Nghiên cứu: Lỗ hổng nghiêm trọng trong Openclaw cho phép chiếm quyền quản trị hoàn toàn

Sai lầm về "Môi trường đáng tin cậy"

Một nghiên cứu ngày 31 tháng 3 của công ty bảo mật Web3 Certik đã vén màn bí mật về sự “sụp đổ toàn diện” của các ranh giới bảo mật trong Openclaw, một nền tảng trí tuệ nhân tạo (AI) mã nguồn mở. Mặc dù nhanh chóng đạt hơn 300.000 sao trên GitHub, khung nền tảng này đã tích lũy hơn 100 lỗ hổng CVE và 280 cảnh báo bảo mật chỉ trong bốn tháng, tạo ra một “bề mặt tấn công không giới hạn” như các nhà nghiên cứu mô tả.

Báo cáo nhấn mạnh một lỗ hổng kiến trúc cơ bản: Openclaw ban đầu được thiết kế cho “môi trường cục bộ đáng tin cậy”. Tuy nhiên, khi nền tảng này bùng nổ về độ phổ biến, người dùng bắt đầu triển khai nó trên các máy chủ tiếp xúc với internet — một sự chuyển đổi mà phần mềm này chưa bao giờ được trang bị để xử lý.

Theo báo cáo nghiên cứu, các nhà nghiên cứu đã xác định được một số điểm thất bại có rủi ro cao đe dọa dữ liệu người dùng, bao gồm lỗ hổng nghiêm trọng CVE-2026-25253, cho phép kẻ tấn công chiếm quyền kiểm soát quản trị hoàn toàn. Chỉ cần lừa người dùng nhấp vào một liên kết độc hại duy nhất, hacker có thể đánh cắp token xác thực và chiếm quyền điều khiển AI agent.

Trong khi đó, các cuộc quét toàn cầu đã phát hiện hơn 135.000 phiên bản Openclaw tiếp xúc với internet tại 82 quốc gia. Nhiều trong số này có tính năng xác thực bị tắt theo mặc định, dẫn đến rò rỉ khóa API, lịch sử trò chuyện và thông tin đăng nhập nhạy cảm dưới dạng văn bản thuần túy. Báo cáo cũng khẳng định rằng kho lưu trữ các "kỹ năng" do người dùng chia sẻ trên nền tảng này đã bị phần mềm độc hại xâm nhập, và hàng trăm tiện ích mở rộng trong số này được phát hiện chứa các công cụ đánh cắp thông tin nhằm hút trộm mật khẩu đã lưu và ví tiền điện tử.

Hơn nữa, kẻ tấn công hiện đang ẩn các lệnh độc hại trong email và trang web. Khi trợ lý AI xử lý các tài liệu này, nó có thể bị ép buộc để rò rỉ tệp tin hoặc thực thi các lệnh không được ủy quyền mà người dùng không hay biết.

"Openclaw đã trở thành một trường hợp điển hình về những gì xảy ra khi các mô hình ngôn ngữ lớn không còn là các hệ thống trò chuyện cô lập mà bắt đầu hoạt động trong các môi trường thực tế," một chuyên gia kiểm toán chính từ Penligent cho biết. "Nó kết hợp các lỗi phần mềm truyền thống vào một môi trường chạy có quyền hạn được ủy quyền cao, khiến phạm vi ảnh hưởng của bất kỳ lỗi nào cũng trở nên khổng lồ."

Khuyến nghị về giảm thiểu rủi ro và an toàn

Để ứng phó với những phát hiện này, các chuyên gia khuyến nghị áp dụng phương pháp "an ninh là ưu tiên hàng đầu" cho cả nhà phát triển và người dùng cuối. Đối với nhà phát triển, nghiên cứu khuyến nghị thiết lập mô hình đe dọa chính thức ngay từ ngày đầu, áp dụng cách ly sandbox nghiêm ngặt và đảm bảo rằng bất kỳ quy trình con nào do AI tạo ra chỉ thừa hưởng quyền truy cập có đặc quyền thấp và không thể thay đổi.

Đối với người dùng doanh nghiệp, các đội ngũ bảo mật được khuyến nghị sử dụng công cụ phát hiện và phản ứng tại điểm cuối (EDR) để xác định các cài đặt Openclaw trái phép trong mạng nội bộ. Ngược lại, người dùng cá nhân được khuyến khích chạy công cụ này hoàn toàn trong môi trường sandbox, không có quyền truy cập vào dữ liệu sản xuất. Quan trọng nhất, người dùng phải cập nhật lên phiên bản 2026.1.29 hoặc mới hơn để vá các lỗ hổng thực thi mã từ xa (RCE) đã biết.

Mặc dù các nhà phát triển Openclaw gần đây đã hợp tác với Virustotal để quét các kỹ năng được tải lên, các nhà nghiên cứu của Certik cảnh báo rằng đây "không phải là giải pháp thần kỳ". Cho đến khi nền tảng này đạt đến giai đoạn bảo mật ổn định hơn, sự đồng thuận của ngành là coi phần mềm này là không đáng tin cậy về bản chất.

Câu hỏi thường gặp ❓

• Openclaw là gì? Openclaw là một khung AI mã nguồn mở đã nhanh chóng đạt được hơn 300.000 sao trên GitHub.
• Tại sao nó lại rủi ro? Nó được xây dựng để sử dụng cục bộ đáng tin cậy nhưng hiện đang được triển khai rộng rãi trên mạng, phơi bày các lỗ hổng nghiêm trọng.
• Có những mối đe dọa nào? Các lỗ hổng CVE nghiêm trọng, tiện ích mở rộng bị nhiễm phần mềm độc hại và hơn 135.000 trường hợp bị lộ trên 82 quốc gia.
• Làm thế nào để người dùng đảm bảo an toàn? Chỉ chạy trong môi trường sandbox và cập nhật lên phiên bản 2026.1.29 trở lên.