En quelques semaines, OpenClaw (anciennement Clawdbot, puis Moltbot) est devenu l’un des projets open source les plus populaires de l’histoire de GitHub : plus de 100 000 stars et 2 millions de visiteurs en une semaine. Cet assistant IA personnel, capable de gérer vos emails, calendriers, messages et même d’exécuter des commandes sur votre machine, fascine autant qu’il inquiète.
Car derrière la promesse d’un assistant autonome se cache un cauchemar sécuritaire que les plus grands noms de la cybersécurité — Cisco, Palo Alto Networks, Google Cloud, 1Password — n’ont pas tardé à documenter.
De Clawdbot à OpenClaw : une histoire mouvementée
Le projet a changé trois fois de nom en quelques jours, et chaque étape a été marquée par un incident :
Clawdbot (novembre 2025 – janvier 2026) : nom original, jeu de mots sur « Claude » (l’IA d’Anthropic) et une pince de homard. Le projet devient viral début janvier 2026.
Moltbot (27-29 janvier 2026) : Anthropic envoie une mise en demeure pour atteinte à sa marque. Le créateur, Peter Steinberger, est contraint de renommer le projet en urgence. Pendant le changement de compte, des scammeurs crypto saisissent l’ancien handle Twitter et GitHub en moins de 10 secondes et lancent un faux token $CLAWD qui atteint 16 millions de dollars de capitalisation avant de s’effondrer de 90%.
OpenClaw (30 janvier 2026 – présent) : troisième et dernier nom, avec un domaine dédié et une marque déposée.
Ce que fait OpenClaw (et pourquoi c’est risqué)
OpenClaw est un agent IA qui tourne 24/7 sur votre machine et se connecte à vos applications de messagerie (WhatsApp, Slack, Teams, iMessage, Telegram, Signal, Discord…). Il peut :
- Lire et répondre à vos emails
- Gérer votre calendrier et vos rendez-vous
- Exécuter des commandes shell sur votre machine
- Lire et écrire des fichiers sur votre disque
- Naviguer sur le web de manière autonome
- Envoyer des messages en votre nom
Le problème : pour être aussi capable, l’agent dispose des mêmes privilèges que l’utilisateur qui le lance. Aucun sandboxing par défaut, aucune restriction de fichiers, aucun cloisonnement.
Les vulnérabilités critiques identifiées
Stockage des credentials en clair
Toutes les clés API, tokens OAuth et identifiants de session sont stockés en texte brut dans des fichiers Markdown et JSON sous ~/.clawdbot/. Aucun chiffrement au repos. Les malwares de type infostealer (RedLine, Lumma, Vidar) ont déjà été mis à jour pour cibler spécifiquement ces répertoires.
Authentification inexistante
La passerelle d’OpenClaw auto-approuve les connexions localhost. Quand l’agent est derrière un reverse proxy, toutes les connexions apparaissent comme provenant de 127.0.0.1 et sont automatiquement autorisées — y compris les connexions externes.
Le chercheur Jamieson O’Reilly (Dvuln) a trouvé des centaines d’instances OpenClaw accessibles publiquement via Shodan, dont 8 sans aucune authentification, exposant clés API, historiques de conversation et capacité d’exécution de commandes. Des rapports ultérieurs font état de plus de 1 800 installations exposées.
Injection de prompt par email
C’est ce que le chercheur Simon Willison appelle la « triade létale » :
- Accès aux données privées de l’utilisateur
- Exposition à du contenu non fiable (emails, pages web)
- Capacité d’effectuer des actions externes
Démonstration réelle : Matvey Kukuy (CEO d’Archestra AI) a envoyé un email contenant une injection de prompt à une instance vulnérable. L’IA a lu l’email, l’a interprété comme une instruction légitime, et a transféré les 5 derniers emails de l’utilisateur à l’adresse de l’attaquant. Il a également extrait une clé privée OpenSSH en 5 minutes.
Supply chain : les Skills empoisonnés
OpenClaw dispose d’un écosystème de « Skills » (modules téléchargeables). O’Reilly a publié un skill malveillant proof-of-concept sur le registry officiel, a gonflé artificiellement son compteur de téléchargements pour le placer en #1, et 16 développeurs dans 7 pays l’ont installé en 8 heures.
Une analyse de Cisco révèle que 26% des 31 000 skills analysés contenaient au moins une vulnérabilité.
CVE documentées
| CVE | Score CVSS | Impact |
|---|---|---|
| CVE-2025-6514 | 9.6 (Critique) | Injection de commande / RCE via mcp-remote |
| CVE-2025-52882 | 8.8 (Élevé) | Bypass d’authentification WebSocket, exécution de commandes à distance |
| CVE-2025-59466 | Élevé | Déni de service via async_hooks (Node.js) |
| CVE-2026-21636 | Élevé | Contournement du modèle de permissions Node.js |
Extension VS Code trojanisée
Aikido Security a découvert une fausse extension VS Code nommée « ClawdBot Agent » qui fonctionnait comme un assistant IA légitime en surface, mais installait silencieusement un RAT ScreenConnect (outil d’accès distant) au démarrage de l’IDE. L’extension utilisait une chaîne d’usurpation quadruple (Clawdbot → VS Code → Lightshot → Zoom) pour masquer son activité. 77 développeurs l’ont installée avant sa suppression.
Le risque Shadow IT en entreprise
Selon Token Security, 22% des entreprises de leur base clients ont des employés qui utilisent activement OpenClaw — probablement sans l’accord de la DSI. L’agent tourne sur des machines personnelles non gérées, hors du périmètre de sécurité, sans journalisation centralisée ni supervision.
Heather Adkins, VP Security Engineering chez Google Cloud, a résumé la situation : « Don’t run Clawdbot », citant un chercheur qui l’a qualifié de « malware infostealer déguisé en assistant IA personnel ».
Les leçons à retenir
OpenClaw illustre un problème plus large : la course à l’adoption des agents IA autonomes sans évaluation de leur impact sécuritaire.
Pour les entreprises :
- Inventoriez les agents IA utilisés par vos collaborateurs
- Interdisez l’installation d’agents autonomes sans validation de la DSI
- Traitez les agents IA comme des infrastructures privilégiées, pas comme des outils de productivité
- Appliquez le principe du moindre privilège : aucun outil ne devrait avoir un accès illimité au système
- Surveillez les connexions sortantes et les processus inhabituels sur les postes
Pour les utilisateurs individuels :
- Ne stockez jamais de credentials en clair
- Isolez les agents dans des conteneurs Docker
- Auditez chaque skill avant installation
- N’exposez jamais l’interface de gestion sur Internet
- Limitez les permissions de l’agent au strict nécessaire
Conclusion : l’innovation ne dispense pas de la prudence
OpenClaw est un projet techniquement impressionnant qui préfigure l’avenir des assistants IA autonomes. Mais son architecture « tout ouvert par défaut » en fait un vecteur d’attaque de premier choix pour les cybercriminels.
Comme le résume Vectra AI : « Les agents IA autonomes doivent être traités comme des infrastructures privilégiées, pas comme des outils de productivité. Si vous ne pouvez pas les durcir et les superviser, ne les exposez pas. »
La question n’est pas de savoir si ce type d’outil sera adopté massivement — c’est déjà le cas. La question est de savoir si les entreprises sauront encadrer cette adoption avant le premier incident majeur.
Sources : Cisco, Palo Alto Networks, Bitdefender, Snyk, Vectra AI, Aikido Security, Hudson Rock, Token Security, 1Password, Datadog Security Labs, NVD.