Claw Chain: Ευπάθειες OpenClaw επιτρέπουν πλήρη παραβίαση συστημάτων

Η ασφάλεια των αυτόνομων AI agents βρίσκεται ξανά στο επίκεντρο, μετά την αποκάλυψη τεσσάρων κρίσιμων ευπαθειών στο OpenClaw από ερευνητές κυβερνοασφάλειας της Cyera. Τα flaws, τα οποία ονομάστηκαν συλλογικά “Claw Chain”, επιτρέπουν σε έναν επιτιθέμενο να αποκτήσει πρόσβαση σε ευαίσθητα δεδομένα, να κλιμακώσει δικαιώματα και τελικά να διατηρήσει μόνιμο έλεγχο σε παραβιασμένα συστήματα.

Οι ευπάθειες επηρεάζουν το backend sandbox που χρησιμοποιείται από το OpenShell του OpenClaw, καθώς και το MCP loopback runtime. Σύμφωνα με τους ερευνητές, η επικινδυνότητα της αλυσίδας επίθεσης είναι ιδιαίτερα υψηλή, καθώς οι κακόβουλες ενέργειες μοιάζουν σχεδόν πανομοιότυπες με τις νόμιμες λειτουργίες ενός AI agent, δυσκολεύοντας σημαντικά την ανίχνευση από παραδοσιακά εργαλεία ασφαλείας.

Η ομάδα του OpenClaw επιβεβαίωσε ότι και τα τέσσερα προβλήματα έχουν διορθωθεί στην έκδοση 2026.4.22, ωστόσο εκατομμύρια χρήστες ενδέχεται να παραμένουν εκτεθειμένοι λόγω παλαιότερων εγκαταστάσεων.

OpenClaw: Πώς λειτουργεί η αλυσίδα επίθεσης “Claw Chain”

Η επίθεση εξελίσσεται σε τέσσερα διαδοχικά στάδια, αξιοποιώντας διαφορετικά vulnerabilities για να επιτευχθεί πλήρης παραβίαση του περιβάλλοντος.

Το πρώτο βήμα ξεκινά όταν ένας επιτιθέμενος καταφέρει να αποκτήσει execution μέσα στο OpenShell sandbox. Αυτό μπορεί να συμβεί μέσω κακόβουλου plugin, prompt injection ή παραβιασμένου external input.

Δείτε επίσης: NGINX: Κρίσιμη ευπάθεια χρησιμοποιείται σε επιθέσεις

Στη συνέχεια ενεργοποιούνται τα CVE-2026-44113 και CVE-2026-44115, τα οποία επιτρέπουν την αποκάλυψη διαπιστευτηρίων, μυστικών αρχείων και άλλων ευαίσθητων δεδομένων που κανονικά θα έπρεπε να προστατεύονται από το sandbox.

Το τρίτο στάδιο θεωρείται ιδιαίτερα κρίσιμο από αρχιτεκτονικής πλευράς. Το CVE-2026-44118 εκμεταλλεύεται έναν μηχανισμό ελέγχου ownership μέσα στο runtime του OpenClaw, επιτρέποντας σε έναν επιτιθέμενο να αποκτήσει owner-level έλεγχο του agent environment.

Τέλος, το CVE-2026-44112 — το σοβαρότερο flaw της αλυσίδας με CVSS score 9.6 — χρησιμοποιείται για persistence εκτός sandbox, εγκατάσταση backdoors και μόνιμη τροποποίηση του configuration του host συστήματος.

Η ευπάθεια που ανησυχεί περισσότερο τους ερευνητές

Ανάμεσα στις τέσσερις ευπάθειες, το CVE-2026-44118 θεωρείται το πιο ανησυχητικό από πλευράς σχεδιασμού. Το πρόβλημα προκύπτει επειδή το OpenClaw εμπιστεύεται ένα client-controlled flag με την ονομασία “senderIsOwner”, χωρίς να πραγματοποιεί σωστή επαλήθευση μέσω authentication session.

Με απλά λόγια, οποιοσδήποτε non-owner loopback client μπορούσε να παρουσιαστεί ψευδώς ως owner του runtime και να αποκτήσει πρόσβαση σε κρίσιμες λειτουργίες όπως configuration management, cron scheduling και έλεγχο του execution environment.

Η διόρθωση που εφαρμόστηκε αλλάζει πλήρως τη λογική πιστοποίησης, εισάγοντας ξεχωριστά owner και non-owner authentication tokens, ενώ η πληροφορία ownership πλέον παράγεται αποκλειστικά από το auth token και όχι από client headers που μπορούν να παραποιηθούν.

TOCTOU ευπάθειες και παράκαμψη του sandbox

Ιδιαίτερο ενδιαφέρον παρουσιάζουν και τα δύο TOCTOU vulnerabilities — γνωστά ως “Time-of-Check/Time-of-Use” flaws — που καταγράφηκαν ως CVE-2026-44112 και CVE-2026-44113.

Οι επιθέσεις αυτού του τύπου εκμεταλλεύονται το χρονικό κενό ανάμεσα στον έλεγχο ασφαλείας και την πραγματική χρήση ενός resource. Στην περίπτωση του OpenClaw, οι επιτιθέμενοι μπορούσαν να ανακατευθύνουν file reads και writes εκτός της προβλεπόμενης sandbox root περιοχής, παρακάμπτοντας πλήρως τους περιορισμούς ασφαλείας.

Δείτε επίσης: Microsoft: Απορρίπτει αναφορά κρίσιμης ευπάθειας Azure Backup

Το CVE-2026-44115, από την άλλη πλευρά, χρησιμοποιεί shell expansion tokens μέσα σε heredoc payloads, επιτρέποντας command execution που κανονικά θα μπλοκαριζόταν από το runtime environment.

Οι ερευνητές της Cyera υπογραμμίζουν ότι η πραγματική επικινδυνότητα του Claw Chain βρίσκεται στο γεγονός ότι οι επιθέσεις εκτελούνται χρησιμοποιώντας τα ίδια τα προνόμια του AI agent. Ουσιαστικά, ο επιτιθέμενος μετατρέπει τον agent σε “ψηφιακά χέρια” μέσα στο περιβάλλον του χρήστη.

Η αυξανόμενη κρίση ασφάλειας γύρω από το OpenClaw

Δεν είναι η πρώτη φορά που το OpenClaw βρίσκεται στο στόχαστρο ερευνητών ασφαλείας. Τον Ιανουάριο είχε αποκαλυφθεί η κρίσιμη RCE ευπάθεια CVE-2026-25253, η οποία επέτρεπε σε κακόβουλους ιστότοπους να συνδέονται σιωπηλά στον local agent server μέσω μη επικυρωμένων WebSockets.

Παράλληλα, έλεγχος της Koi Security στο ClawHub marketplace αποκάλυψε 341 κακόβουλες “skills” ανάμεσα σε 2.857 διαθέσιμες εφαρμογές. Οι επιθέσεις περιλάμβαναν credential theft, reverse shells και cryptomining hijacks.

Η Nvidia προσπάθησε να αντιμετωπίσει ορισμένα από τα ζητήματα μέσω του NemoClaw, μιας enterprise-grade πλατφόρμας ασφαλείας που αναπτύχθηκε σε συνεργασία με τις Cisco, CrowdStrike, Google και Microsoft Security. Ωστόσο, το NemoClaw λειτουργεί κυρίως σε επίπεδο infrastructure orchestration και όχι application sandboxing, κάτι που σημαίνει ότι οι Claw Chain ευπάθειες επηρέαζαν ακόμη και hardened deployments πριν την κυκλοφορία των patches.

Δείτε επίσης: WordPress: Hackers εκμεταλλεύονται ευπάθεια του Burst Statistics

Το μεγάλο πρόβλημα της εποχής των AI agents

Η υπόθεση του Claw Chain αναδεικνύει ένα πολύ ευρύτερο ζήτημα που αρχίζει να απασχολεί έντονα τη βιομηχανία της τεχνητής νοημοσύνης: οι AI agents διαθέτουν πλέον πρόσβαση σε αρχεία, API keys, credentials, cloud υποδομές και εταιρικά δεδομένα.

Όταν ένας τέτοιος agent παραβιαστεί, οι συνέπειες είναι πρακτικά ίδιες με την πλήρη παραβίαση του ίδιου του χρήστη ή ακόμη και ολόκληρου του οργανισμού.

Η παραδοσιακή περιμετρική ασφάλεια σχεδιάστηκε για ανθρώπους χρήστες και όχι για αυτόνομα λογισμικά που εκτελούν οδηγίες από εξωτερικές πηγές σε πραγματικό χρόνο. Το Claw Chain ίσως αποτελέσει το περιστατικό που θα αναγκάσει τη βιομηχανία να αντιμετωπίσει επιτέλους την ασφάλεια των AI agents με την ίδια σοβαρότητα που αντιμετωπίζονται σήμερα τα λειτουργικά συστήματα και οι cloud υποδομές.