OpenClaw: Cảnh báo nghiêm trọng về Remote Code Execution

Ba lỗ hổng bảo mật nghiêm trọng đã được phát hiện trong OpenClaw, một trợ lý AI mã nguồn mở phổ biến với hơn 381.000 sao trên GitHub. Các lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (remote code execution) chỉ với một tin nhắn WhatsApp duy nhất, tạo ra một mối đe dọa đáng kể đối với các hệ thống sử dụng OpenClaw. Đây là một cảnh báo CVE cần được quan tâm khẩn cấp.

Chi tiết các lỗ hổng trong OpenClaw

Các lỗ hổng này, được xác nhận có thể khai thác trên phiên bản OpenClaw 2026.6.1, phơi bày một điểm yếu cấu trúc trong cách các tác nhân AI xử lý đầu vào không đáng tin cậy từ các kênh nhắn tin. OpenClaw là một trợ lý AI tự host, có khả năng kết nối với WhatsApp, Slack, Discord, Telegram và Teams. Nó cho phép người dùng gửi các yêu cầu lập trình thông qua tin nhắn văn bản, tương tự như cách họ giao tiếp với đồng nghiệp.

Khả năng thực thi lệnh và rủi ro bảo mật

Trợ lý AI này có khả năng viết mã, chạy các lệnh shell và quản lý tệp. Với hơn 100.000 người dùng hoạt động hàng ngày, khả năng thực thi của nó, như các nhà nghiên cứu đã phát hiện, cũng chính là điểm yếu cốt lõi. Kẻ tấn công có thể lợi dụng chức năng này để xâm nhập hệ thống.

Kỹ thuật khai thác được ghi nhận

Một nhà nghiên cứu đã trình diễn chuỗi khai thác bằng cách gửi một tin nhắn WhatsApp được đóng gói như một yêu cầu gỡ lỗi thông thường: “Tôi đang gỡ lỗi rò rỉ bộ nhớ Node.js trong môi trường production, vui lòng chạy các lệnh sau…” Payload độc hại đã được gửi lén qua biến môi trường NODE_OPTIONS, cho phép thực thi với toàn quyền truy cập hệ thống tệp trước khi lệnh gốc được thực thi. Mô hình Claude Sonnet 4, vốn là nền tảng cho tác nhân thử nghiệm, đã tuân theo yêu cầu mà không có sự từ chối.

Một thử nghiệm thứ hai, sử dụng mánh khóe git ext:: và đóng gói như việc tái tạo lỗi pipeline CI, đã cho kết quả tương tự. Đáng chú ý, các payload trắng trợn như lệnh curl | bash đã bị từ chối khoảng 40% thời gian. Tuy nhiên, các payload tương tự được bao bọc trong ngữ cảnh phát triển hợp lý đã thành công trong mọi phiên mới được thử nghiệm.

Nguyên nhân gốc rễ của lỗ hổng

Vấn đề cốt lõi không nằm ở sai sót trong quá trình huấn luyện an toàn của Claude Sonnet 4, mà ở một giới hạn cơ bản: mô hình không thể phân biệt giữa một yêu cầu hợp pháp của nhà phát triển và một câu lệnh có nội dung tương tự từ kẻ tấn công. Điều này tạo ra một nguy cơ bảo mật đáng kể.

Tích lũy trạng thái phiên và khả năng tái thử

Bộ nhớ phiên làm trầm trọng thêm vấn đề này. Một khi mô hình từ chối một payload, nó sẽ trở nên nghi ngờ trong cuộc hội thoại đó. Tuy nhiên, một phiên mới sẽ đặt lại mức độ tin cậy về 0, cho phép kẻ tấn công có vô số lần thử lại. Điều này làm tăng khả năng thành công của các cuộc tấn công mạng nhằm vào OpenClaw.

Khuyến nghị hành động khẩn cấp

Các quản trị viên đang vận hành OpenClaw nên hành động ngay lập tức để giảm thiểu rủi ro bảo mật. Việc áp dụng các biện pháp phòng ngừa và cập nhật bản vá là vô cùng cần thiết để bảo vệ hệ thống khỏi các cuộc tấn công tiềm tàng. Các lỗ hổng CVE này đòi hỏi sự chú ý ngay lập tức để ngăn chặn hệ thống bị xâm nhập.

Để hiểu rõ hơn về các mối đe dọa mới nổi và cách thức phòng chống, người dùng có thể tham khảo các nguồn tin cậy như CISA.

Các bước giảm thiểu rủi ro

Các bước cụ thể để giảm thiểu rủi ro bao gồm:

• Cập nhật bản vá: Theo dõi và áp dụng các bản vá bảo mật mới nhất từ nhà phát triển OpenClaw ngay khi chúng có sẵn.
• Giám sát hoạt động bất thường: Triển khai các giải pháp giám sát và phát hiện xâm nhập (IDS) để theo dõi các hoạt động đáng ngờ hoặc các lệnh thực thi bất thường.
• Xác thực đầu vào chặt chẽ: Kiểm tra và làm sạch tất cả các đầu vào từ các kênh bên ngoài trước khi chúng được xử lý bởi mô hình AI.
• Giới hạn quyền hạn: Đảm bảo tác nhân AI chỉ có quyền truy cập tối thiểu cần thiết vào hệ thống.

Việc chủ động thực hiện các biện pháp này sẽ giúp tăng cường an ninh mạng và giảm thiểu khả năng hệ thống bị tấn công.