Eine Zero-Click-Schwachstelle in einem beliebten KI-Agenten-Framework ist die Warnung, die niemand im Handel hören, aber jeder wissen muss.
Ich stand in der glorreichen, chaotischen Schlange bei Bay Cities Italian Deli in Santa Monica und hielt mein Papierticket fest. Das Nummernsystem dort ist ein wunderschöner Anachronismus. Jemand hinter einem Berg von Prosciutto ruft eine Nummer, Sie rufen Ihre Bestellung für ein Godmother-Sandwich, und eine Kette von echten menschlichen Agenten wird aktiv. Es gibt keine Benutzeroberfläche, keine App, nur einen gehärteten, überprüfbaren Prozess, der Jahrzehnte überlebt hat. Jeder Schritt ist beobachtbar. Der Typ, der die Capicola schneidet, greift nicht gleichzeitig stillschweigend auf Ihr Bankkonto zu. Das System ist lesbar, testbar und sicher in seiner wunderschönen, analogen Einfachheit.
Dann summte mein Telefon mit einer Benachrichtigung über eine schwerwiegende Schwachstelle namens „ClawJacked“ [2]. Es ist ein Fehler in OpenClaw, einem beliebten Open-Source-Framework, das Entwickler verwenden, um die sehr autonomen KI-Agenten zu erstellen, die Marken eilig einsetzen. Kurz gesagt, ClawJacked ermöglicht jeder bösartigen Website, Ihren lokalen KI-Agenten zu kapern, wodurch er die Macht erhält, Daten zu stehlen, APIs zu missbrauchen und Aktionen in Ihrem Namen auszuführen, ohne dass Sie etwas anklicken müssen [11].
Als ich auf meine Nummer starrte – immer noch 40-irgendwas Plätze entfernt – wurde mir klar, dass die gesamte Handelsbranche im Begriff ist, das bewährte, wenn auch klobige System von Bay Cities gegen ein undurchsichtiges, vernetztes System von Agenten einzutauschen, die auf Frameworks basieren, die wir nicht vollständig verstehen und nicht richtig sichern können. Wir sind so besessen vom Potenzial des agentic commerce (agentengesteuerter Handel), dass wir unsere Zukunft auf Sand bauen, und die Flut kommt herein.
Was ist OpenClaw und warum sollte sich eine Marke darum kümmern?
Für die meisten Marketing- und Handelsmanager klingt ein Name wie „OpenClaw“ wie ein obskurer Entwicklerjargon. Es ist ein Detail, um das sich das Engineering-Team kümmern muss. Dies ist eine katastrophal falsche Annahme. Um das Risiko zu verstehen, müssen Sie verstehen, was diese Tools sind und wie sie die Grundlage der agentischen Zukunft bilden, über die alle so außer Atem sind.
OpenClaw ist ein Open-Source-Framework, das als Nervensystem für KI-Agenten fungiert. Seine Hauptfunktion besteht darin, ein großes Sprachmodell (LLM) – das „Gehirn“ – mit einer Reihe von Tools und dem Live-Internet zu verbinden. Diese Tools werden als „Skills“ (Fähigkeiten) bezeichnet und sind diskrete Codepakete, die es dem Agenten ermöglichen, bestimmte Aktionen auszuführen: Inventar überprüfen, eine Rückerstattung bearbeiten, einen Flug buchen oder, noch ominöser, Ihre privaten Dateien lesen [13]. Stellen Sie es sich wie ein Smartphone-Betriebssystem vor, das es jeder App (einer Fähigkeit) ermöglicht, installiert zu werden, um dem Telefon neue Funktionen zu verleihen.
Entwickler strömen zu Frameworks wie OpenClaw, weil sie ein riesiges Problem lösen: LLMs sind nur Sprachprozessoren. Sie können von sich aus nichts tun. Frameworks wie dieses bieten die Infrastruktur – die APIs, die Browser-Controller, die Ausführungsumgebungen –, die ein textgenerierendes Modell in einen handlungsfähigen Agenten verwandeln. Ein kürzlich veröffentlichter HackerNoon-Newsletter erwähnte, dass Entwickler eifrig Agenten mit einer Mischung aus Tools wie Kafka, Flink und Protokollen wie MCP zusammenfügen, was die kambrische Explosion komplexer, miteinander verbundener Systeme verdeutlicht, die derzeit gebaut werden [8].
Und im Herzen der OpenClaw-Architektur befindet sich eine Komponente namens „Gateway“ [2, 10]. Dieses Gateway ist ein Server, der lokal auf dem Rechner eines Entwicklers oder potenziell in der Infrastruktur einer Marke läuft. Es verwaltet die Kommunikation zwischen dem LLM und seinen Skills, oft mithilfe von WebSockets, um eine persistente, bidirektionale Verbindung aufrechtzuerhalten. Dies ermöglicht das Echtzeit- und reaktionsschnelle Gefühl eines ausgeklügelten Agenten. Und genau das machte die ClawJacked-Schwachstelle so verheerend.
Der Grund, warum Sie als Markenführer sich darum kümmern müssen, ist, dass Ihre zukünftige agentic storefront readiness (Bereitschaft des agentengesteuerten Schaufensters) von der Sicherheit dieser Basisschicht abhängt. Der KI-Concierge, den Sie planen, die agentenunterstützte Einkaufsfunktion, die virtuelle Anprobier-KI – sie alle werden mit Frameworks wie OpenClaw erstellt. Wenn das Framework selbst kompromittiert ist, ist Ihre gesamte Commerce AI architecture (KI-Architektur im Handel) auf einem fatalen Fehler aufgebaut.
Die Anatomie einer Entführung: Wie Ihr Agent ClawJacked wird
Lassen Sie uns für einen Moment technisch werden, denn die Details des ClawJacked-Angriffs sind eine perfekte Veranschaulichung der neuen Angriffsflächen, die durch agentische Systeme entstehen. Dies war kein einfacher Phishing-Angriff; es war ein ausgeklügelter ZERO-CLICK-Exploit, der die Architektur missbrauchte, die für Bequemlichkeit entwickelt wurde [12].
Die in Version 2026.2.26 gepatchte Schwachstelle befand sich in der OpenClaw-Gateway-Komponente. Hier ist die Kette des Scheiterns:
- Standardmäßig unsichere Konfiguration: Das Gateway war standardmäßig so konfiguriert, dass es von jedem Ursprung aus zugänglich war. Das bedeutet, dass jede Website, einschließlich einer bösartigen, versuchen konnte, mit ihr zu kommunizieren.
- Persistente WebSocket-Verbindung: Das Gateway verwendet WebSockets, um mit dem browserbasierten Frontend zu kommunizieren. Dies schafft einen „immer aktiven“ Kanal. Wenn ein Benutzer, der eine lokale OpenClaw-Instanz betreibt, eine bösartige Webseite besuchte, konnte diese Seite eine WebSocket-Verbindung zurück zum Gateway auf seinem Computer öffnen.
- Befehlsinjektion: Die bösartige Site konnte dann über diesen gekaperten WebSocket Befehle senden. Da das Gateway darauf ausgelegt war, den Zugriff auf die „Skills“ des Agenten zu vermitteln, konnte die Website den Agenten nun anweisen, jede installierte Skill auszuführen.
Stellen Sie sich vor, Sie sind ein Entwickler bei einer großen Modemarke und verwenden eine OpenClaw-Instanz, um einen Agenten zu erstellen, der Ihre Produktdatenbank abfragen kann. Sie haben ihm eine Skill mit API-Keys gegeben, um auf inventory.yourbrand.com zuzugreifen. Sie besuchen dann in einem anderen Browser-Tab eine kompromittierte Website – sagen wir, einen Blog über Basketballstatistiken. Diese Site kann jetzt, ohne dass Sie etwas anklicken, einen Befehl an Ihren lokalen Agenten senden, der ihn anweist, die Inventar-Skill zu verwenden, alle Daten zu exfiltrieren und an den Server des Angreifers zu senden. Dies ist die Essenz des ClawJacked-Angriffs [2, 11].
Der Ablauf des Angriffs sieht in etwa so aus: