Eine Freigabe galt plötzlich weiter als gedacht
OpenClaw verbindet einen KI-Assistenten mit Dateien, Programmen, Browsern und Nachrichtendiensten. Dafür kann ein Betreiber einzelne Aktionen erlauben. Mehrere veröffentlichte Sicherheitshinweise zeigen nun, dass solche Erlaubnisse in bestimmten Konfigurationen weiter reichen konnten als angezeigt. Ein zuvor genehmigter Befehl ließ sich etwa im gleichen Wortlaut in einem anderen Arbeitsordner anfordern. Dort konnte er andere Dateien lesen oder verändern als jene, die der Mensch bei der Freigabe vor Augen hatte. Das ist ein Sicherheitsfehler, kein belegter Roboteraufstand. [1] [3]
Ein ähnliches Problem betraf dauerhaft erlaubte Dateiübertragungen. Sonderzeichen in einem freigegebenen Pfad konnten später als Suchmuster verstanden werden und dadurch auch benachbarte Pfade erfassen. Außerdem konnten Freigaben zwischen verschiedenen verbundenen Geräten wiederverwendet werden, wenn diese denselben Anzeigenamen trugen. Laut Snyk setzte dies eine vorherige dauerhafte Freigabe sowie ein passendes zusätzliches Ziel voraus. Die Lücke öffnete also nicht automatisch sämtliche Dateien, konnte aber eine bewusst eng erteilte Erlaubnis nachträglich verbreitern. [3]
Wie Dateigrenzen umgangen werden konnten
Weitere Hinweise betreffen Pfade, also die Adressen von Dateien auf einem Rechner. OpenClaw ordnete bestimmte alternative Schreibweisen einer lokalen Dateiadresse fälschlich als relative Pfade im aktuellen Arbeitsordner ein. Dadurch konnte ein nicht vertrauenswürdiger oder übernommener Gegenpart Dateien außerhalb dieses Ordners anfordern, ohne die sonst vorgesehene Bestätigung auszulösen. Ausnutzbar war dies laut Snyk nur, wenn ein Betreiber OpenClaw mit einem solchen Gegenpart verband. Ein allgemeiner Fernzugriff ohne vorherige Verbindung ist damit nicht belegt. [3]
Bei der Anbindung QQBot gab es außerdem eine klassische Verzeichnisdurchquerung: Bei einem entsprechend kodierten Dateinamen eines Sprachanhangs konnten nach der Bereinigung erneut Bestandteile auftauchen, die aus dem vorgesehenen Ablageordner hinausführten. Ein entfernter Absender hätte dadurch kontrollierte Daten an andere Orte schreiben können, sofern der Prozess dort Schreibrechte besaß. Die Beschreibung nennt eine mögliche Angriffskette, aber keinen dokumentierten erfolgreichen Angriff. Unser Magazin muss daher ausnahmsweise zwischen „konnte“ und „tat“ unterscheiden; heute gelingt das sogar. [3]
Die Korrekturen in OpenClaw 2026.8.1
Die offiziellen Hinweise zu OpenClaw 2026.8.1 beschreiben ein grundsätzlich engeres Freigabemodell. Zustimmungen werden an die konkrete Anfrage, den Befehl, die Sitzung und die Person gebunden. Wiederverwendbare Befehlsfreigaben können zusätzlich die genauen Argumente und den Arbeitsordner festhalten. Bei Befehlen aus Skriptdateien prüft OpenClaw erneut, ob deren Inhalt noch dem geprüften Stand entspricht. Verändert sich eine entscheidende Grundlage, soll das System stoppen oder erneut fragen, statt eine alte Erlaubnis stillschweigend weiterzuverwenden. [1]
Auch laufende und geplante Aufgaben sollen ihre ursprünglichen Einschränkungen behalten. Wird eine dauerhafte Erlaubnis widerrufen, greift das spätestens beim nächsten Start eines betreffenden Vorgangs. Abgebrochene Läufe räumen noch offene Zustimmungen auf, und bereits beantwortete Freigaben lassen sich durch eine neue Verbindung nicht wiederbeleben. Für einzelne Sitzungen stehen abgestufte Zugriffsarten von nur lesend bis vollständig bereit. Bestehende Sitzungen ohne neuen Berechtigungsmodus behalten allerdings zunächst die frühere globale Einstellung; die Umstellung wirkt nicht rückwirkend. [1]
Warum die Fehler trotzdem ernst zu nehmen sind
OpenClaw ist darauf ausgelegt, nicht nur Antworten zu formulieren, sondern Werkzeuge zu benutzen. Deshalb sind falsch begrenzte Freigaben besonders relevant: Ein angebundener Assistent kann je nach Konfiguration Dateien lesen, Befehle ausführen oder Einstellungen ändern. Die GitLab-Datenbank listet daneben zahlreiche weitere, jeweils an bestimmte Funktionen gebundene Berechtigungsfehler. Dazu gehören übersprungene Absenderprüfungen, falsch zugeordnete Genehmigungen und Zugriffe auf lokale Dateien. Nicht jede Installation besitzt alle betroffenen Funktionen. [2]
Die Quellen machen zugleich deutlich, dass viele Schwachstellen Voraussetzungen hatten. Teilweise brauchte ein Angreifer bereits ein angemeldetes Konto, Zugriff auf einen erlaubten Nachrichtenkanal, ein verbundenes Gerät oder eine vorher erteilte Dauerfreigabe. Manche Funktionen gelten im OpenClaw-Vertrauensmodell absichtlich als mächtig. Das verringert nicht die Bedeutung einer fehlerhaften Grenze, unterscheidet sie aber von einer Übernahme aus dem offenen Internet ohne Zugangsdaten. Entscheidend ist deshalb, welche Erweiterungen, Kanäle und Freigabemodi eine konkrete Installation tatsächlich nutzte. [2] [3]
Was die Quellen nicht zeigen
Die vorliegenden Auszüge belegen weder einen konkret geschädigten Betreiber noch gestohlene Daten oder ausgeführte Befehle auf einem fremden Rechner. Sie nennen auch kein belastbares Datum für die erste öffentliche Offenlegung der ausgewählten Fehler. Die Versionsnummer 2026.8.1 bezeichnet den dokumentierten Patchstand, nicht automatisch den Tag der Entdeckung oder Veröffentlichung. Der im Recherchehinweis genannte Zeitraum Ende März bis Anfang April lässt sich aus den lesbaren Quellentexten nicht bestätigen und wird deshalb nicht als Ereignisdatum übernommen. [1] [2] [3]
Vor allem dokumentiert das Material keine beobachtete Entscheidung eines KI-Agenten, diese Fehler eigenständig zu suchen oder auszunutzen. Formulierungen wie „eine spätere Agentenanfrage kann eine Freigabe wiederverwenden“ beschreiben die technische Möglichkeit. Sie sagen nicht, wer die Anfrage erzeugte, ob ein Modell sie plante oder ob sie überhaupt ausgeführt wurde. Reale Softwarefehler und mögliche reale Angriffe bleiben ernst; für unsere engere Frage nach autonomem Fehlverhalten liefern sie jedoch keinen positiven Befund. Die Maschine bekommt diesmal keinen Punkt allein für vorhandene Türen. [1] [3]
Terminator-Check
Autonomie, Grenzüberschreitung und Täuschung sind jeweils nicht belegt. Zwar konnten OpenClaw-Komponenten unter bestimmten Bedingungen mehr Zugriff gewähren als vorgesehen. Die Quellen zeigen aber keinen Agenten, der selbstständig einen solchen Weg entwickelte, eine Grenze tatsächlich überschritt oder einen Menschen über sein Vorgehen täuschte. Bewertet wird hier beobachtetes KI-Verhalten, nicht das Gefahrenpotenzial eines Programmfehlers und auch nicht die Absicht eines möglichen Angreifers. Deshalb dürfen die technischen Schwachstellen nicht nachträglich zu Handlungen eines KI-Systems umgedeutet werden. [1] [2] [3]
Selbsterhaltung und Realweltwirkung durch einen KI-Agenten sind ebenfalls nicht belegt. Nichts deutet darauf hin, dass ein System seine Abschaltung verhinderte, Kontrolle abwehrte oder ein eigenes Ziel verfolgte. OpenClaw ist reale Software, und ihre Fehler konnten reale Sicherheitsfolgen ermöglichen. Das ist jedoch getrennt von der Frage, ob ein autonom handelnder Agent solche Folgen verursachte. Dafür fehlt ein beobachteter Fall. Der Terminator-Score lautet daher 0 von 5: keine Entwarnung für die Software, aber kein belegtes autonomes Fehlverhalten. [1] [2] [3]
Podcast