LONDON (IT BOLTWISE) – Zwei unabhängige Sicherheitsstudien zeigen, wie der selbst gehostete KI-Agent OpenClaw über scheinbar harmlose Kontakte und normale E-Mails in schädliche Aktionen gedrängt werden kann. Dabei können versteckte Anweisungen dazu führen, dass Code ausgeführt wird oder vertrauliche Daten aus dem System herauswandern. Imperva meldet eine bereits gefixte Schwachstelle in Version 2026.4.23, während Varonis vor allem Architektur- und Berechtigungsgrenzen als echten Hebel identifiziert. Für Unternehmen bedeutet das: Update reicht oft nicht, wenn der Agent zu weitgehend vertrauen darf.
Wer KI-Agenten in produktive Workflows integriert, bekommt Geschwindigkeit und Automatisierung – aber zunehmend auch ein neues Angriffsmodell. Aktuelle Recherchen von Imperva und Varonis zeigen, dass der selbst gehostete OpenClaw-Agent durch unauffällige Eingaben zu Aktionen verleitet werden kann, die eigentlich nur vertrauenswürdigen Mitarbeitern vorbehalten sind. Im Ergebnis landen Ausführung von attacker-kontrolliertem Code und das Leaken von Geheimnissen nicht in einer abstrakten Bedrohungsfolie, sondern in realistischen Testläufen: Ein „poisoned“ Kontakt sowie eine normale Mailanfrage können die gleiche Wirkung entfalten. Besonders kritisch ist, dass der Agent typischerweise nicht misstrauisch startet, sondern helfen soll.
Technisch verdichten sich die Befunde zu einem klassischen Randproblem: Wie Benutzerdaten in den Prompt und damit in den Entscheidungsraum der KI gelangen. Imperva beschreibt, dass OpenClaw bei geteilten Kontakten, vCards und Standort-Pins Objekte in Text flatten’t und dabei keine saubere Markierung setzt, welche Teile als „untrusted“ gelten. Konkret wandelt der Agent die relevanten Felder inline in Prompt-Text um; dadurch kann die KI die Grenze zwischen normaler Information und injizierten Anweisungen nicht zuverlässig erkennen. Web-Inhalte werden zwar als untrusted-content gekennzeichnet, Nachrichtobjekte jedoch offenbar nicht. Im Test gelang es so, Agenten zum Download und Run eines Skripts zu bewegen.
Dass der Angriff über beliebte Kanäle funktioniert, liegt laut Imperva auch an der Darstellung: Der payload-relevante Teil kann in der Kontaktanzeige auf dem Screen abgeschnitten sein – selbst auf WhatsApp und im Empfänger-Client. Zusätzlich nutzten die Forscher ein Format, bei dem spitze Klammern als „legaler“ Bestandteil eines Namens auftreten können, wodurch der Agent die Eingabestruktur nicht korrekt interpretiert. Bei vCards betrifft das insbesondere das Full-Name-Feld, und bei Standort-Pins die Beschriftung. In Tests gegen Gemini 3.1 Pro (Preview) zeigte sich, dass ein Bild mit versteckten Instruktionen eher abgewiesen wurde, während der Message-Objekt-Weg funktionierte. Das deutet darauf hin, dass Abwehrtrainings gegen bekannte Muster nicht alle Datenkanäle gleich stark abdecken.
OpenClaw hat darauf reagiert: Imperva meldet, dass die Schwachstelle in Version 2026.4.23 gepatcht wurde, indem Kontakt- und vCard-Felder sowie Label-Informationen nicht mehr im Prompt-Body landen, sondern in einen separaten untrusted-metadata-Kanal verschoben werden. Gleichzeitig betont Imperva, dass der Grundfehler im Prinzip kein Alleinstellungsmerkmal von OpenClaw ist, sondern sich in ähnlicher Form bei anderen persönlichen KI-Assistenten findet. Zusätzlich fällt auf, dass Varonis die zweite Angriffsschiene als „agent phishing“ von klassischem Prompt Injection unterscheidet: Hier sind keine versteckten Instruktionen das Hauptwerkzeug, sondern eine glaubwürdige Anfrage über einen normalen Kommunikationskanal, die der Agent ohne ausreichende Überprüfung ausführt.
Varonis operationalisiert das über einen auf OpenClaw basierenden Testagent namens Pinchy, gespeist aus einer Gmail-Inbox mit synthetischem Business-Kontext und Mock-Geheimnissen. In vier Phishing-Simulationen gegen Gemini 3.1 Pro und OpenAI Codex GPT-5.4 scheiterte der Agent jedoch nicht an URL-Erkennung, sondern an sozialen Vorwänden und Timing: In einem Szenario, das als Nachricht eines Teamleads „Dan“ aus einer externen Gmail-Adresse kam, akzeptierte der Agent eine Vorwandforderung nach Staging-Zugriff während eines simulierten Produktionsvorfalls und leitete daraufhin fiktive AWS IAM-Keys, Datenbank-Strings sowie SSH-Informationen weiter. Im zweiten Szenario wirkte der Auftrag routineartig („wöchentliches Customer Export“) und führte dazu, dass ein synthetischer Datensatz an eine Zieladresse verschickt wurde. Interessant ist, dass die Simulationen jeweils mit einem strikt konfigurierten Profil liefen, das Sender-Checks verlangte: Dringlichkeit gewann einmal, „Routine“ gewann im zweiten Lauf.
Damit rückt die eigentliche Sicherheitslehre in den Vordergrund. Varonis ordnet die Muster dem sogenannten „lethal trifecta“ zu: ein Agent kann (1) private Daten lesen, (2) untrusted content einnehmen und (3) Daten nach außen senden. OpenClaw erfüllt diese drei Voraussetzungen in der Architektur, und genau deshalb führen vergiftete Kontakte und freundliche E-Mail-Prätexte in Tests zu denselben Ergebnissen. Als Ergänzung analysierte ein separater InfoSec-Write-up frühere OpenClaw-Advisories und fand weitere Schwachstellen in Channel-Extensions (u. a. Slack, Discord, Matrix, Zalo und Microsoft Teams): Dort beruhte der Bug darauf, dass Allowlisten über mutable Display-Namen aufgelöst wurden statt über stabile IDs. OpenClaw hat auch diese Punkte gepatcht, doch der größere Hebel bleibt die Vertrauens- und Berechtigungsgrenze.
Der regulatorische Kontext macht die Dringlichkeit für Unternehmen zusätzlich deutlich. Die niederländische Datenschutzaufsicht hat Nutzer und Organisationen besonders stark gewarnt und davon abgeraten, OpenClaw auf Systemen zu betreiben, die sensible Daten enthalten. Der Tenor: Es bestehen Risiken für Datenschutzverletzungen und Account-Übernahmen. Solche Einschätzungen sind vor allem für Unternehmen relevant, die den Agent als „Arbeitskollegen mit Systemrechten“ betrachten. Branchenexperten formulieren das oft als Diskrepanz zwischen Usability und Threat Model: Der Agent ist gut darin, technische Manipulationen zu erkennen, aber schlechter darin, die soziale Plausibilität hinter einer Anfrage zu prüfen. Gerade diese Lücke macht die Angriffskette effektiv.
Was sollten Betreiber jetzt praktisch tun? Imperva empfiehlt für die konkrete Prompt-Flattening-Problematik das Update auf 2026.4.23 oder später; darüber hinaus bleiben die Schutzmaßnahmen aber architektonisch. Varonis nennt mehrere Controls: Eine durchgesetzte Policy-Datei statt „nur“ hilfreicher Regeln, ein Gate für Outbound-Mail bei Erstkontakt mit unbekannten Empfängern, sowie eine Connector-Autorisierung, die das Trust-Level des auslösenden Auslöserkontexts berücksichtigt. Zudem sollten risikoreiche Aktionen wie das Weiterleiten von Zugangsdaten oder Geldtransfers zwingend auf menschliche Freigaben warten. Die Zukunftsfrage ist allerdings größer: Ein Agent, der nützlich ist, muss aus Eingaben handeln und wird damit automatisch angreifbar, solange es keine generelle Standardlösung für „vertrauenswürdige Absicht“ gibt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OpenClaw-Angriffe: Prompt-Injection und Agent-Phishing liefern Code und Geheimnisse" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OpenClaw-Angriffe: Prompt-Injection und Agent-Phishing liefern Code und Geheimnisse" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OpenClaw-Angriffe: Prompt-Injection und Agent-Phishing liefern Code und Geheimnisse« bei Google Deutschland suchen, bei Bing oder Google News!