OpenClaw dính lỗ hổng nguy hại: Truy cập web độc hại có thể bị chiếm AI agent

[WhiteHat Team]

Lỗ hổng trong OpenClaw cho phép tin tặc chiếm toàn quyền điều khiển AI agent của lập trình viên chỉ bằng việc nạn nhân truy cập một website độc hại. Điều đáng lo ngại là cuộc tấn công không yêu cầu cài plugin, không cần tiện ích mở rộng và cũng không cần bất kỳ thao tác xác nhận nào từ phía người dùng.
​

​

OpenClaw là gì và vì sao lỗ hổng này đặc biệt nguy hiểm?​

OpenClaw, trước đây được biết đến với tên Clawdbot và MoltBot, là một AI agent tự lưu trữ chạy trực tiếp trên máy tính của lập trình viên. Chỉ trong vòng 5 ngày, dự án này đã đạt hơn 100.000 "sao" trên GitHub và nhanh chóng trở thành trợ lý cá nhân mặc định của hàng nghìn developer trên toàn cầu.

Công cụ này có thể kết nối với:​

• Ứng dụng nhắn tin như Slack​
• Lịch làm việc​
• Công cụ phát triển phần mềm​
• Hệ thống file nội bộ​
• Thiết bị macOS, iOS và các máy khác trong mạng​

Nó có khả năng thực hiện hành động tự động thay mặt người dùng, bao gồm đọc file, thực thi lệnh hệ thống, tìm kiếm dữ liệu và tương tác với các dịch vụ tích hợp.

Chính mức độ truy cập sâu này khiến lỗ hổng trở nên cực kỳ nguy hiểm: khi AI agent bị chiếm quyền, toàn bộ môi trường làm việc của lập trình viên có thể bị kiểm soát.​

Lỗ hổng nằm ở đâu và nguyên nhân do đâu?​

Theo Oasis Security, lỗ hổng xuất phát từ cách OpenClaw triển khai một WebSocket gateway cục bộ trên địa chỉ localhost. Gateway này đóng vai trò là lớp điều phối trung tâm, nơi các “node” (thiết bị hoặc ứng dụng được kết nối) đăng ký và cung cấp quyền thực thi lệnh, truy cập file hoặc đọc dữ liệu.

Ba giả định thiết kế sai lầm đã tạo nên lỗ hổng:​

1. Tin rằng kết nối từ localhost là an toàn tuyệt đối​
2. Cho rằng trình duyệt không thể truy cập dịch vụ cục bộ​
3. Loại trừ localhost khỏi cơ chế giới hạn tốc độ (rate limiting)​

Trong môi trường trình duyệt hiện đại, cả ba giả định này đều không còn đúng. Trình duyệt không chặn kết nối WebSocket xuyên nguồn (cross-origin) tới địa chỉ loopback. Điều này cho phép mã JavaScript từ một website bất kỳ kết nối đến gateway nội bộ nếu người dùng chỉ cần mở trang đó.

Lỗ hổng được phân loại mức độ nghiêm trọng cao tại thời điểm công bố và chưa có mã CVE chính thức được công khai.​

Cơ chế khai thác: Chỉ một lần truy cập website​

Chuỗi tấn công diễn ra hoàn toàn âm thầm. Khi nạn nhân truy cập một website độc hại hoặc bị xâm nhập, đoạn mã JavaScript trên trang sẽ tự động mở kết nối WebSocket đến OpenClaw gateway trên localhost.

Do cơ chế bảo mật yếu, gateway:​

• Không giới hạn số lần thử mật khẩu từ localhost​
• Không ghi log hoặc chặn brute-force​
• Tự động chấp nhận thiết bị ghép nối từ localhost mà không yêu cầu xác nhận​

Kẻ tấn công có thể brute-force mật khẩu với hàng trăm lần thử mỗi giây. Sau khi đăng nhập thành công, website độc hại sẽ đăng ký như một thiết bị đáng tin cậy và chiếm quyền quản trị hoàn toàn AI agent.

Từ thời điểm đó, hacker có thể:​

• Tìm kiếm lịch sử Slack để thu thập API key​
• Đọc tin nhắn riêng tư​
• Trích xuất file nội bộ​
• Thực thi lệnh shell tùy ý​

Các nhà nghiên cứu mô tả tình huống này tương đương với việc toàn bộ máy trạm của lập trình viên bị xâm nhập chỉ từ một tab trình duyệt, trong khi người dùng không nhận thấy bất kỳ dấu hiệu bất thường nào.​

Mức độ ảnh hưởng và rủi ro thực tế​

Với tốc độ phổ biến chóng mặt của OpenClaw, nguy cơ tồn tại hàng loạt phiên bản chưa cập nhật trong môi trường doanh nghiệp là hoàn toàn có thể xảy ra.

Đối tượng bị ảnh hưởng chủ yếu là:​

• Lập trình viên cá nhân​
• Doanh nghiệp công nghệ sử dụng AI agent nội bộ​
• Tổ chức có tích hợp OpenClaw vào hệ thống phát triển​

Rủi ro không chỉ dừng ở rò rỉ dữ liệu cá nhân mà có thể mở rộng thành:​

• Lộ mã nguồn​
• Rò rỉ khóa API và thông tin xác thực​
• Xâm nhập hệ thống nội bộ​
• Tấn công chuỗi cung ứng phần mềm​

Trong môi trường doanh nghiệp, một AI agent bị chiếm quyền có thể trở thành bàn đạp để mở rộng tấn công sang các hệ thống khác.​

Bản vá và khuyến nghị từ chuyên gia​

Nhóm OpenClaw đã phát hành bản vá chỉ trong vòng 24 giờ kể từ khi nhận được báo cáo, thể hiện phản ứng nhanh chóng của dự án mã nguồn mở. Người dùng được yêu cầu cập nhật lên phiên bản 2026.2.25 hoặc mới hơn ngay lập tức.

Các chuyên gia khuyến nghị:​

• Cập nhật OpenClaw ngay lập tức​
• Rà soát toàn bộ máy lập trình viên để phát hiện bản cài đặt “shadow IT”​
• Thu hồi API key và thông tin xác thực đã cấp cho agent​
• Kiểm tra log hệ thống để phát hiện hành vi bất thường​
• Thiết lập chính sách quản trị danh tính cho AI agent tương tự như tài khoản người dùng hoặc service account​

Ngoài ra, doanh nghiệp cần xem AI agent như một thực thể có quyền hạn cao và áp dụng nguyên tắc phân quyền tối thiểu (least privilege), thay vì trao quyền truy cập toàn hệ thống.​

Bài học về an ninh trong kỷ nguyên AI agent​

Khi AI agent ngày càng được trao quyền hành động thay con người, chúng trở thành mục tiêu tấn công có giá trị cao. Lỗ hổng lần này không xuất phát từ thuật toán AI phức tạp mà từ các giả định bảo mật lỗi thời trong thiết kế hệ thống. Điều đó nhấn mạnh rằng bảo mật hạ tầng xung quanh AI quan trọng không kém bản thân mô hình AI.

Việc cập nhật kịp thời và thiết lập cơ chế quản trị chặt chẽ sẽ quyết định liệu AI agent là trợ thủ đắc lực hay trở thành cánh cửa hậu cho các cuộc tấn công mạng trong tương lai.​