Mani invisibili: come i difetti nascosti di OpenClaw hanno lasciato gli agenti IA indifesi

È iniziato in sordina: una manciata di ricercatori di sicurezza che sondavano gli interni di OpenClaw, il framework open-source di tendenza che alimenta una nuova ondata di agenti IA autonomi. Ciò che hanno trovato dietro il codice era tutt’altro che silenzioso - tre vulnerabilità sottili ma devastanti che potrebbero consentire agli attaccanti di aggirare le policy di sicurezza, riscrivere configurazioni fidate e persino rubare credenziali API sensibili. Ora, con il rilascio di una patch critica, i team IT si stanno affrettando a contenere i rischi prima che gli attori della minaccia sfruttino queste crepe appena esposte.

Dentro la falla: cosa è andato storto?

Il fascino di OpenClaw sta nella sua flessibilità - consente agli sviluppatori di distribuire potenti agenti IA in ambienti diversi. Ma quella flessibilità aveva un costo. La prima vulnerabilità permetteva agli attaccanti di aggirare le “guardie” dell’operatore iniettando prompt malevoli, consentendo loro di alterare configurazioni critiche del gateway. Parametri che avrebbero dovuto essere blindati - policy di sandbox, accesso ai plugin, instradamento sicuro e altro - potevano essere modificati in modo silenzioso e permanente, minando proprio i confini pensati per mantenere gli agenti sicuri e prevedibili.

La seconda falla si annidava nel modo in cui OpenClaw impacchettava e caricava i propri toolset. Anche con profili di sicurezza rigorosi - deny list, sandboxing o accesso riservato al proprietario - gli strumenti inclusi potevano sgattaiolare oltre i filtri e restare attivi, offrendo agli attaccanti una backdoor per eseguire azioni che avrebbero dovuto essere bloccate. La correzione? Un controllo finale e onnicomprensivo delle policy ora esamina ogni strumento prima che entri nell’arsenale dell’agente.

Forse la più allarmante era la terza vulnerabilità: override dell’ambiente di workspace. Tra le versioni 2026.4.5 e 2026.4.20, un workspace compromesso poteva iniettare una variabile d’ambiente malevola, reindirizzando le richieste API (e le credenziali) verso server controllati dagli attaccanti. Per le organizzazioni che usano OpenClaw per automatizzare l’accesso a servizi di terze parti, questo significava che un singolo passo falso poteva esporre chiavi sensibili e aprire la porta al movimento laterale attraverso le reti.

La release corretta chiude queste falle - bloccando modifiche non autorizzate alla configurazione, imponendo controlli di policy sugli strumenti e irrobustendo i flussi delle credenziali API. Ma l’episodio mette in luce una verità più ampia: man mano che gli agenti IA guadagnano autonomia e accesso, la più piccola svista può trasformarsi in un disastro.

Scosse di assestamento e lezioni apprese

Per i difensori, la saga di OpenClaw è un monito netto: la comodità e il rilascio rapido non devono mai avvenire a scapito di solidi controlli di sicurezza. Con l’evoluzione dei framework IA, crescerà anche l’ingegnosità degli attaccanti che cercheranno di sfruttarne l’anello più debole. Il messaggio è chiaro - aggiornate ora, verificate spesso e non date mai per scontato che i vostri agenti siano sicuri quanto sembrano.

WIKICROOK

• Prompt Injection: La prompt injection si verifica quando gli attaccanti forniscono a un’IA input dannosi, inducendola ad agire in modi non previsti o pericolosi, spesso aggirando le normali salvaguardie.
• Credenziale API: Le credenziali API sono dati sensibili, come chiavi o token, usati per autenticare e autorizzare l’accesso sicuro alle API e ai servizi esterni.
• Policy di sandbox: Una policy di sandbox limita ciò che un’applicazione può fare o a cosa può accedere, isolandola per proteggere il sistema da potenziali minacce alla sicurezza.
• Deny list: Una deny list è uno strumento di sicurezza che blocca l’accesso a elementi specifici, come IP o file, identificati esplicitamente come minacce da una policy di sicurezza.
• Movimento laterale: Il movimento laterale si verifica quando gli attaccanti, dopo aver violato una rete, si spostano lateralmente per accedere ad altri sistemi o dati sensibili, ampliando controllo e portata.