Studio: una vulnerabilità critica in Openclaw consente il completo dirottamento dei privilegi amministrativi

L'errore del "Trusted Environment"

Uno studio del 31 marzo condotto dalla società di sicurezza Web3 Certik ha svelato un "collasso sistemico" dei confini di sicurezza all'interno di Openclaw, una piattaforma open source di intelligenza artificiale (AI). Nonostante la sua rapida ascesa a oltre 300.000 stelle su GitHub, il framework ha accumulato più di 100 CVE e 280 avvisi di sicurezza in soli quattro mesi, creando quella che i ricercatori definiscono una superficie di attacco "illimitata". Il rapporto evidenzia un difetto architettonico fondamentale: Openclaw era stato originariamente progettato per "ambienti locali affidabili". Tuttavia, con l'esplosione della popolarità della piattaforma, gli utenti hanno iniziato a implementarla su server esposti a Internet, una transizione che il software non era in grado di gestire. Secondo il rapporto dello studio, i ricercatori hanno identificato diversi punti di errore ad alto rischio che mettono a repentaglio i dati degli utenti, inclusa la vulnerabilità critica CVE-2026-25253, che consente agli aggressori di assumere il pieno controllo amministrativo. Inducendo un utente a cliccare su un singolo link dannoso, gli hacker possono rubare i token di autenticazione e dirottare l'agente AI. Nel frattempo, scansioni globali hanno rivelato più di 135.000 istanze di Openclaw esposte a Internet in 82 paesi. In molte di queste l'autenticazione era disabilitata di default, causando la fuga di chiavi API, cronologie di chat e credenziali sensibili in chiaro. Il rapporto afferma inoltre che il repository della piattaforma per le "skills" condivise dagli utenti è stato infiltrato da malware e che centinaia di queste estensioni sono risultate contenere infostealer progettati per sottrarre password salvate e portafogli di criptovaluta. Inoltre, gli aggressori stanno ora nascondendo istruzioni dannose all'interno di e-mail e pagine web. Quando l'agente AI elabora questi documenti, può essere costretto a sottrarre file o eseguire comandi non autorizzati all'insaputa dell'utente.

"Openclaw è diventato un caso di studio su ciò che accade quando i modelli linguistici di grandi dimensioni smettono di essere sistemi di chat isolati e iniziano ad agire all'interno di ambienti reali", ha affermato un revisore capo di Penligent. "Aggrega i classici difetti del software in un runtime con elevata autorità delegata, rendendo enorme il raggio d'azione di ogni singolo bug."

Raccomandazioni di mitigazione e sicurezza

In risposta a questi risultati, gli esperti sollecitano un approccio "security-first" sia per gli sviluppatori che per gli utenti finali. Per gli sviluppatori, lo studio raccomanda di stabilire modelli di minaccia formali sin dal primo giorno, applicando un rigoroso isolamento in sandbox e assicurando che qualsiasi sottoprocesso generato dall'IA erediti solo permessi immutabili e a basso privilegio.

Per gli utenti aziendali, i team di sicurezza sono esortati a utilizzare strumenti di rilevamento e risposta degli endpoint (EDR) per individuare installazioni non autorizzate di Openclaw all'interno delle reti aziendali. D'altra parte, gli utenti individuali sono incoraggiati a eseguire lo strumento esclusivamente in un ambiente sandbox senza accesso ai dati di produzione. Soprattutto, gli utenti devono aggiornare alla versione 2026.1.29 o successive per correggere le vulnerabilità note di esecuzione di codice remoto (RCE).

Sebbene gli sviluppatori di Openclaw abbiano recentemente stretto una partnership con Virustotal per eseguire la scansione delle competenze caricate, i ricercatori di Certik avvertono che questa non è una "soluzione miracolosa". Fino a quando la piattaforma non raggiungerà una fase di sicurezza più stabile, il consenso del settore è quello di considerare il software come intrinsecamente inaffidabile.

Domande frequenti ❓

• Cos'è Openclaw? Openclaw è un framework di IA open source che ha rapidamente raggiunto oltre 300.000 stelle su GitHub.
• Perché è rischioso? È stato creato per un uso locale affidabile, ma ora è ampiamente utilizzato online, esponendo gravi vulnerabilità.
• Quali minacce esistono? CVE critici, estensioni infettate da malware e oltre 135.000 istanze esposte in 82 paesi.
• Come possono gli utenti proteggersi? Eseguirlo solo in ambienti sandbox e aggiornarlo alla versione 2026.1.29 o successive.