Kaum war OpenClaw durchgestartet, stand das Framework vor einem heiklen Problem – jemand hatte auf npm Pakete mit ähnlichen Namen veröffentlicht, um sich als offizielle Abhängigkeiten von OpenClaw auszugeben.
Ereignisablauf
Die Angreifer registrierten mehrere npm-Pakete, deren Namen denen der offiziellen OpenClaw-Pakete sehr nahe kamen (ein klassischer Typosquatting-Angriff), und betteten darin schädlichen Code ein. Einige Entwickler, die die Paketnamen nicht genau prüften, installierten die falschen Pakete versehentlich.
Glücklicherweise wurde der Schadcode von Community-Mitgliedern relativ schnell entdeckt, und npm entfernte die Pakete innerhalb weniger Stunden nach der Meldung. Allerdings waren bereits einige wenige Entwickler betroffen.
Enthüllte Probleme
Dieser Vorfall offenbarte das Sicherheitsproblem der Lieferkette von Open-Source-KI-Frameworks. KI-Agent-Frameworks haben in der Regel eine Vielzahl von Drittanbieter-Abhängigkeiten, von denen jede eine potenzielle Angriffsfläche darstellt.
Das tiefere Risiko liegt darin: KI-Agent-Frameworks besitzen die Fähigkeit, Code auszuführen. Wenn das Framework selbst mit Schadcode infiltriert wird, kann es die Ausführungsrechte des Agents nutzen, um größeren Schaden anzurichten – etwa API-Schlüssel aus Umgebungsvariablen zu stehlen, auf das Dateisystem zuzugreifen oder Netzwerkanfragen zu senden.
Gegenmaßnahmen
Das OpenClaw-Team ergriff anschließend mehrere Maßnahmen:
- Klärung des Paketnamens und der Verifizierungsmethode in der offiziellen Dokumentation
- Verschärfung der Sicherheitsprüfungen im Veröffentlichungsprozess
- Einrichtung eines Meldeverfahrens für Sicherheitslücken
Das größere Bild
Dies ist kein Problem, das nur OpenClaw betrifft. Die gesamte Lieferkette der KI-Werkzeuge erweist sich angesichts der sich schnell ausweitenden Angriffe als verletzlich:
- Modellgewichte könnten manipuliert werden (gelegentlich auf Hugging Face entdeckt)
- MCP-Server könnten bösartige Funktionen enthalten
- Abhängigkeitsketten von Agent-Frameworks könnten kontaminiert werden
- Prompt-Vorlagen könnten Injection-Angriffe enthalten
Die „Vertrauenskette" von KI-Anwendungen ist länger und komplexer als die traditioneller Software. Sowohl das Sicherheitsbewusstsein als auch die entsprechenden Werkzeuge müssen Schritt halten.
Quellenangabe: CocoLoop, GitHub-Sicherheitshinweise, Diskussionen in der Entwickler-Community