę: zinwentaryzować, jakie agenty i asystenci działają na maszynach deweloperów, zaktualizować każdą instancję, przeaudytować, jakie poświadczenia i uprawnienia ma każdy z nich, i odebrać te nieużywane, a także zarządzać agentami jako tożsamościami niebędącymi ludźmi, z kontrolami intencji, egzekwowaniem zasad, dostępem just-in-time i ścieżką audytu od człowieka przez agenta po działanie. Firma sprzedaje oprogramowanie z tej ostatniej kategorii, co warto wiedzieć, oceniając ostatnią rekomendację na tle pierwszych trzech.

Szerszy kontekst jest taki, że ClawJacked był jednym z biuletynów w lawinie. Baza biuletynów doradczych GitHub zawiera dużą partię biuletynów OpenClaw datowanych na 3 marca 2026 r. — tego samego dnia, w którym opublikowano biuletyn ClawJacked — obejmujących odrębne błędy uwierzytelniania, parowania, path traversal i ucieczki z piaskownicy w wersjach od 2026.2.19 do 2026.2.26. Wzorzec, który zachowuje rekord ClawJacked, jest węższy niż „agenci AI są niebezpieczni” i bardziej użyteczny: brama traktowała loopback jako granicę zaufania, a przeglądarka sprawiła, że to założenie okazało się fałszywe. Każda usługa lokalna, która zwalnia 127.0.0.1 z ograniczania tempa, oraz każdy proces parowania urządzeń, który automatycznie zatwierdza lokalnych wywołujących, dziedziczy ten sam kształt, niezależnie od tego, czy stoi za nim model AI. W tym przypadku model nigdy nie był podatnym komponentem — był nim otaczająca go warstwa uwierzytelniania.