Infostealer bắt đầu thu thập cấu hình OpenClaw và token gateway

Vào tháng 2 năm 2026, một trình đánh cắp thông tin phổ thông đã lấy môi trường cấu hình của một tác nhân OpenClaw khỏi một máy bị nhiễm: tệp JSON chứa token cổng của tác nhân, tệp JSON chứa khóa ký thiết bị của nó, và các tệp Markdown định nghĩa tính cách và bộ nhớ của nó. Hudson Rock, công ty tình báo mối đe dọa đã công bố phát hiện này, gọi đây là một cột mốc trong hành vi của trình đánh cắp, mô tả sự chuyển dịch từ thông tin xác thực trình duyệt sang danh tính của các tác nhân AI cá nhân; BleepingComputer đưa tin về tuyên bố của công ty rằng đây là trường hợp đầu tiên ngoài thực tế thuộc loại này, và The Hacker News cũng đưa tin vào tháng đó. Trình đánh cắp này không được xây dựng dành riêng cho OpenClaw. Tường thuật của Hudson Rock cho biết một quy trình lấy tệp trên diện rộng đã quét tìm các phần mở rộng và tên thư mục nhạy cảm như .openclaw và vô tình lấy luôn thư mục, đó là lý do công ty mô tả phần mềm độc hại này là đã vớ được vàng thay vì đã săn lùng tác nhân. Kho lưu trữ ghi sự việc này là một sự cố thông tin xác thực mức độ nghiêm trọng cao với độ tin cậy B, không bị tranh cãi, có ghi nhận tổn hại thực tế, và Orca AI Incident Archive lưu giữ bản ghi này cùng với các mục OpenClaw lân cận, mỗi mục được đánh giá dựa trên bằng chứng riêng của nó.

Ba tệp, và mỗi tệp mở khóa những gì

OpenClaw, trước đây là Clawdbot và Moltbot, là một tác nhân AI cá nhân tự triển khai, lưu trạng thái lâu dài trong các tệp trên máy của chính người dùng. Bài viết của Hudson Rock, được The Hacker News và BleepingComputer tóm tắt, liệt kê ba thứ bị lấy từ thư mục OpenClaw của nạn nhân. openclaw.json chứa một địa chỉ Gmail đã được che một phần, đường dẫn workspace và một token cổng có entropy cao được lưu dưới gateway.auth.token. Ghi chú kỹ thuật của Hudson Rock cho biết token đó sẽ cho phép kẻ tấn công kết nối từ xa tới phiên bản OpenClaw cục bộ của nạn nhân nếu cổng bị lộ, hoặc mạo danh máy khách trong các yêu cầu đã xác thực gửi tới cổng AI.

device.json chứa publicKeyPem và privateKeyPem của thiết bị người dùng, cặp khóa mà OpenClaw dùng để ghép nối và ký các thao tác. Theo Hudson Rock, với phần khóa riêng, kẻ tấn công có thể ký các tin nhắn với tư cách là thiết bị của nạn nhân, có khả năng vượt qua các kiểm tra "Safe Device" và truy cập nhật ký được mã hóa hoặc các dịch vụ đám mây đã ghép nối với thiết bị đó. soul.md, cùng với các tệp bộ nhớ AGENTS.md và MEMORY.md, chứa các nguyên tắc vận hành, hướng dẫn hành vi và ranh giới đạo đức của tác nhân, và theo mô tả của công ty, có khả năng chứa nhật ký hằng ngày về hoạt động của người dùng, tin nhắn riêng tư và sự kiện lịch — thứ mà công ty gọi là bản thiết kế cuộc sống của người dùng.

Một chi tiết trong báo cáo của nhà cung cấp đáng được tách riêng khỏi phần còn lại. Hudson Rock đã chạy các tệp bị đánh cắp qua hệ thống AI của riêng mình, Enki, để thực hiện đánh giá rủi ro tự động, và bản tóm tắt của hệ thống về kết quả đó là các token, khóa và ngữ cảnh cá nhân cùng nhau tạo nên sự xâm phạm toàn diện đối với danh tính số của người dùng. Đó là một mô hình rủi ro được áp dụng cho các tệp. Đó không phải là bản ghi về bất cứ điều gì kẻ tấn công đã làm với chúng.

Cơ chế đó là một mớ hỗn hợp, chứ không phải một mục trong danh sách kiểm tra.

Phần tóm tắt một dòng của kho lưu trữ viết rằng thông tin đăng nhập của agent đã "chính thức được đưa vào danh sách kiểm tra tiêu chuẩn của infostealer". Tài liệu bên dưới lại nói một điều hẹp hơn. Hudson Rock nói rõ rằng không có mô-đun nào dành riêng cho OpenClaw tham gia: mã độc đã chạy một quy trình chung để thu thập tệp theo phần mở rộng và theo tên thư mục, và .openclaw khớp. Alon Gal, đồng sáng lập kiêm CTO của Hudson Rock, nói với BleepingComputer rằng quy trình này đã quét các tệp và thư mục chứa các từ khóa như "token" và "private key".

Mô-đun chuyên dụng này là một dự báo, không phải một quan sát. Hudson Rock viết rằng khi các tác nhân như OpenClaw ngày càng được tích hợp nhiều hơn vào quy trình làm việc chuyên nghiệp, các nhà phát triển stealer có khả năng sẽ phát hành các mô-đun được thiết kế riêng để giải mã và phân tích cú pháp các tệp này, giống như họ làm với Chrome hoặc Telegram hiện nay. Vào ngày 26 tháng 1 năm 2026, cùng công ty đã xuất bản một bài đăng có tiêu đề ClawdBot: Mục tiêu chính mới cho infostealer trong kỷ nguyên AI, lập luận rằng tác nhân này lưu giữ ký ức, hồ sơ và mã thông báo xác thực trong Markdown và JSON dạng văn bản thuần, thường có thể được đọc bởi bất kỳ tiến trình nào chạy dưới quyền người dùng. Trường hợp tháng 2 là lần đầu tiên công ty này báo cáo rằng dự đoán đó đã thành hiện thực trên một máy thực tế.

Sự phân biệt này không chỉ mang tính học thuật. Một cuộc quét tình cờ nghĩa là việc phơi lộ là thuộc tính của nơi tác nhân lưu giữ bí mật, chứ không phải do kẻ tấn công đã quyết định săn lùng OpenClaw. Nếu các trình phân tích xuất hiện, chính những tệp đó sẽ trở nên đọc được ở quy mô lớn thay vì chỉ có thể thu thập, và câu hỏi phòng thủ chuyển từ quyền thư mục sang việc một token cổng và khóa thiết bị còn có thể chạm tới những gì sau khi chúng đã mất.

Một cỗ máy, một nhà cung cấp và một chuỗi dài lặp lại

Bài đăng của Hudson Rock mô tả một nạn nhân duy nhất và công bố ảnh chụp màn hình cây thư mục của một máy bị nhiễm. Bài đăng không nói mẫu đến từ bao nhiêu máy, và không có bài đưa tin nào được đọc để viết bài này bổ sung thêm trường hợp thứ hai. Bill Toulas của BleepingComputer đã trực tiếp trao đổi với Gal và mang theo chi tiết mà bài đăng của Hudson Rock không có — quy kết Vidar và việc quét dựa trên từ khóa — nhưng quan sát cốt lõi vẫn là một ca nhiễm, được một nhà cung cấp ghi nhận. Infosecurity Magazine và SecurityAffairs nhắc lại cùng phát hiện trong vòng một ngày sau bài đăng của Hudson Rock, và ThaiCERT lặp lại nó trong một khuyến cáo ngày 25 tháng 2 năm 2026. Một CERT quốc gia lặp lại báo cáo của nhà cung cấp là khuếch đại, không phải xác nhận độc lập.

Đó là điều mà bản ghi độ tin cậy B của kho lưu trữ ghi nhận: được ghi chép, nhưng chỉ từ một nguồn duy nhất hoặc nguồn thứ cấp. Bản ghi cũng được định ngày vào tháng 2 năm 2026 với độ chính xác đến tháng; bài tường thuật của BleepingComputer định ngày vụ đánh cắp cụ thể hơn, nhưng kho lưu trữ chỉ lưu tháng, và bài viết này tuân theo độ chính xác của kho lưu trữ. Không có nội dung nào được đọc để viết bài này phản bác tường thuật của Hudson Rock, và bản ghi được đánh dấu là không có tranh chấp. Điều lưu ý không phải là mâu thuẫn. Mà là ở chỗ cách đóng khung cột mốc — trường hợp thực tế đầu tiên, sự chuyển dịch từ thông tin đăng nhập trình duyệt sang danh tính tác nhân — là cách mô tả của công ty đã tìm ra mẫu, và không có đường cơ sở công khai nào để kiểm chứng “đầu tiên”.

Không có CVE nào được cấp. Không có khuyến cáo bảo mật nào của OpenClaw đề cập đến vụ trộm này xuất hiện trong các nguồn được đọc cho bài viết này, và không cơ quan quản lý nào công bố phát hiện của riêng mình về vụ việc — tài liệu duy nhất gần với chính phủ được tìm thấy là khuyến cáo của ThaiCERT, trong đó nhắc lại báo cáo của Hudson Rock. Khác với một lỗ hổng phần mềm, sự cố này không có bản vá nào để chỉ ra, vì các tệp không làm bất cứ điều gì mà phần mềm coi là sai. Chúng nằm ở dạng văn bản thuần trên đĩa, ngay bên cạnh agent.

Điều mà hồ sơ không xác lập

• Không có nguồn nào được đọc cho bài viết này cho thấy một token cổng hoặc khóa thiết bị bị đánh cắp đang được sử dụng. Các tác hại mà Hudson Rock nêu đều mang tính điều kiện xuyên suốt — "nếu cổng bị lộ", "có khả năng vượt qua" — và các bài đưa tin lặp lại chúng không bổ sung thêm một vụ xâm nhập đã được chứng minh.

• Việc quy kết cho Vidar được công ty đưa ra nhận định này nói một cách dè dặt. Gal mô tả mẫu có khả năng là một biến thể của Vidar, một trình đánh cắp thông tin đóng gói sẵn hoạt động từ cuối năm 2018, dựa trên các chi tiết lây nhiễm; không có mã hash, phân tích mẫu hay so sánh họ nào được công bố xuất hiện trong các nguồn được đọc tại đây.

• Số lượng người dùng bị ảnh hưởng là không rõ. Hudson Rock báo cáo một nạn nhân và không đưa ra số lượng máy bổ sung, và không có báo cáo nào sau đó được tìm thấy cho bài viết này cung cấp con số đó.

• Việc tài liệu bị đánh cắp có được trao đổi, bán hay được lập chỉ mục bởi bất kỳ dịch vụ tội phạm nào hay không thì chưa được bất kỳ nguồn nào đọc ở đây xác lập.

• Tác hại thực sự mà bản ghi ghi nhận chính là việc rò rỉ dữ liệu: thông tin đăng nhập và khóa của một cỗ máy thật đã rời khỏi cỗ máy đó. Đó là một ngưỡng thấp hơn so với việc chiếm quyền điều khiển, và bản ghi không khẳng định có việc chiếm quyền điều khiển.

Những gì đã thay đổi, và những gì nó chưa bao quát

OpenClaw đã công bố hợp tác với VirusTotal vào ngày 7 tháng 2 năm 2026, trước khi Hudson Rock công bố bản tường trình của mình. Thỏa thuận này quét mọi skill được tải lên ClawHub — đóng gói, băm, đối chiếu mã băm với VirusTotal và chạy phân tích Code Insight của VirusTotal trên bất kỳ thứ gì chưa từng thấy — và dự án đã kết hợp nó với một mô hình mối đe dọa và một đợt đánh giá các cấu hình sai tiềm ẩn. Nó giải quyết được vấn đề của marketplace. Nó không mã hóa openclaw.json trên đĩa của người dùng và không làm gì với phần mềm độc hại vốn đã chạy trên endpoint và đang đọc thư mục home, vốn là vector trong hồ sơ này.

Thứ gần nhất với hướng dẫn nhắm vào lỗi này mang tính khuyến nghị hơn là kỹ thuật. Ghi chú ngày 25 tháng 2 năm 2026 của ThaiCERT nhắc lại phát hiện của Hudson Rock và khuyến nghị chạy các tác nhân trong máy ảo hoặc container được sandbox theo nguyên tắc đặc quyền tối thiểu, tránh truy cập trực tiếp vào dữ liệu nhạy cảm, xác minh nguồn gốc của mọi skill được cài đặt, giám sát nhật ký hoạt động và chuẩn bị một kế hoạch ứng phó sự cố bao gồm đặt lại toàn bộ hệ thống và luân chuyển thông tin xác thực. Bài công bố công khai của chính OpenClaw về công tác bảo mật của mình, xuất bản tháng 4 năm 2026, cho biết các bí mật đã được chuyển khỏi cách "hãy cẩn thận" sang các tham chiếu để thông tin xác thực không nằm trong prompt, log, bản ghi hoặc trạng thái tác nhân — cùng một hướng đi, dù bài đăng đó không đề cập đến các tệp cấu hình mà Hudson Rock đã ghi lại.

Điều cần theo dõi là liệu các trình phân tích chuyên dụng có xuất hiện hay không. Dự báo của Hudson Rock là chúng sẽ xuất hiện, và bài đăng tháng Một của họ chính là lý do để xem trọng dự báo đó, chứ không phải mẫu tháng Hai là bằng chứng cho điều đó. Cho đến lúc đó, hồ sơ vẫn chỉ là một vụ trộm duy nhất được ghi chép đầy đủ: trạng thái agent dạng văn bản thuần, bị lấy bởi một stealer không nhắm đến nó, với thiệt hại do nhà cung cấp đánh giá chứ không phải được quan sát trong thực tế.