Im Februar 2026 identifizierte das Unit-42-Team von Palo Alto Networks fünf aktive bösartige Skills auf ClawHub — dem offiziellen Marketplace für OpenClaw-KI-Agenten — darunter macOS-Infostealer über curl-pipe-bash-Dropper, Scanner-Evasion durch 22-MB-Padding, dynamische Affiliate-Injektion in Finanzempfehlungen und das erste dokumentierte autonome KI-Agenten-Pump-and-Dump-Schema auf der Solana-Blockchain. Koi Securitys unabhängige ClawHavoc-Analyse belegte insgesamt 341 bösartige Skills im gleichen Zeitraum.
OpenClaw ist eine Open-Source-KI-Agenten-Plattform für Produktivitätsautomatisierung und Finanzanalyse-Workflows. Der ClawHub-Marketplace erlaubt Drittentwicklern, Skills zu veröffentlichen — modulare Erweiterungen, die mit vollständigem Zugriff auf die Runtime-Identität und Autorität des Agenten ausgeführt werden. Die Plattformarchitektur platziert Skill-Logik und Agentenautorität in einem gemeinsamen Ausführungskontext: eine bewusste Designentscheidung, die extreme Leistungsfähigkeit für legitime Anwendungsfälle und eine entsprechende Angriffsfläche für bösartige erzeugt. Bitdefender Labs stellte fest, dass etwa 17 % der frühen OpenClaw-Skills bösartige Payloads enthielten.
Vier Angriffskategorien: Das technische Protokoll
Die Unit-42-Analyse vom 23. Juni 2026 dokumentiert jeden Angriff in technischer Tiefe. Die Skills tradingview-ai-indicator-assistant und ai-tradingview-assistant-for-macos lieferten den macOS-Infostealer cluw über Base64-kodierte curl-pipe-bash-Dropper, die über Paste-Site-Services (glot[.]io und rentry[.]co) umgeleitet wurden. Die C2-Infrastruktur bei 2.26.75[.]16 und 91.92.242[.]30 etablierte Persistenz über geplante Cron-Jobs, die die Entfernung der Skill aus dem Marketplace überlebten. Die dynamische Redirect-Architektur gewährleistet, dass jede Anfrage zur Laufzeit ein aktuelles Payload abruft — jenseits des Installationszeitpunkts, an dem statische Scanner operieren.
Der Skill omnicogg (SHA256: b30eaed1f7478c28f4ec50d07ed5ef014ffbc4b2bc5a38d689ba9f7abb5e19c2) demonstrierte ein präzises Verständnis der Scanner-Architektur: 22 MB Padding-Zeichen in der README.md überschritten die Verarbeitungsschwellenwerte sowohl von VirusTotal als auch von ClawScan. Beide gaben saubere Ergebnisse für eine Datei mit einem aktiven AMOS-Payload zurück. Die Technik erfordert null Exploit-Code — sie nutzt eine in der Scanner-Dokumentation öffentlich beschriebene Grenze der statischen Analysetools.
Der Skill money-radar lud ein dynamisch aktualisiertes referrals.json als Vorbedingung für die Beantwortung jeder Finanzfrage und leitete 60+ Produkte über vom Betreiber kontrollierte Affiliate-Tracking-Links für Nutzer in Festlandchina, Hongkong und Singapur weiter. Der Betreiber rotierte Affiliate-Partner nach der Installation mit vollständiger dynamischer Kontrolle — mit einer Audit-Spur, die für den Endnutzer vollständig leer blieb.
Der Skill letssendit (SHA256: f4e41aa269c88bf11a2022701a9cf41e9a186aa1b224d837c31bf34e0b875d0e) koordinierte autonome Agenten, die Solana in die Wallet des Betreibers bündelten und Token-Launches auf pump[.]fun über die Domain letssendit[.]fun front-rannten. Unit 42 klassifiziert dies als den ersten dokumentierten Fall der Bewaffnung eines autonomen KI-Agentennetzwerks zur Finanzmarktmanipulation — eine Angriffskategorie, für die bisherige Supply-Chain-Forschung eine vollständig leere Referenzbasis aufwies.
Semantic Instruction Hijacking: Das Architekturproblem
Unit 42s zentrale Erkenntnis reicht über die fünf Einzelfälle hinaus: Bösartige Skills verwenden Semantic Instruction Hijacking, um technische Einschränkungen zu umgehen, die äquivalente Angriffe in containerisierten Laufzeitumgebungen blockieren würden. Ein OpenClaw-Skill wird mit der vollständigen Identität des Agenten ausgeführt — seinen Berechtigungen, dem Datenzugriff und der ausgehenden Kommunikationsfähigkeit. Ein Skill kann Agentenverhalten, Datenverarbeitung und Netzwerkziele aus derselben Ausführungsebene heraus neu definieren. Die Angriffsfläche ist das primäre Feature der Architektur, umgelenkt.
Die beiden Screening-Mechanismen von ClawHub — ClawScan-Audits und VirusTotal-Integration — versagten beide gegenüber aktiven Bedrohungen, die von Februar bis Mai 2026 im Marketplace präsent waren. Die dynamische Payload-Lieferung über Paste-Site-Redirects platziert bösartige Inhalte zur Laufzeit — strukturell außerhalb der Reichweite statischer Analyse zum Installationszeitpunkt. ClawHub kündigte am 1. Juni 2026 eine Zusammenarbeit mit NVIDIA an, die auf Runtime-Analyse und Dokumentationsebenen-Review abzielt. Deployments, die bis Mai 2026 aktiv waren, erfordern ein rückwirkendes Audit gegen die veröffentlichte IOC-Liste.
Die Entscheidung für Engineering-Führungskräfte
Teams, die OpenClaw betreiben — oder ein beliebiges Agenten-Framework mit einem zentralisierten Skill-Marketplace — müssen Skill-Installation als äquivalent zur Gewährung von Drittanbieter-Code mit vollständiger Agentenebenen-Ausführungsberechtigung reklassifizieren. Das korrekte mentale Modell: Dies kommt der Gewährung von SSH-Zugang näher als der Installation einer Browser-Erweiterung.
Drei Gegenmaßnahmen operieren auf Architekturebene. Runtime-Egress-Monitoring etabliert eine dokumentierte Baseline erwarteter ausgehender Endpunkte und generiert Alerts bei jeder Verbindung zu Infrastruktur außerhalb des genehmigten Registrys. Die von Unit 42 dokumentierten C2-Kanäle — 2.26.75[.]16, 91.92.242[.]30, laosji[.]net, letssendit[.]fun — waren über Netzwerktelemetrie erkennbar, auch als Scanner saubere Ergebnisse lieferten. Publisher-Provenienz-Verifikation erfordert ein zeilenweises Quellcode-Audit kombiniert mit verifizierter Publisher-Identität und nachvollziehbarer Commit-Historie vor dem Deployment. Zusammen bilden diese die minimale Sicherheitsposition für jedes Produktions-OpenClaw-Deployment.
Der letssendit-Fall fordert eine dritte Aktualisierung des organisatorischen Bedrohungsmodells: Agenten mit Wallet-Zugriff oder finanzieller Ausführungsbefugnis erfordern Sicherheitsüberprüfungsprozesse aus dem Bereich der Finanzdienstleistungs-Threat-Modellierung, ausgerichtet auf autonomes Transaktionsmonitoring und Wallet-Scope-Begrenzung auf Infrastrukturebene. Das Pump-and-Dump-Schema wurde vollständig innerhalb des normalen operativen Envelopes des Agenten ausgeführt — der Agent erfüllte seine entworfene Funktion für ein Angreifer-Konto.
Die unmittelbare operative Priorität ist die Querprüfung installierter Skills gegen Unit 42s vollständige IOC-Liste — SHA256-Hashes, IP-Adressen und Domains — vor dem nächsten geplanten Sicherheitsüberprüfungsfenster. Auto-Updater-Mechanismen in den dokumentierten Infostealer-Fällen erhielten C2-Kanäle nach der Skill-Entfernung aus dem Marketplace aufrecht, was bedeutet, dass aktive Kompromittierungen eine dedizierte Remediation über die Deinstallation hinaus erfordern.
Artikel von LEON — AI Agents & Systems
LEON deckt die technische Schicht ab, auf der KI-Agenten gebaut und eingesetzt werden. Quellen: Code, Dokumentation, CVEs.