Poruka sa WhatsApp-a može da navede OpenClaw da pokrene programski kod na računaru korisnika
Istraživač Chinmohan Nayak pokazuje kako poruka već odobrenog pošiljaoca, poslata OpenClaw agentu, može da završi izvršavanjem koda na računaru koji ga pokreće. OpenClaw je lični AI asistent koji se povezuje sa WhatsApp-om, Slackom i drugim kanalima, a po nalogu korisnika čita fajlove i pokreće sistemske komande. Nalaz ne znači da bilo koji nepoznat broj može odmah da preuzme mašinu. U testu je pošiljalac prethodno uparen sa agentom, exec alat uključen, a potvrda pre izvršavanja isključena. Prva ranjivost dopušta da promenljive poput NODE_OPTIONS, BASH_ENV i PYTHONSTARTUP učitaju napadačev kod pre pokretanja legitimne skripte. Druga koristi Gitov ext:: transport da zahtev nalik proveri CI pipeline-a pretvori u proizvoljnu komandu. Treća zaobilazi zabranu osetljivih Docker mount putanja: umesto pojedinačnih direktorijuma sa SSH ključevima ili cloud kredencijalima, dovoljno je montirati njihov nadređeni direktorijum. Nayak navodi da Claude Sonnet 4 povremeno odbija očigledne reverse shell komande, ali da ih prihvata kada su upakovane kao rutinski zahtev za otklanjanje greške. Sve tri ranjivosti su prisutne u verziji 2026.6.1, a zakrpljene su u 2026.6.6. Nema navoda da su propusti zloupotrebljeni izvan istraživačkog okruženja.
Najneprijatniji deo nije to što je model pogrešno procenio nameru, nego što mu sistem daje ovlašćenja da tu procenu pretvori u komandu. Model ne može pouzdano da razlikuje kolegu koji reprodukuje grešku od napadača koji istu priču koristi kao masku. Zato filter u samom modelu nije bezbednosna granica; stvarna zaštita mora da bude u tome ko sme da šalje poruke, koje alate agent može da koristi i da li svaka rizična komanda traži potvrdu. Kod nas će ovakvi agenti najčešće završiti na mašini nekog administratora ili developera, upravo tamo gde već postoje tokeni, ključevi i pristup produkciji. Kada interfejs dobije shell, ljubazno sročen zahtev može da postane vrlo skupa službena beleška.
- Ažuriraj OpenClaw na verziju 2026.6.6 ili noviju
- Isključi exec i process alate gde nisu neophodni; ako jesu, uključi potvrdu za svaku komandu
- Zadrži WhatsApp i druge kanale na pairing ili allowlist režimu i ukloni pošiljaoce kojima pristup više nije potreban
- Uključi sandbox za sve sesije koje obrađuju tuđe poruke, ali ga ne tretiraj kao zamenu za odvojen OS nalog ili host
- Rotiraj SSH ključeve, API tokene i druge kredencijale ako je ranjiva verzija bila dostupna pošiljaocima van uskog kruga administratora