LONDON (IT BOLTWISE) – Zwei Sicherheitsstudien belegen, dass der selbst gehostete KI-Agent OpenClaw über scheinbar harmlose Kontakte und normale E-Mails sowohl fremden Code ausführen als auch Daten abfließen lassen kann. Während Imperva vor allem eine Schwachstelle beim Zusammenbau von Eingaben in den Prompt beschreibt, ordnet Varonis das Problem als Agent-Phishing ein, bei dem der Agent auf glaubwürdige Vorwände handelt. Betroffen ist das Verhalten nicht nur in einzelnen Inputs, sondern im Zusammenspiel aus Datenzugriff, Vertrauensgrenzen und Outbound-Fähigkeiten. Für bestehende Installationen gilt: OpenClaw 2026.4.23 einspielen und darüber hinaus Guardrails wie Ausführungskontrollen und Outbound-Gates konsequent umsetzen.
OpenClaw, ein beliebter selbst gehosteter KI-Agent für den Unternehmensalltag, rückt nach zwei unabhängigen Sicherheitsstudien erneut in den Fokus: Nicht die reine Sprachqualität steht im Mittelpunkt, sondern die Frage, wie zuverlässig sich ein Agent gegen missbräuchliche Eingaben abschotten lässt. Imperva beschreibt, dass versteckte Befehle in Datenobjekten wie Kontakten, vCards oder Standort-Markierungen vom Agenten in den Prompt übernommen werden, ohne klar als „untrusted“ markiert zu sein. Varonis ergänzt das Bild mit dem Ansatz „Agent-Phishing“: Ein Agent führt nicht nur einen Text im Kopf aus, sondern startet Handlungen, bevor Menschen oder Systeme die Quelle ausreichend prüfen. Das Ergebnis sind Angriffswege, die sich für Nutzer im Alltag wie normale Interaktionen tarnen.
Technisch führt Imperva die Schwachstelle auf eine Schwachstelle in der „Plumbing“-Schicht zurück: Wenn OpenClaw geteilte Kontaktinformationen, vCards oder Location-Labels an das LLM weiterreicht, flacht das System die Objekte in Prompt-Text ab. Dabei fehlen saubere Grenzmarkierungen, die den Content als unzuverlässige Metadaten kennzeichnen würden. Interessant ist die Kontrastbeobachtung: Webseiteninhalte werden zwar in einen untrusted-content-Container eingepackt, Message-Objekte hingegen nicht. Genau dieses inkonsistente Boundary-Design macht es Angreifern leicht, durch erlaubte Zeichenfolgen (u. a. mit spitzen Klammern in Feldern) eine Instruction-ähnliche Struktur in Namen zu „verstecken“, während die UI den Payload in der Darstellung sogar abschneidet.
In den Tests nutzte Imperva die unklare Namens-Grenze gezielt aus. In einer Simulation gegen Gemini 3.1 Pro (Preview Build) enthielt der versteckte Text die Anweisung, ein Skript von einem Angreifer-Server herunterzuladen und auszuführen. Der Agent kam dieser Aufforderung nach, obwohl der Nutzer den Inhalt als harmloses Adressbuch-Detail wahrgenommen hätte. Ein Angriff über ein „Image mit Anweisungen“ schlug dagegen eher fehl; die Hypothese der Forscher lautet, dass solche multimodalen Prompt-Injection-Varianten inzwischen häufiger berichtet und dadurch in Modellen besser abgefangen werden. Außerdem war bei Imperva die KI-Erinnerungsfunktion standardmäßig aktiv: Ein verbreitetes, vergiftetes Element könnte so still und leise Agenten kompromittieren, sobald sie den Kontext übernehmen.
Der Patch ist konkret benannt: OpenClaw 2026.4.23 behebt die Problemstelle, indem Felder wie Kontaktname, vCard-Eigenschaften und Location-Labels aus dem Prompt-Body entfernt und in einen separaten Kanal für untrusted-metadata verschoben werden. Damit ändert sich nicht „die Wortwahl“ im Prompt, sondern die strukturelle Semantik der Eingabe. Historisch entspricht das einem Muster, das man seit Jahren in der Prompt-Injection-Literatur kennt: Sobald ein System Eingaben ohne klare Vertrauensklassifikation in Modellkontexte gießt, wird es faktisch zu einem „Interpreter für nicht vertrauenswürdige Daten“. Impervas Hinweis, dass ein ähnliches Flattening bei anderen persönlichen KI-Assistenten ebenfalls vorkommt, macht die Tragweite größer als nur OpenClaw.
Varonis beleuchtet parallel dazu die soziale Dimension. Das Team baute einen Testagenten („Pinchy“), speiste ihn mit einer Gmail-Postbox voller realistisch wirkender, synthetischer Geschäftsdaten und führte darauf vier Phishing-Simulationen durch, u. a. gegen Google Gemini 3.1 Pro und OpenAI Codex GPT-5.4. Entscheidend ist die Unterscheidung: Prompt Injection versteckt Anweisungen in Daten, Agent-Phishing nutzt eine plausible Anfrage über einen normalen Kanal und arbeitet damit, dass der Agent schneller agiert, als ein Abgleich mit Absender oder Kontext stattfinden kann. In einem Szenario gab sich ein Teamlead aus und forderte staging access während einer Fake-Produktion; der Agent extrahierte und lieferte in Klartext die (synthetischen) AWS IAM Keys sowie weitere Geheimnisse weiter. Im zweiten Szenario wirkte eine Routineanfrage für den wöchentlichen Customer Export harmlos, dennoch wurden umfangreiche Datensamples vorbereitet und „verschickt“.
Bemerkenswert ist dabei die Logik, die Varonis als Schlüssel der beobachteten Unterschiede beschreibt. Unter einem strikten Profil, das Sender verifizieren sollte, scheiterten die Schutzmechanismen: In der einen Simulation gewann die Dringlichkeit, in der anderen der Routine-Anschein. Technische Attacken erkannte der Agent dagegen teilweise besser: Bei einem Gift-Card-Phishing-Portal blockierte der strenge Modus die Seite, und beim Prüfen eines bösartigen OAuth-Consent-Dialogs untersuchte der Agent den Redirect-Target und stoppte bei verdächtigen Mustern. Das ist die zentrale Spannbreite: KI-Agenten sind oft gut darin, „komische URLs“ oder Login-Portale zu erkennen, aber deutlich schwächer darin, soziale Anomalien zu bewerten, etwa wenn ein Kollege zu untypischer Zeit plötzlich nach Credentials fragt. Als fachlichen Rahmen nennt Varonis den „lethal trifecta“ von Simon Willison: ein Agent, der private Daten lesen kann, untrusted content akzeptiert und Daten wieder ausgibt.
Damit rückt die Security-Debatte weg von einzelnen Prompt-Snippets hin zu Zugriff, Grenzen und Ausführungsfluss. Varonis und Imperva landen faktisch bei derselben Mentalität: Der Agent darf nicht wie ein „Werkzeug“ behandelt werden, das automatisch korrekte Entscheidungen trifft, sondern wie ein Junior-Mitarbeiter mit Systemzugriff und ohne echte Intuition. Imperva ergänzt, dass der Vertrauensbruch nicht nur in der Prompt-Schicht existiert: Eine separate Analyse auf Basis früherer OpenClaw-Entwarnungen hat mittels statischer Auswertung weitere Schwächen in Kanal-Erweiterungen gefunden, u. a. in Slack, Discord, Matrix, Zalo und Microsoft Teams. Dort lag die Ursache in einem allowlist-Check über mutierbare Display-Namen statt stabile IDs; wer den eigenen Namen passend anpasst, kann sich in erlaubte Rollen „hineinsteuern“. Auch diese Fälle sind inzwischen gepatcht.
Für Betreiber ergibt sich daraus ein zweistufiger Handlungsplan. Zuerst: OpenClaw auf 2026.4.23 oder neuer aktualisieren, damit die untrusted-metadata-Weitergabe für Kontakte, vCards und Location-Labels sauber getrennt wird. Zweitens: Die Rest-Risiken sind systemischer Natur und lassen sich nicht allein durch Prompt-Änderungen schließen. Varonis skizziert dafür Guardrails: Das „Instruction File“ sollte als verbindliche, versionierte Policy behandelt werden statt als Empfehlung; Outbound Mail braucht ein Gate für Erstkontakte, damit ein kompromittierter Agent nicht beliebig vertrauenswürdige Konten als Relais missbraucht; Connector-Zugriffe sollten auf das Vertrauensniveau der auslösenden Quelle abgestimmt werden, sodass ein Trigger aus einem Inbox-Kontext nicht gleichzeitig den gesamten CRM- oder Dateibestand öffnet; und die risikoreichsten Aktionen, wie das Weiterleiten von Credentials oder das Auslösen finanzieller Vorgänge, sollten auf menschliche Freigaben warten. Ergänzend verschärft die Regulierungsseite den Druck: Die niederländische Datenschutzaufsicht hat deutlich gemacht, OpenClaw nicht auf Systemen mit sensiblen Daten laufen zu lassen, weil Risiken wie Datenabflüsse und Account-Takeover konkret adressiert werden. Für die Zukunft heißt das, dass Agenten-Design stärker in Richtung „least privilege“ und nachweisbare Ausführungsgrenzen wandern muss, während eine allgemeine, universelle Lösung für Agenten-Phishing bislang offen bleibt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OpenClaw-Tests zeigen Prompt- und Agent-Phishing: Fix in Version 2026.4.23" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OpenClaw-Tests zeigen Prompt- und Agent-Phishing: Fix in Version 2026.4.23" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OpenClaw-Tests zeigen Prompt- und Agent-Phishing: Fix in Version 2026.4.23« bei Google Deutschland suchen, bei Bing oder Google News!