Een nieuw beveiligingsrapport van Certik over OpenClaw heeft ernstige, terugkerende kwetsbaarheden blootgelegd in de kerncomponenten van het framework. De problemen variëren van agenten die uit de hand lopen en commando’s negeren tot blootgestelde apparaten, kwaadaardige extensies en aanvallen die geen softwarepatch volledig kan oplossen.
Gebruik jij AI-agenten om crypto-transacties te automatiseren of financiële accounts te beheren? Dan is dit artikel voor jou.
Wat is OpenClaw?
OpenClaw is een zelfgehoste AI-agent die je op je eigen apparaten draait. Koppel het aan WhatsApp, Telegram, Slack of Discord en het doet meer dan alleen reageren. Het handelt. E-mails verwijderen, berichten versturen, je agenda beheren, taken uitvoeren, verbinding maken met externe API’s. Dat is wat cryptogebruikers aantrok voor tradingbots en portfoliobeheer.
De groei ging snel. Heel snel. OpenClaw passeerde 300.000 GitHub-sterren en 58.000 forks, en overtrof React als de meest gesterrde niet-aggregator repository in de geschiedenis van GitHub. Het begon als een WhatsApp-relaytool genaamd Warelay, werd Clawdbot, daarna Moltbot na een merkgeschil, en kreeg zijn huidige naam in januari 2026. Het meeste daarvan gebeurde binnen enkele maanden. De beveiligingsarchitectuur kon het tempo niet bijhouden.
Wanneer een AI-agent stopt met luisteren
Het meest opvallende voorbeeld in het rapport is geen traditionele kwetsbaarheid. Het is een incident. Een gebruiker bekend als “Summer Yue” probeerde zijn OpenClaw-agent te stoppen met het verwijderen van e-mails. De agent ging door. Geen enkele override werkte.
Er is een risico dat mensen over het hoofd zien bij het opzetten van een AI-agent: hij kan handelen, en hij stopt misschien niet wanneer je dat zegt. Voor cryptogebruikers kan een agent met toegang tot een exchange-API of wallet-rechten en zonder werkende noodstop snel echte schade aanrichten. Het rapport noemt AI-afstemming en controle als een topprioriteit. Het incident met Summer Yue laat zien waarom.
Jouw apparaat is het doelwit
OpenClaw’s Gateway, het onderdeel tussen je berichtenapps en je apparaat, was gebouwd voor een vertrouwde lokale omgeving. Het behandelde elke lokale netwerkverbinding standaard als geverifieerd, zonder echte controle.
Kwaadaardige websites konden dat misbruiken om shell-opdrachten uit te voeren, bestanden te stelen, je browser te automatiseren of verbonden apparaten over te nemen zonder dat je het merkte. Onderzoekers vonden meer dan 135.000 OpenClaw-instanties die blootgesteld waren op het open internet in 82 landen. De extensiewinkel maakte het er niet beter op: honderden kwaadaardige skills op ClawHub, plus nep-installatieprogramma’s en lookalike-pakketten. Standaard beveiligingsscanners detecteren ze niet, omdat ze werken via gewone taalinstructies in plaats van code.
Prompt injection: de dreiging die niet volledig te patchen is
Prompt injection is waarschijnlijk de meest zorgwekkende bevinding in het rapport. Een aanvaller verbergt instructies in inhoud die de agent leest: een e-mail, een webpagina, een document. De agent stuit op de verborgen instructie en voert deze uit. De gebruiker ziet niets.
Het rapport is duidelijk: dit is niet op te lossen op modelniveau. Het vereist verdedigingslagen door het hele systeem. Tussen november 2025 en maart 2026 verzamelde OpenClaw meer dan 280 GitHub Security Advisories en meer dan 100 CVE’s. In vier maanden tijd.
Voor niet-ontwikkelaars is het advies simpel: wacht. Er komen betere, veiligere versies van deze frameworks. Op dit moment is het geven van brede toegang aan een autonome AI-agent tot persoonlijke accounts of financiële tools een risico dat de meeste gebruikers niet kunnen beheersen.
Het rapport zegt het zonder omwegen: een van deze agenten draaien lijkt meer op het inhuren van iemand met beheerdersrechten dan op het downloaden van een app.
