Der Kern des Problems liegt in einer scheinbar banalen Infrastrukturentscheidung: Weil OpenShell in einem Container läuft, startet NemoClaw den Ollama-Dienst auf 0.0.0.0:11434 statt ihn auf 127.0.0.1 zu beschränken. Damit ist die nicht authentifizierte API über die lokale Loopback-Schnittstelle hinaus erreichbar. Zusätzlich deaktiviert diese Konfiguration laut den Forschern eine Prüfung des Host-Headers in Ollama, die genau solche Zugriffe aus dem Browser verhindern soll.
In ihrem Proof of Concept demonstrierte das Team den Angriff per DNS-Rebinding: Eine bösartige Seite wird zunächst von einer Angreifer-Domain geladen, deren Namensauflösung anschließend auf den Rechner des Opfers umgestellt wird. Da der Browser die Anfragen weiterhin der ursprünglichen Domain zuordnet, kann die Seite ohne Authentifizierung direkt mit der lokalen Ollama-API sprechen — Modelle auflisten, Inferenz ausführen sowie Modelle verändern oder löschen.
“Kurz gesagt: Ein einziger Besuch einer vom Angreifer kontrollierten Webseite genügt, um ihm die vollständige, nicht authentifizierte Kontrolle über den lokalen Modellserver zu übergeben, der den Agenten antreibt”, heißt es im Bericht. “Von dort aus kann der Angreifer unbemerkt versteckte Anweisungen im Modell selbst platzieren, die der Agent dann in jeder weiteren Unterhaltung befolgt.”
Am gefährlichsten ist der Zugriff auf das Chat-Template — jene Schicht, die die strukturierten Nachrichten von OpenClaw samt System-Prompt in den Text übersetzt, der an das Modell geht. Eingeschleuste Anweisungen können laut den Forschern hintertürbehafteten Code liefern, das Modell dazu bringen, Sicherheitsbedenken zu unterdrücken, oder bei ausgehendem Netzzugang Daten abfließen lassen. Die manipulierten Anweisungen werden zur Inferenzzeit an den legitimen System-Prompt angehängt.
Oasis bestätigte gegenüber Dark Reading, dass der Fehler für macOS und Linux in Version 0.0.35 behoben ist. Für Windows gibt es keinen Fix; Version 0.0.34 enthält eine Windows-Installation mit einem Warnhinweis. NVIDIA reagierte auf eine Anfrage von Dark Reading zunächst nicht.
Technisch sei an dem Angriff wenig neu, ordnen Fachleute ein: Ein offener Dienst, eine unauthentifizierte API und DNS-Rebinding gelten als klassische Netzwerkprobleme. “Der neue Teil ist, dass man das auf einen unauthentifizierten lokalen Modellserver richtet, und das ist ein guter Vorgeschmack darauf, wo das Risiko agentischer KI tatsächlich liegt”, sagt Randolph Barr, CISO bei Cequence Security, per E-Mail.
Rickard Carlsson, CEO der KI-Sicherheitsfirma Detectify, verweist auf die Reichweite: “OpenClaw läuft oft mit Zugriff auf viele verschiedene Systeme und Ressourcen, weil es diesen Zugriff für die Automatisierung von Aufgaben braucht. Wenn ein Angreifer das Verhalten des Agenten kontrollieren kann, kommt das faktisch einem Vollzugriff auf die Maschine gleich.” Die Bereinigung sei zudem aufwendig, da Organisationen “auch das Zurücksetzen dieser Anweisungen einbeziehen müssten, statt einfach nur die zugrunde liegende Schwachstelle zu patchen”.
Sandboxing allein reicht laut Bericht nicht: Es schütze nur den Endpunkt, “während der autorisierte Zugriff des Agenten — auf Code, Werkzeuge, APIs und organisatorische Ressourcen — den tatsächlichen Wirkungsradius einer Kompromittierung bestimmt”. Barr empfiehlt stattdessen, den Verkehr zwischen Agent und Modell sowie zwischen Agent und API “als eigene Sicherheitsschicht zu behandeln, die überwacht und kontrolliert werden muss”, und ein eigens dafür gebautes Gateway vor den KI-Verkehr zu setzen.