Vulnerabilitate majoră descoperită în OpenClaw: Riscuri de execuție a codului de la distanță

O vulnerabilitate de severitate ridicată a fost identificată în software-ul OpenClaw, un asistent personal bazat pe inteligență artificială, care permite execuția de cod de la distanță printr-un link malițios. Problema, clasificată sub codul CVE-2026-25253, a fost evaluată cu un scor CVS de 8,8, ceea ce indică un risc considerabil.

Acest defect de securitate a fost semnalat de cercetătorii în securitate și a fost remediat în versiunea 2026.1.29, lansată pe 30 ianuarie 2026. Potrivit creatorului și administratorului OpenClaw, Peter Steinberger, vulnerabilitatea se manifestă printr-o lipsă de validare a URL-ului de conectare, ceea ce permite trimiterea tokens-ului de autentificare al utilizatorului către servere controlate de atacatori.

Impactul atacului – O vulnerabilitate exploatabilă

Potrivit unui raport al cercetătorului de securitate Mav Levin, exploatarea acestei vulnerabilități se poate realiza printr-un singur click, atunci când utilizatorul accesează un site îmbibat de cod malițios. Levin a explicat că atacul funcționează prin împingerea unei cereri de WebSocket care, fără o validare adecvată a originilor, permite interceptarea traficului local și accesarea token-ului de autentificare.

„Prin click-ul pe un link malițios, un atacator poate obține acces la gateway-ul local, având capacitatea de a modifica configurația și de a iniția acțiuni privilegiate,” a detaliat Levin. Aceste acțiuni includ compromiterea completă a mașinii victimei, fiindcă atacatorul poate rula comenzi direct pe sistemul de operare.

Riscuri extinse pentru utilizatori

OpenClaw, un asistent AI open-source care rulează local pe dispozitivele utilizatorilor, câștigase popularitate rapidă, atingând peste 149.000 de stele pe GitHub în doar câteva luni de la lansare. Aceasta oferă autonomie utilizatorilor, dar recentul incident ar putea pune în pericol nu doar datele personale, ci și infrastructura pe care aceasta operează.

„Utilizatorii trebuie să fie conștienți că, chiar și în configurări stricte, unde aplicația ascultă doar pe localhost, vulnerabilitatea poate fi exploatată. Atacatorul își poate obține accesul prin intermediul browserului victimei,” a adăugat Steinberger, subliniind serozitatea problemei.

Cercetătorii din domeniu atrag atenția că debandada tehnologică din jurul inteligenței artificiale nu ar trebui să eclipseze securitatea informațiilor. Aceasta este esențială pentru protecția datelor utilizatorilor.

Pasi de remediere și îmbunătățiri ale securității

Pentru a compensa această breșă de securitate, utilizatorii sunt sfătuiți să actualizeze aplicația la cea mai recentă versiune. OpenClaw a început implementarea unor măsuri preventive care vizează îmbunătățirea securității prin validarea strictă a cererilor WebSocket.

„Clientii nu ar trebui să își asume că aplicațiile sunt sigure doar pentru că sunt localizate,” a subliniat Levin. “Arhitectura trebuie să reflecte nevoia de a proteja și a restricționa accesul la datele sensibile.”

În ciuda vitezei cu care OpenClaw a câștigat popularitate, incidentul recent ridică semne de întrebare cu privire la viabilitatea sa ca alternativă de încredere față de asistenții personali bazati pe cloud, care adesea stochează informații pe servere externe.

Vulnerabilitatea descoperită servește ca un semnal de alarmă pentru comunitatea dezvoltatorilor și utilizatorilor de tehnologie, reamintind tuturor că securitatea trebuie să fie o prioritate constantă într-o lume din ce în ce mai conectată. Utilizatorii sunt sfătuiți să rămână vigilenți și să ia toate măsurile necesare pentru a-și proteja datele.