Popüler Yapay Zeka Asistanı OpenClaw’da Güvenlik Açığı: Kötü Amaçlı Eklentiler Ortaya Çıktı

OpenClaw Ne İstediği Gibi Yapıyor

OpenClaw – ilk olarak Clawdbot, ardından Moltbot olarak adlandırılan – takvim yönetimi, uçuşlara check-in yapma, e-posta kutusunu temizleme gibi işler yaparak kullanıcıların hayatını kolaylaştırmayı amaçlayan bir yapay zeka asistanı olarak tanıtılıyor. Asistan, cihazlarda yerel olarak çalışıyor ve kullanıcılar WhatsApp, Telegram, iMessage gibi mesajlaşma uygulamaları aracılığıyla etkileşim kurabiliyor. Bazı kullanıcılar ise OpenClaw’a cihazlarının tamamına erişim izni vererek, dosya okuma/yazma, betik çalıştırma ve komut satırı yürütme gibi yetenekler sağlıyor. Bu tür erişimler zaten risk oluştururken, OpenClaw’un yeteneklerini artırmak amacıyla tasarlanan kötü amaçlı yazılımla kamufle edilmiş eklentiler endişeleri daha da artırıyor.

Kötü Amaçlı Eklentilerin Tespit Edildiği Süre

OpenSourceMalware platformu, 27 Ocak ile 29 Ocak tarihleri arasında ClawHub beceri pazar yerinde 28 kötü amaçlı becerinin yayınlandığını, 31 Ocak ile 2 Şubat tarihleri arasında ise 386 kötü amaçlı eklentinin yüklendiğini tespit etti. OpenSourceMalware, bu becerilerin kripto para ticareti otomasyon araçları gibi görünerek, bilgi hırsızlığına yönelik kötü amaçlı yazılım dağıttığını ve kullanıcıları kripto para varlıkları, SSH kimlik bilgileri ve tarayıcı şifreleri gibi hassas verileri çalmak için kötü amaçlı kod yürütmeye yönelttiğini belirtiyor.

Markdown Dosyalarının Riski

Jason Meller, OpenClaw becerilerinin genellikle kötü amaçlı talimatlar içerebilecek markdown dosyaları olarak yüklendiğini ve bunun hem kullanıcılar hem de yapay zeka asistanı için risk oluşturduğunu vurguluyor. Meller, ClawHub’un en popüler eklentilerinden biri olan bir Twitter becerisini incelerken, kullanıcıları kötü amaçlı yazılım indirmesini sağlayan bir bağlantıya yönlendiren talimatlar içeren bir markdown dosyası bulduğunu ifade etti.

OpenClaw’ın Yapanlarının Tedbirleri

OpenClaw’un yaratıcısı Peter Steinberger, bu riskleri gidermek için bazı önlemler alıyor. ClawHub artık bir beceri yayınlamak için en az bir hafta önce oluşturulmuş bir GitHub hesabına sahip olmayı gerektiriyor. Ayrıca, becerileri bildirme konusunda yeni bir yöntem de mevcut. Ancak bu durum, kötü amaçlı yazılımın platforma sızma olasılığını ortadan kaldırmıyor.

• Tarih: 4 Şubat 2026
• Kaynak: The Verge
• Yazar: Emma Roth