Исследователи из Hunt.io разобрали (https://hunt.io/blog/cve-2026-25253-openclaw-ai-agent-exposure) потенциальные последствия эксплуатации уязвимости CVE‑2026‑25253 (https://nvd.nist.gov/vuln/detail/CVE-2026-25253) с оценкой CVSSv3 = 8.8 в OpenClaw и его форках (Clawdbot, Moltbot). Это browser‑automation фреймворки, связывающие LLM с браузером через Playwright. Эти агенты обычно имеют доступ к файловой системе и API‑ключам LLM, что автоматически делает последствия эксплуатации довольно критичными.
Основная проблема:
Ручка /api/export-auth доступна без аутентификации
Позволяет выгрузить все сохранённые API‑токены провайдеров LLM (OpenAI, Claude, Google AI и др.)
Технические детали эксплуатации
OpenClaw до патча:
Читает параметр gatewayUrl из query‑string
Автоматически подключается к нему по WebSocket
Без подтверждения пользователя отправляет auth‑токен на хост атакующего
Сценарий:
Жертва кликает ссылку:
OpenClaw сам подключается к WebSocket на хосте атакующего
Токен мгновенно утекает атакующему
Атакующий использует токен для подключения к Gateway API жертвы
Меняет конфигурацию агента
Вызывает привилегированные API → выполнение произвольного кода на хосте
Масштаб последствий
17 500+ публично доступных инстансов в интернете
68.9% — Clawdbot Control
22.3% — Moltbot Control
8.8% — OpenClaw Control
Рекомендации:
Обновиться до версии OpenClaw v2026.1.29
Считать все ключи скомпрометированными, проверить балансы провайдеров LLM, провести ротацию ключей
Использовать естественный интеллект
Не публиковать AI‑агентов в интернет
Основная проблема: Ручка /api/export-auth доступна без аутентификации Позволяет выгрузить все сохранённые API‑токены провайдеров LLM (OpenAI, Claude, Google AI и др.) Технические детали эксплуатацииOpenClaw до патча:
Читает параметр gatewayUrl из query‑string Автоматически подключается к нему по WebSocket Без подтверждения пользователя отправляет auth‑токен на хост атакующего Сценарий: Жертва кликает ссылку: OpenClaw сам подключается к WebSocket на хосте атакующего Токен мгновенно утекает атакующему Атакующий использует токен для подключения к Gateway API жертвы Меняет конфигурацию агента Вызывает привилегированные API → выполнение произвольного кода на хосте Масштаб последствий 17 500+ публично доступных инстансов в интернете
68.9% — Clawdbot Control
22.3% — Moltbot Control
8.8% — OpenClaw Control
Рекомендации: Обновиться до версии OpenClaw v2026.1.29 Считать все ключи скомпрометированными, проверить балансы провайдеров LLM, провести ротацию ключей Использовать естественный интеллект Не публиковать AI‑агентов в интернет