ClawJacked: vilken webbplats som helst kunde brute-forcea en lokal OpenClaw-agent

ClawJacked, en sårbarhet som Oasis Security avslöjade i den öppna AI-agenten OpenClaw den 26 februari 2026, gjorde att vilken webbplats som helst som en utvecklare besökte kunde öppna en anslutning till agenten som kördes på utvecklarens egen maskin och gissa dess lösenord tills den lämnade över kontrollen. Inget klick, inget plugin och ingen prompt behövdes. Vinsten var gatewayen som orkestrerar agenten: en inkräktare som tog sig in kunde tala direkt med agenten, dumpa dess konfiguration, lista alla parkopplade enheter och läsa dess loggar. Oasis, en leverantör av programvara för agentisk åtkomsthantering, demonstrerade kedjan från början till slut i sitt eget labb och rapporterade den privat, och OpenClaw släppte en rättning på under 24 timmar. Ingen källa som citeras i den här artikeln dokumenterar att attacken användes mot en verklig användare. Arkivet registrerar händelsen som en infrastrukturincident med hög allvarlighetsgrad, med ett datum med dags precision den 25 februari 2026 och ingen dokumenterad skada i verkligheten, tillsammans med resten av dess OpenClaw-poster i Orca AI Incident Archive.

Tre standardvärden, en kedja

OpenClaw är en självhostad personlig agent som användarna styr från en webbinstrumentpanel eller en terminal, och som ansluter till meddelandeappar, kalendrar och utvecklarverktyg och agerar i dem. I centrum finns en gateway, en lokal WebSocket-server som Oasis beskriver som "verksamhetens hjärna": den hanterar autentisering, lagrar konfiguration, hanterar chattsessioner och skickar kommandon till noder som en macOS-följeslagarapp eller en iPhone. Autentisering sker med token eller lösenord, och gatewayen binder som standard till localhost, utifrån det explicita antagandet att lokal åtkomst i sig är betrodd (Oasis Security, 26 februari 2026).

Tre konsekvenser av det antagandet, sammankopplade. För det första tillämpar webbläsare inte cross-origin-regler på WebSocket-anslutningar på samma sätt som de gör för vanliga HTTP-förfrågningar, så JavaScript på vilken sida användaren än besöker kan öppna en socket till den lokala gateway-porten utan att något syns på skärmen. För det andra undantog gatewayens hastighetsbegränsare loopback-anslutningar helt, så misslyckade lösenordsförsök från 127.0.0.1 räknades inte, begränsades inte och loggades inte. För det tredje godkände gatewayen automatiskt enhetsparningar som kom från localhost, så ett autentiserat skript kunde registrera sig självt som en betrodd enhet utan den bekräftelseprompt som en fjärrenhet skulle utlösa.

Oasis mätte gissningsfrekvensen i sitt eget labb och rapporterade den i avslöjandet: "I våra labbtester uppnådde vi en hållbar hastighet på hundratals lösenordsgissningar per sekund enbart från JavaScript i webbläsaren. I den hastigheten töms en lista med vanliga lösenord på under en sekund, och en stor ordlista skulle bara ta några minuter. Ett lösenord som valts av en människa har inte en chans." BleepingComputer, som rapporterade om avslöjandet den 1 mars 2026, beskriver samma tre steg och samma ordning.

Vad en angripare får, och vad Oasis faktiskt visade

När det väl hade autentiserats hade skriptet en operatörssession med behörighet på administratörsnivå. Oasis listar fyra saker som det sedan kan göra direkt: skicka meddelanden till AI-agenten och läsa dess svar, dumpa gateway-konfigurationen, som avslöjar vilka AI-leverantörer, modeller och meddelandekanaler som används, räkna upp varje ansluten nod med dess plattform och IP-adress samt läsa applikationsloggarna. Därifrån beskriver Oasis, snarare än demonstrerar, eskaleringen: att instruera agenten att söka i utvecklarens Slack-historik efter API-nycklar, läsa privata meddelanden, exfiltrera filer från parade enheter eller köra godtyckliga shell-kommandon på valfri parad nod. Företagets sammanfattning av resultatet är att detta för en utvecklare med typiska OpenClaw-integrationer motsvarar en fullständig kompromettering av arbetsstationen, initierad från en webbläsarflik.

Demonstrationen som Oasis publicerade, med en video som konceptbevis, är snävare än den beskrivningen: en webbläsare på en orelaterad webbplats gissade lösenordet till gatewayen, anslöt med fulla behörigheter och interagerade framgångsrikt med användarens agent, utan att användaren fick någon indikation. Exfiltrering av filer och skalexekvering beskrivs som sådant som åtkomsten möjliggör, inte som steg som konceptbeviset genomförde. Den distinktionen har betydelse när redogörelsen läses som en inträffad incident i stället för en demonstrerad sådan.

Patchen landade i 2026.2.25, inte i 2026.2.26

Oasis uppmanade läsarna att uppdatera till version 2026.2.25 eller senare, och OpenClaws egen säkerhetsrådgivning instämmer. GitHub-säkerhetsrådgivningen GHSA-jmmg-jqc7-5qf4 listar påverkade versioner som 2026.2.24 och lägre, patchade versioner som 2026.2.25 och högre, och tillskriver rapporten till @luz-oasis, Oasis forskningsledare Elad Luz. npm-registrets tidsstämpel för 2026.2.25 är 04:16 UTC den 26 februari 2026, och projektets versionsinformation för den versionen beskriver åtgärden i termer som motsvarar ett-till-ett de tre standardinställningarna: "Säkerhet/Gateway WebSocket-auth: framtvinga ursprungskontroller för direkta WebSocket-klienter i webbläsare utöver Control UI/Webchat, tillämpa begränsning av misslyckade lösenordsautentiseringar för loopback-försök med webbläsarursprung (inklusive localhost), och blockera tyst automatisk parkoppling för webbläsarklienter utanför Control UI."

Två av nyhetsrapporterna anger ett annat nummer. BleepingComputer säger att rättningen "släpptes i version 2026.2.26 den 26 februari", och SecurityAffairs upprepar att 2026.2.26 var versionen som åtgärdade problemet, medan dess eget rådgivningsstycke säger till läsarna att uppdatera till 2026.2.25 eller senare. Infosecurity Magazine, som rapporterade om avslöjandet den 2 mars 2026, anger 2026.2.25. Version 2026.2.26 finns visserligen, men npm registrerar den kl. 23:59 UTC den 26 februari, ungefär tjugo timmar efter 2026.2.25, och dess versionsanteckningar utgör en separat omgång härdningar. Den rättning en läsare bör leta efter är den i 2026.2.25.

Identifieraren kom senare. GitHub-rådgivningen publicerades den 3 mars 2026 under CVE-2026-32025, och NVD:s post för den publicerades den 19 mars 2026 med en CVSS 3.1-baspoäng på 7,5, bedömd som hög av NVD som primär bedömare och av VulnCheck som sekundär. Själva rådgivningen är mer försiktig än poängen: dess eget allvarlighetsfält anger måttlig, och i texten kallas buggen "allvarlig, men villkorad", med fyra förutsättningar uttryckligen angivna – gatewayen nåbar på loopback, lösenordsautentisering i bruk, offret öppnar angriparstyrt webbinnehåll och ett lösenord som går att gissa inom rimliga försök. Den säger också rakt ut vad buggen inte är: "Detta är inte i sig ett oautentiserat internetexponerat RCE-problem av den klassen; det är en lokal autentiseringshärdningslucka kopplad till webbläsarens ursprung med betydande påverkan under ovanstående förutsättningar."

Varifrån 42 665 kommer, och varför det inte är ett ClawJacked-nummer

Arkivets sammanfattning anger att 42 665 instanser var exponerade vid offentliggörandet, och noterar att SecurityScorecard anger en annan siffra, 40 214, varav 35,4 % var sårbara. Ingen av de tre källor som citeras för denna post innehåller någon av siffrorna – Oasis, BleepingComputer och SecurityAffairs beskriver alla sårbarheten utan att ange något antal för den installerade basen. Båda siffrorna kommer någon annanstans ifrån, och båda publicerades innan ClawJacked fanns.

Siffran 42,665 kommer från en oberoende skanning. Maor Dayan, en säkerhetsforskare som publicerade sina resultat på Medium, byggde en skanner som heter ClawdHunter v3.0 och körde den mot Shodan- och Censys-data insamlade mellan den 28 och 31 januari 2026, och rapporterade "minst 42,665 instanser" av OpenClaw som var offentligt exponerade på internet, varav 5,194 aktivt verifierades som sårbara och 93.4% av de verifierade uppvisade en autentiseringskringgång. Siffran 40,214 kommer från SecurityScorecards STRIKE-team, i forskning publicerad den 9 februari 2026, som räknade internetexponerade OpenClaw-instanser och flaggade 15.2K som sårbara för fjärrkodkörning, med "35.4% av observerade distributioner flaggade som sårbara". SecurityScorecards egna sammanfattningspunkter anger 42.9K unika IP-adresser som är värdar för exponerade kontrollpaneler, vid sidan av de 40,214 bekräftade instanserna i rapportens brödtext – två olika mätningar i en och samma rapport.

Ingen av siffrorna mäter ClawJackeds räckvidd, eftersom båda räknar instanser som svarar på ett offentligt gränssnitt. Förutsättningen för ClawJacked är den motsatta konfigurationen: en gateway bunden till loopback, i lösenordsläge, på en maskin vars användare besöker en fientlig webbsida. En server som räknas i en skanning över hela internet kan ligga bakom sin egen autentisering och vara opåverkad av den här buggen, medan den bärbara dator som aldrig dyker upp i en sådan skanning är precis det mål som Oasis beskrev. Arkivets egen formulering, ”vid offentliggörandet”, kopplar därför en populationsräkning från januari till en sårbarhet från februari. Siffrorna är verkliga mätningar av hur mycket OpenClaw var exponerat; de är inte en räkning av de maskiner som ClawJacked skulle kunna ha tagit över. Den här artikeln avgör inte en tvist – posten är inte markerad som omtvistad – men de två siffrornas härkomst är kontrollerbar och stöder inte inramningen ”vid offentliggörandet”.

Vad som är etablerat, och vad som inte är det

Fastställt: att Oasis Security hittade kedjan och demonstrerade den i ett labb; att OpenClaw:s eget rådgivningsmeddelande och versionsinformation bekräftar alla tre beteendena – saknat framtvingande av ursprung för webbläsares WebSocket-klienter, utebliven begränsning av lösenordsförsök via loopback, tyst automatisk ihopparning – och att 2026.2.25 ändrade vart och ett av dem; att åtgärden levererades inom en dag efter rapporten; och att tre medier utanför upptäckarens egen blogg rapporterade om det. Arkivets tillförlitlighetsbetyg A är förenligt med den dokumentationen, och ingenting här ifrågasätts av de inblandade parterna.

Inte fastställt:att någon har använt den. Ingen källa anges här, och ingen som återfunnits i bevakningen kring avslöjandet rapporterar om en verklig kompromettering, ett offer eller data som tagits. Oasis är en laboratoriedemonstration och skrivningen beskriver angriparens förmåga snarare än en observerad attack. Det stämmer överens med att arkivet inte registrerar någon verklig skada, och det är det enskilt viktigaste förbehållet i artikeln: detta är en sårbarhetsrapport, inte en intrångsrapport.

Två beteckningar som cirkulerar är felaktiga, och båda är lätta att ärva. Flera sekundära artiklar kopplar CVE-2026-25253 till ClawJacked. NVD:s post för den identifieraren beskriver en annan bugg i samma produkt: OpenClaw före 2026.1.29 som tar en gatewayUrl från en frågesträng och ansluter till den utan att fråga samtidigt som den skickar en token – en tokenstöld med ett klick med CVSS-poäng 8,8, publicerad den 1 februari 2026 och åtgärdad den 29 januari. Det är januarisårbarheten, med en annan mekanism och en annan patch. ClawJackeds identifierare är CVE-2026-32025. Infosecurity Magazine beskrev samtidigt ClawJacked som en indirekt promptinjektion; den kedja som Oasis dokumenterade involverar ingen prompt och inget modellbeslut alls – det är en autentiseringsbypass som slutar i en operatörssession.

Vad förändrades efteråt?

OpenClaw åtgärdade det, publicerade säkerhetsmeddelandet och gav rapportören erkännande, och CVE tilldelades inom en vecka efter den offentliga redogörelsen. Oasis rekommendationer till organisationer går längre än patchen: kartlägg vilka agenter och assistenter som körs på utvecklarmaskiner, uppdatera varje instans, granska vilka autentiseringsuppgifter och behörigheter var och en har och återkalla det som inte används, samt styr agenter som icke-mänskliga identiteter med avsiktskontroller, tillämpning av policyer, just-in-time-åtkomst och ett revisionsspår från människa till agent till åtgärd. Företaget säljer programvara inom den sista kategorin, vilket är värt att känna till när man väger den sista rekommendationen mot de tre första.

Det bredare sammanhanget är att ClawJacked var en av många säkerhetsbulletiner i en våg. GitHubs rådgivningsdatabas innehåller en stor mängd OpenClaw-bulletiner daterade 3 mars 2026 – samma dag som ClawJackeds publicerades – som täcker separata buggar inom autentisering, parning, path-traversal och sandbox-escape i versionerna 2026.2.19 till 2026.2.26. Mönstret som ClawJacked-posten bevarar är snävare än ”AI-agenter är osäkra” och mer användbart: gatewayen behandlade loopback som en förtroendegräns, och webbläsaren gjorde att antagandet inte höll. Varje lokal tjänst som undantar 127.0.0.1 från hastighetsbegränsning, och varje enhetsparningsflöde som automatiskt godkänner lokala anropare, ärver samma mönster oavsett om en AI-modell ligger bakom eller inte. I det här fallet var modellen aldrig den sårbara komponenten – det var autentiseringslagret runt den.