ClawJacked: bất kỳ trang web nào cũng có thể brute-force một agent OpenClaw cục bộ

ClawJacked, một lỗ hổng do Oasis Security công bố trong AI agent mã nguồn mở OpenClaw vào ngày 26 tháng 2 năm 2026, cho phép bất kỳ trang web nào mà một nhà phát triển truy cập mở kết nối tới agent đang chạy trên máy của chính họ và đoán mật khẩu của nó cho đến khi nó giao quyền điều khiển. Không cần nhấp chuột, không cần plugin và không cần lời nhắc. Phần thưởng là gateway điều phối agent: kẻ xâm nhập vào được có thể nói chuyện trực tiếp với agent, kết xuất cấu hình của nó, liệt kê mọi thiết bị đã ghép nối và đọc nhật ký của nó. Oasis, một nhà cung cấp phần mềm quản lý truy cập agent, đã trình diễn chuỗi tấn công từ đầu đến cuối trong phòng thí nghiệm của mình và báo cáo riêng, và OpenClaw đã phát hành bản sửa lỗi trong vòng chưa đầy 24 giờ. Không có nguồn nào được trích dẫn trong bài viết này ghi nhận cuộc tấn công được sử dụng nhằm vào người dùng thực. Kho lưu trữ xếp sự việc này là một sự cố hạ tầng mức độ nghiêm trọng cao với ngày chính xác đến ngày là 25 tháng 2 năm 2026 và không ghi nhận thiệt hại thực tế nào, cùng với các mục OpenClaw còn lại của nó trong Orca AI Incident Archive.

Ba mặc định, một chuỗi

OpenClaw là một tác nhân cá nhân tự triển khai mà người dùng điều khiển từ bảng điều khiển web hoặc terminal, đồng thời kết nối với các ứng dụng nhắn tin, lịch và công cụ lập trình rồi hành động bên trong chúng. Ở trung tâm của nó là một gateway, một máy chủ WebSocket cục bộ mà Oasis mô tả là “bộ não của hoạt động”: nó xử lý xác thực, lưu cấu hình, quản lý các phiên trò chuyện và gửi lệnh đến các node như ứng dụng đồng hành macOS hoặc iPhone. Xác thực bằng token hoặc bằng mật khẩu, và gateway mặc định gắn với localhost, theo giả định rõ ràng rằng quyền truy cập cục bộ vốn được tin cậy (Oasis Security, 26 tháng 2 năm 2026).

Ba hệ quả của giả định đó nối tiếp nhau. Thứ nhất, trình duyệt không áp dụng quy tắc cross-origin cho các kết nối WebSocket giống như cách chúng áp dụng cho các yêu cầu HTTP thông thường, nên JavaScript trên bất kỳ trang nào người dùng truy cập đều có thể mở một socket tới cổng gateway cục bộ mà không có gì hiển thị trên màn hình. Thứ hai, bộ giới hạn tốc độ của gateway miễn trừ hoàn toàn các kết nối loopback, nên các lần thử mật khẩu thất bại từ 127.0.0.1 không được đếm, không bị giới hạn tốc độ hay ghi log. Thứ ba, gateway tự động phê duyệt các ghép nối thiết bị đến từ localhost, nên một script đã xác thực có thể tự đăng ký làm thiết bị tin cậy mà không cần lời nhắc xác nhận mà một thiết bị từ xa sẽ kích hoạt.

Oasis đã đo tốc độ đoán mật khẩu trong phòng thí nghiệm của riêng mình và báo cáo trong công bố: “Trong thử nghiệm tại phòng thí nghiệm của chúng tôi, chúng tôi đạt tốc độ duy trì hàng trăm lần đoán mật khẩu mỗi giây chỉ từ JavaScript trên trình duyệt. Với tốc độ đó, một danh sách mật khẩu phổ biến bị vét cạn trong chưa đầy một giây, và một từ điển lớn sẽ chỉ mất vài phút. Mật khẩu do con người chọn không có cơ hội.” BleepingComputer, đơn vị đưa tin về công bố này vào ngày 1 tháng 3 năm 2026, mô tả cùng ba bước và cùng thứ tự.

Kẻ tấn công có được gì, và Oasis thực sự đã cho thấy điều gì

Sau khi xác thực, script duy trì một phiên vận hành viên với quyền ở cấp quản trị viên. Oasis liệt kê bốn việc mà nó sau đó có thể làm trực tiếp: gửi tin nhắn đến tác nhân AI và đọc các phản hồi của tác nhân này, kết xuất cấu hình gateway, thứ tiết lộ các nhà cung cấp AI, mô hình và kênh nhắn tin đang được sử dụng, liệt kê mọi nút được kết nối cùng nền tảng và địa chỉ IP của nút đó, và đọc nhật ký ứng dụng. Từ đó, Oasis mô tả, thay vì chứng minh, việc leo thang: chỉ dẫn tác nhân tìm kiếm lịch sử Slack của nhà phát triển để tìm khóa API, đọc tin nhắn riêng tư, tuồn tệp ra khỏi các thiết bị đã ghép cặp, hoặc chạy các lệnh shell tùy ý trên bất kỳ nút nào đã ghép cặp. Tóm tắt của công ty về kết quả là đối với một nhà phát triển có các tích hợp OpenClaw thông thường, điều này tương đương với “toàn bộ máy trạm bị xâm phạm, được khởi phát từ một tab trình duyệt”.

Bản trình diễn do Oasis công bố, cùng với một video chứng minh khái niệm, hẹp hơn mô tả đó: một trình duyệt trên một trang web không liên quan đã đoán ra mật khẩu gateway, kết nối với đầy đủ quyền và tương tác thành công với agent của người dùng, mà không hiển thị bất kỳ dấu hiệu nào cho người dùng. Việc tuồn tệp ra ngoài và thực thi shell được mô tả là những gì quyền truy cập này tạo điều kiện cho, chứ không phải các bước mà chứng minh khái niệm đã thực hiện. Sự phân biệt đó có ý nghĩa khi hồ sơ được đọc như một sự cố đã xảy ra thay vì một sự việc được chứng minh.

Bản vá đã được đưa vào 2026.2.25, không phải 2026.2.26

Oasis đã khuyến nghị độc giả cập nhật lên phiên bản 2026.2.25 trở lên, và khuyến cáo bảo mật của chính OpenClaw cũng đồng tình với điều đó. Khuyến cáo bảo mật trên GitHub, GHSA-jmmg-jqc7-5qf4, liệt kê các phiên bản bị ảnh hưởng là 2026.2.24 trở xuống, các phiên bản đã vá là 2026.2.25 trở lên, và ghi nhận báo cáo thuộc về @luz-oasis, trưởng nhóm nghiên cứu của Oasis, Elad Luz. Dấu thời gian trên npm registry cho 2026.2.25 là 04:16 UTC ngày 26 tháng 2 năm 2026, và ghi chú phát hành của dự án cho phiên bản đó mô tả bản sửa lỗi bằng những thuật ngữ ánh xạ một-một với ba thiết lập mặc định: "Security/Gateway WebSocket auth: thực thi kiểm tra origin đối với các ứng dụng khách WebSocket trực tiếp từ trình duyệt ngoài Control UI/Webchat, áp dụng giới hạn tần suất khi xác thực bằng mật khẩu thất bại đối với các nỗ lực loopback có nguồn gốc từ trình duyệt (bao gồm localhost), và chặn việc tự động ghép cặp im lặng đối với các ứng dụng khách trình duyệt không phải Control UI."

Hai bản tin đưa ra một con số khác. BleepingComputer nói rằng bản sửa lỗi đã "được phát hành trong phiên bản 2026.2.26 vào ngày 26 tháng 2", và SecurityAffairs lặp lại rằng 2026.2.26 là bản phát hành đã xử lý vấn đề, trong khi đoạn khuyến nghị của chính nó lại bảo độc giả cập nhật lên 2026.2.25 trở lên. Tạp chí Infosecurity, đưa tin về công bố ngày 2 tháng 3 năm 2026, trích dẫn 2026.2.25. Bản phát hành 2026.2.26 có tồn tại, nhưng npm ghi nhận nó vào lúc 23:59 UTC ngày 26 tháng 2, khoảng hai mươi giờ sau 2026.2.25, và ghi chú của nó là một đợt tăng cường bảo mật riêng. Bản sửa lỗi mà độc giả nên tìm là bản trong 2026.2.25.

Mã định danh xuất hiện muộn hơn. Bản tư vấn của GitHub được công bố vào ngày 3 tháng 3 năm 2026 dưới mã CVE-2026-32025, và bản ghi của NVD về lỗ hổng này được công bố vào ngày 19 tháng 3 năm 2026 với điểm cơ sở CVSS 3.1 là 7.5, được NVD đánh giá là cao với tư cách là bên chấm điểm chính và VulnCheck là bên chấm điểm phụ. Bản thân bản tư vấn thận trọng hơn điểm số: trường mức độ nghiêm trọng của chính nó ghi là trung bình, và phần văn bản gọi lỗi này là "nghiêm trọng, nhưng có điều kiện", nêu rõ bốn điều kiện tiên quyết — cổng vào có thể truy cập qua loopback, xác thực bằng mật khẩu đang được sử dụng, nạn nhân mở nội dung web do kẻ tấn công kiểm soát, và một mật khẩu có thể đoán được trong số lần thử khả thi. Nó cũng nói rõ lỗi này không phải là gì: "Bản thân đây không phải là một vấn đề thuộc loại RCE phơi nhiễm internet không cần xác thực; đây là một lỗ hổng tăng cường xác thực nguồn gốc trình duyệt cục bộ với tác động đáng kể trong các điều kiện nêu trên."

42.665 đến từ đâu, và tại sao đó không phải là con số của ClawJacked

Bản tóm tắt của kho lưu trữ ghi rằng 42.665 trường hợp đã bị phơi lộ tại thời điểm công bố, và lưu ý rằng SecurityScorecard đưa ra một con số khác là 40.214, trong đó 35,4% là dễ bị tổn thương. Không nguồn nào trong ba nguồn được trích dẫn cho bản ghi này chứa một trong hai con số đó — Oasis, BleepingComputer và SecurityAffairs đều mô tả lỗ hổng mà không kèm theo số lượng cơ sở đã cài đặt. Cả hai con số đều đến từ nơi khác, và cả hai đều được công bố trước khi ClawJacked tồn tại.

Con số 42,665 là từ một lượt quét độc lập. Maor Dayan, một nhà nghiên cứu bảo mật đã công bố phát hiện của mình trên Medium, đã xây dựng một trình quét có tên ClawdHunter v3.0 và chạy nó trên dữ liệu Shodan và Censys được thu thập từ ngày 28 đến 31 tháng 1 năm 2026, báo cáo "ít nhất 42,665 thực thể OpenClaw bị phơi bày công khai trên internet", trong đó 5,194 thực thể đã được xác minh chủ động là dễ bị tổn thương và 93.4% trong số đã xác minh cho thấy có vượt qua xác thực. Con số 40,214 là của nhóm STRIKE thuộc SecurityScorecard, trong nghiên cứu công bố ngày 9 tháng 2 năm 2026, đã đếm các thực thể OpenClaw bị phơi bày trên internet và gắn cờ 15.2K là dễ bị tổn thương trước thực thi mã từ xa, với "35.4% các triển khai được quan sát bị gắn cờ là dễ bị tổn thương". Các gạch đầu dòng tóm tắt của chính SecurityScorecard đưa ra 42.9K địa chỉ IP duy nhất đang lưu trữ các bảng điều khiển bị phơi bày, cùng với 40,214 thực thể đã được xác nhận trong phần nội dung chính của báo cáo — hai phép đo khác nhau trong cùng một báo cáo.

Không con số nào đo được phạm vi ảnh hưởng của ClawJacked, vì cả hai đều đếm các instance trả lời trên một giao diện công khai. Điều kiện tiên quyết của ClawJacked là cấu hình ngược lại: một gateway được gắn với loopback, ở chế độ mật khẩu, trên một máy mà người dùng của nó truy cập vào một trang độc hại. Một máy chủ được đếm trong một lần quét toàn internet có thể nằm sau lớp xác thực riêng của nó và không bị lỗi này ảnh hưởng, trong khi chiếc laptop không bao giờ xuất hiện trong một lần quét như vậy lại chính là mục tiêu mà Oasis mô tả. Cách diễn đạt của chính kho lưu trữ, “tại thời điểm công bố”, do đó gắn một con số thống kê dân số của tháng Một với một lỗ hổng của tháng Hai. Các con số này là những đo lường thực tế về mức độ OpenClaw từng bị phơi lộ; chúng không phải là số lượng máy mà ClawJacked có thể đã chiếm đoạt. Bài viết này không phân xử một tranh chấp — hồ sơ không được đánh dấu là đang tranh chấp — nhưng nguồn gốc của hai con số là có thể kiểm chứng và không ủng hộ cách diễn đạt “tại thời điểm công bố”.

Điều gì đã được xác lập, và điều gì chưa.

Đã được xác lập: rằng Oasis Security đã tìm ra chuỗi khai thác và minh họa nó trong phòng thí nghiệm; rằng khuyến cáo và ghi chú phát hành của chính OpenClaw xác nhận cả ba hành vi — thiếu việc thực thi origin đối với các máy khách WebSocket trên trình duyệt, không có giới hạn tần suất đối với các lần thử mật khẩu qua loopback, tự động ghép nối âm thầm — và rằng 2026.2.25 đã thay đổi từng điểm trong số đó; rằng bản sửa lỗi đã được phát hành trong vòng một ngày kể từ báo cáo; và rằng ba cơ quan truyền thông bên ngoài blog của chính người phát hiện đã đưa tin về vụ việc. Mức xếp hạng độ tin cậy A của kho lưu trữ phù hợp với hồ sơ đó, và không có nội dung nào ở đây bị các bên liên quan tranh cãi.

Chưa được xác lập: rằng có ai đó đã sử dụng nó. Không có nguồn nào được trích dẫn ở đây và cũng không có nguồn nào được tìm thấy trong các bài đưa tin xung quanh việc công bố, báo cáo về một vụ xâm phạm trong thực tế, một nạn nhân hoặc dữ liệu bị lấy đi. Của Oasis là một minh chứng trong phòng thí nghiệm và bài viết mô tả năng lực của kẻ tấn công thay vì hành vi tấn công được quan sát. Điều đó nhất quán với việc kho lưu trữ ghi nhận không có thiệt hại thực tế, và đó là điểm định tính quan trọng nhất của câu chuyện: đây là một hồ sơ lỗ hổng, không phải báo cáo vi phạm.

Hai nhãn đang lưu hành đều sai, và cả hai đều dễ bị kế thừa. Một số bài viết thứ cấp gán CVE-2026-25253 cho ClawJacked. Bản ghi của NVD cho mã định danh đó lại mô tả một lỗi khác trong cùng sản phẩm: OpenClaw trước 2026.1.29 lấy gatewayUrl từ chuỗi truy vấn và kết nối tới đó mà không hỏi trong khi gửi token, một vụ đánh cắp token bằng một cú nhấp với điểm CVSS 8.8, công bố ngày 1 tháng 2 năm 2026 và được sửa ngày 29 tháng 1. Đó là lỗ hổng tháng Giêng, với cơ chế khác và bản vá khác. Mã định danh của ClawJacked là CVE-2026-32025. Trong khi đó, Infosecurity Magazine mô tả ClawJacked là một dạng prompt injection gián tiếp; chuỗi mà Oasis ghi nhận không hề liên quan đến prompt nào và không có quyết định nào của mô hình — đó là một vụ vượt qua xác thực kết thúc bằng một phiên của người vận hành.

Điều gì đã thay đổi sau đó?

OpenClaw đã vá lỗ hổng, công bố khuyến cáo bảo mật và ghi công người báo cáo, và CVE được cấp trong vòng một tuần kể từ bài viết công khai. Các khuyến nghị của Oasis dành cho tổ chức vượt ra ngoài bản vá: lập danh mục những agent và trợ lý nào đang chạy trên máy của lập trình viên, cập nhật mọi phiên bản, kiểm toán thông tin xác thực và quyền hạn mà mỗi cái nắm giữ và thu hồi những gì không được sử dụng, và quản trị agent như các danh tính phi con người với kiểm tra ý định, thực thi chính sách, truy cập đúng lúc và dấu vết kiểm toán từ con người đến agent đến hành động. Công ty bán phần mềm thuộc nhóm cuối cùng đó, điều đáng lưu ý khi cân nhắc khuyến nghị cuối cùng so với ba khuyến nghị đầu tiên.

Bối cảnh rộng hơn là ClawJacked chỉ là một khuyến cáo bảo mật trong vô số khuyến cáo. Cơ sở dữ liệu khuyến cáo của GitHub chứa một lô lớn các khuyến cáo OpenClaw ghi ngày 3 tháng 3 năm 2026 — cùng ngày khuyến cáo của ClawJacked được công bố — bao gồm các lỗi riêng biệt về xác thực, ghép nối, path-traversal và thoát sandbox trên các phiên bản 2026.2.19 đến 2026.2.26. Mẫu mà hồ sơ ClawJacked lưu giữ hẹp hơn so với “các tác nhân AI không an toàn” và hữu ích hơn: gateway coi loopback là một ranh giới tin cậy, và trình duyệt đã làm cho giả định đó trở nên sai. Bất kỳ dịch vụ cục bộ nào miễn trừ 127.0.0.1 khỏi việc giới hạn tần suất, và bất kỳ luồng ghép nối thiết bị nào tự động chấp thuận các bên gọi cục bộ, đều kế thừa cùng hình thái đó dù có hay không có một mô hình AI đằng sau. Trong trường hợp này, mô hình chưa bao giờ là thành phần dễ bị tổn thương — lớp xác thực xung quanh nó mới là thành phần đó.