Las vulnerabilidades de «Claw Chain» amenazan las implementaciones de OpenClaw

Investigadores de seguridad han descubierto cuatro nuevas vulnerabilidades de seguridad garra abierta Marco de código abierto que los atacantes pueden encadenar para obtener acceso inicial, robar credenciales, escalar privilegios y establecer acceso persistente por puerta trasera a sistemas comprometidos.

Los mantenedores del marco, que está destinado al uso de agentes autónomos de IA, solucionaron las cuatro vulnerabilidades después de que la empresa de seguridad de datos Cyera se las informara el mes pasado. Los errores, que Cyera denominó “Claw Chain”, afectan a todas las versiones de OpenClaw disponibles antes del 23 de abril de 2026 (2026.4.22).

Cuatro vulnerabilidades encadenables de OpenClaw

La más grave de las deficiencias, CVE-2026-44112 tiene una puntuación CVSS de 9,6 y se debe a una condición de carrera de tiempo de verificación/tiempo de uso (TOCTOU) en el entorno limitado de OpenShell de OpenClaw. La vulnerabilidad brinda a los atacantes la oportunidad de modificar los archivos de configuración del sistema, eliminar puertas traseras maliciosas y, en última instancia, obtener un control permanente del host a nivel del sistema. El siguiente más difícil es CVE-2026-44115 (CVSS: 8.8), una falla lógica que los atacantes pueden aprovechar para acceder a claves API, tokens, credenciales y otros datos confidenciales. Las otras dos vulnerabilidades son CVE-2026-44118 (CVSS:7.8), una vulnerabilidad de escalada de privilegios asociada con una validación de sesión incorrecta CVE-2026-44113 (CVSS:7.8), otra vulnerabilidad de TOCTOU que permite a los atacantes obtener acceso no autorizado a archivos de configuración del sistema, claves API, credenciales u otros datos internos.

Relacionado:Los clones del gusano Shai Hulud se propagan tras la publicación del código

«Las cuatro vulnerabilidades son significativas individualmente, pero su impacto combinado es la historia más importante», dijo Cyera en un Informe actual. «Desde una única base estilo cadena de suministro, un atacante puede encadenar tres de ellos en paralelo desde un punto de entrada».

El proveedor de seguridad describió que la cadena de ataque puede comenzar cuando un adversario se afianza inicialmente a través de un complemento malicioso, un mensaje diseñado u otra fuente de datos externa que un agente de IA normalmente podría procesar. Una vez dentro del entorno limitado, un atacante podría aprovechar los errores de lectura y ejecución de comandos para recopilar credenciales y archivos confidenciales. Luego podrían usar estas credenciales para explotar la vulnerabilidad de escalada de privilegios y obtener control administrativo del entorno del agente y luego inyectarlo. Puertas traseras para un acceso permanente a largo plazo, afirma Cyera.

Lo que hace que esta cadena de ataque sea particularmente difícil de detectar es que cada paso explota las habilidades y privilegios legítimos del agente, lo que hace que la actividad parezca un comportamiento típico del agente para las herramientas tradicionales de monitoreo de seguridad, señaló Cyera.. «Al utilizar los propios privilegios del agente como arma, un adversario obtiene acceso a los datos, escalada de privilegios y persistencia, utilizando al agente como sus manos dentro del entorno», dijo la compañía. «Cada paso parece el comportamiento normal de un agente en comparación con los controles tradicionales, lo que amplía el radio de la explosión y dificulta mucho la detección».

Relacionado:Los atacantes utilizan RubyGems como arma para el almacenamiento de datos

Riesgos crecientes para la IA del agente

Los defectos de la cadena de garras son el último recordatorio de cómo implementación rápida La proliferación de plataformas de agentes de IA expone a las organizaciones a nuevos riesgos de seguridad a medida que las conectan cada vez más a sistemas internos sensibles, entornos de nube, aplicaciones de software como servicio (SaaS) y credenciales privilegiadas. OpenClaw, originalmente llamado Clawdbot y luego MoltBot, rápidamente se convirtió en uno Proyecto de ruptura en el espacio de agentes de IA de código abierto desde su lanzamiento en noviembre pasado.

El software permite a los usuarios ejecutar asistentes de IA directamente en sus propias computadoras para automatizar flujos de trabajo, interactuar con aplicaciones, administrar información, realizar tareas administrativas y realizar acciones de varios pasos con una mínima intervención humana. Para proporcionar esta funcionalidad, la plataforma accede a archivos locales, entornos de terminal, herramientas de desarrollo, plataformas de mensajería, calendarios, API y otros sistemas conectados.

Relacionado:Es el martes de parches para Microsoft y no se vislumbra un día cero

Sin embargo, casi desde su lanzamiento, los investigadores han descubierto vulnerabilidades y problemas de seguridad en la plataforma que las empresas necesitaban solucionar con urgencia. Los ejemplos incluyen una vulnerabilidad reportada por Oasis Security el mes pasado que dio a los atacantes la oportunidad de explotar una sitio web malicioso para secuestrar agentes de IA. Otro error de OpenClaw permitió el robo de tokens (CVE-2026-25253) y otros como CVE-2026-24763, CVE-2026-25157Y CVE-2026-25475 que tienen habilitado el comando y la inyección rápida.

Justin Fier, vicepresidente senior de seguridad ofensiva de Darktrace, dice que las empresas están abriendo la puerta a los atacantes al utilizar tecnologías como OpenClaw sin una investigación de seguridad adecuada. «Estos fallos permiten a un atacante llevar a cabo las fases básicas de un ataque», afirma Fier. «Permiten al atacante manipular configuraciones restringidas, establecer persistencia en un host comprometido mediante la implementación de puertas traseras y realizar otros cambios de configuración».

Debido a que un usuario podría asignar permisos confiables a su cliente OpenClaw, el tráfico asociado probablemente parecería normal y sería difícil de detectar, afirma. «OpenClaw requiere un acceso muy intrusivo a funciones, incluido el acceso al sistema de archivos, al mouse, al teclado y más», señala.

Además, los usuarios deben darle acceso a los servicios con los que quiere trabajar, incluidos datos financieros e incluso de salud. “Se trata de una herramienta intrusiva y confiar excesivamente en ella es el mayor riesgo que puede correr una empresa”, afirma Fier. «Amontonar algunos CVE y cadenas de exploitsy el riesgo aumenta significativamente”.

También señala que las empresas deben establecer una gobernanza y una visibilidad adecuadas de este tipo de uso y adoptar un enfoque de privilegios mínimos para los servicios clave en toda la organización.

No te pierdas el último podcast de Dark Reading Confidential. Cómo se volvió viral una historia sobre una prueba de penetración de USB. Hace dos décadas, Dark Reading publicó su primer artículo de gran éxito: una columna de un evaluador de penetración que repartía unidades USB manipuladas en el estacionamiento de una cooperativa de crédito y dejaba que los empleados curiosos hicieran el resto. Este episodio repasa la pieza histórica con su autor Steve Stasiukonis. ¡Escuche ahora!