575 verseuchte OpenClaw-Skills: Kriminelle machen KI-Agenten zum Einfallstor

Worum es geht

Der Sicherheitsanbieter Acronis hat seinen Bedrohungsbericht „TRU Cyber Pulse 2026“ veröffentlicht, über den unter anderem Help Net Security berichtet. Die auffälligste Zahl betrifft KI-Agenten: Die Forscher fanden mehr als 575 bösartige Skills für OpenClaw, die Windows- und macOS-Rechner mit Trojanern, Krypto-Minern und sogenannten Infostealern – Programmen, die Passwörter, Zugangsdaten und Krypto-Wallets ausspähen – infizierten.

OpenClaw ist ein beliebtes Open-Source-Framework für KI-Assistenten, die man selbst betreibt. Es hieß früher Clawdbot und Moltbot. Ein solcher Agent kann nicht nur chatten, sondern auch handeln: E-Mails lesen, Dateien bearbeiten, Programme starten. Neue Fähigkeiten bekommt er über Skills – Erweiterungspakete, die meist aus einer Anleitung für die KI (einer Datei namens SKILL.md) und oft auch aus ausführbarem Code bestehen. Die zentrale Sammelstelle dafür ist der Marktplatz ClawHub, auf den grundsätzlich jeder hochladen kann.

Das Gefährliche daran beschreibt Acronis so: Skills können Anweisungen mit Code verbinden, der die Rechte nutzt, die der Agent bereits hat. Wer einem Agenten Zugriff auf sein Postfach, seine Dateien und sein Terminal gibt, gibt diesen Zugriff damit auch jedem Skill, den er installiert.

Wie die Fallen funktionieren

Wie solche Angriffe ablaufen, haben andere Sicherheitsfirmen schon Anfang 2026 genau beschrieben. Snyk schildert ein typisches Szenario: Du bittest deinen Agenten, deine Gmail-Nachrichten zu prüfen. Er schlägt vor, dafür den Skill „Google Services Action“ zu installieren. Nach der Installation meldet er, der Skill brauche noch ein Hilfsprogramm namens „openclaw-core“, und zeigt einen Download-Befehl an. Du kopierst ihn ins Terminal – und dein Rechner ist kompromittiert. Das Programm „openclaw-core“ gibt es gar nicht, es ist frei erfunden.

Der Trick: Der Schadcode steckt nicht im Skill selbst, sondern hinter dem Link im Abschnitt „Voraussetzungen“. Für Windows verwies der von Snyk untersuchte Skill „google-qx4“ auf ein passwortgeschütztes ZIP-Archiv auf GitHub. Das Passwort sorgt dafür, dass automatische Virenscanner nicht hineinschauen können. Für macOS und Linux führte der Link zu einem Text auf dem Dienst rentry.co, der einen verschleierten Befehl enthielt. Dieser lud ein Skript von einer Domain der Angreifer nach. Weil die Angreifer den Inhalt dort jederzeit austauschen können, ohne den Skill zu ändern, greifen einfache Sperrlisten kaum.

Snyk nennt das einen Wandel von der Prompt-Injection – dem Austricksen der KI mit eingeschleusten Anweisungen – hin zu „agentengesteuertem Social Engineering“: Die KI wird zum unwissentlichen, aber überzeugenden Komplizen, der die Anweisungen der Angreifer glaubwürdig wirken lässt. Weil der Mensch den Befehl selbst ausführt, umgeht der Angriff auch eine mögliche Sandbox – also einen abgeschotteten Bereich, in dem der Agent eigentlich arbeiten sollte.

Frühere Funde: ClawHavoc und Atomic Stealer

Die Zahl von Acronis reiht sich in eine Serie ein:

Laut The Hacker News tarnten sich die Skills der ClawHavoc-Kampagne als Krypto-Werkzeuge (Solana-Wallet-Tracker, Finder für „verlorene Bitcoins“), als Bots für die Wettplattform Polymarket, als YouTube-Helfer, Auto-Updater, Finanztools oder angebliche Gmail- und Google-Drive-Integrationen. Andere imitierten mit leicht falsch geschriebenen Namen wie „clawhubb“ oder „cllawhub“ den Marktplatz selbst. Atomic Stealer (AMOS) ist ein fertiger Datendieb für macOS, den Kriminelle für 500 bis 1.000 US-Dollar im Monat mieten können. Dass gezielt Macs angegriffen wurden, ist laut The Hacker News kein Zufall: Viele Nutzer kaufen sich einen Mac mini, um OpenClaw rund um die Uhr laufen zu lassen. Einige Skills versteckten zudem Hintertüren in Code, der sonst funktionierte, oder schickten die Zugangsdaten aus der Datei „~/.clawdbot/.env“ an die Angreifer.

OpenClaw-Entwickler Peter Steinberger reagierte mit einer Meldefunktion: Angemeldete Nutzer können Skills melden, ab mehr als drei Meldungen wird ein Skill automatisch ausgeblendet. Wer Skills veröffentlichen will, braucht ein GitHub-Konto, das mindestens eine Woche alt ist. Laut Snyk passen sich die Angreifer aber schneller an, als die Plattform reagiert: Gesperrte Skills tauchen oft innerhalb weniger Stunden als Klone wieder auf.

Ein Täter, zehn KI-Modelle

Der Acronis-Bericht zeigt auch, wie Kriminelle KI-Agenten selbst als Angriffswerkzeug einsetzen. In einer Untersuchung mit dem Namen BOSSAI dokumentierten die Forscher einen einzelnen Täter, der mehr als zehn KI-Modelle mit Werkzeugen zum Ausspähen, Scannen und Ausnutzen von Sicherheitslücken verband. Über die Messenger WeChat und LINE verteilte er Aufgaben, beobachtete die Agenten und steuerte mehrere Angriffe gleichzeitig. Wiederverwendbare Anweisungen nahmen Vorgehensweisen und Zielinformationen von einer Kampagne in die nächste mit. Betroffen waren Notruf- und Behördensysteme in Taiwan, Universitäten in Thailand und das Sammeln von Telefondaten in Mexiko. Mehrere Werkzeuge waren so eingestellt, dass sie ohne Rückfrage liefen – die Agenten konnten sie im Rahmen ihrer Rechte selbst auswählen und starten.

Auch Hugging Face, die größte Plattform für offene KI-Modelle, ist betroffen: Acronis fand dort Schadcode, der als Modell, Datensatz oder KI-Anwendung getarnt war.

Palo Alto Networks hatte OpenClaw schon früher als Beispiel für das bezeichnet, was der Programmierer Simon Willison das „tödliche Dreigespann“ nennt: Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und die Möglichkeit, nach außen zu kommunizieren. Das dauerhafte Gedächtnis des Agenten verschärfe das noch, so die Forscher Sailesh Mishra und Sean P. Morgan:

„Mit dauerhaftem Gedächtnis sind Angriffe keine punktuellen Exploits mehr. Sie werden zu zustandsbehafteten Angriffen mit verzögerter Ausführung.“

Gemeint ist: Harmlos wirkende Schnipsel können sich im Gedächtnis sammeln und erst später zu einer schädlichen Anweisung zusammensetzen.

Was der Bericht sonst zeigt

Abseits der KI beschreibt Acronis weitere Trends. Gestohlene Browser-Sitzungen öffnen den Zugang zu Cloud-Diensten, ohne dass eine erneute Zwei-Faktor-Abfrage (MFA) ausgelöst wird. Bei 63,1 Prozent von über 1,8 Millionen Geräten mit Acronis' eigener Fernwartungssoftware war mindestens ein weiteres Fernzugriffswerkzeug installiert – manchmal ein Überbleibsel nach einem Dienstleisterwechsel, für Angreifer aber ein möglicher Hebel. In der Kampagne Red Heron tauchte einen Tag nach einem Sicherheitsupdate für die Code-Plattform Gitea ein funktionierender Angriffscode auf. Die Angreifer stahlen damit Code-Repositories und Zugangsdaten.

Ransomware – Erpressersoftware, die Daten verschlüsselt – zielt zunehmend auf Überwachung und Wiederherstellung: Qilin löscht Windows-Schattenkopien, also automatische Sicherungsstände, die Gruppe The Gentlemen liefert Werkzeuge zum Abschalten von Sicherheitssoftware, LockBit 5.0 fährt virtuelle Maschinen auf VMware-ESXi-Servern herunter, um sie zu verschlüsseln, und INC löscht Snapshots. Die Kampagne TamperedChef verteilte über Werbung und Suchergebnisse funktionierende PDF-Tools mit gültigen Code-Signatur-Zertifikaten, die über wechselnde US-Briefkastenfirmen beschafft wurden.

Einordnung

Der Bericht bestätigt, was Sicherheitsforscher seit Monaten beobachten: Offene Marktplätze für KI-Agenten haben dieselben Probleme wie früher Browser-Erweiterungen oder Code-Bibliotheken – nur dass hier ein Programm mit weitreichenden Rechten aktiv dabei hilft, Schadcode zu installieren. Klassische Sicherheitswerkzeuge prüfen Code auf bekannte Lücken, aber keine Anleitung in normalem Englisch, die zum Download auffordert. Für Nutzer heißt das: Skills wie fremde Software behandeln, keine Befehle ungeprüft ins Terminal kopieren, wenn ein Agent darum bittet, und Agenten nur die Rechte geben, die sie wirklich brauchen. Wer einen verdächtigen Skill installiert hat, sollte laut Snyk und SOC Prime den Rechner vom Netz trennen, nach unbekannten Programmen und geplanten Aufgaben suchen und alle Zugangsdaten, API-Schlüssel und Wallet-Schlüssel erneuern.

Einschränkend: Die genannten Zahlen stammen von Sicherheitsfirmen, die zum Teil eigene Schutzprodukte verkaufen. Die Untersuchungen nutzen unterschiedliche Methoden und Zeiträume und lassen sich nicht direkt vergleichen. Wie viele Nutzer tatsächlich betroffen sind, nennt keine der Quellen.