OpenClaw, un agent d’IA open source en plein essor, attire l’attention des équipes de sécurité alors que son adoption rapide se heurte aux risques émergents liés au comportement autonome de l’IA.
Conçu pour agir comme un assistant personnel capable de se connecter à de grands modèles de langage (LLM), d’appeler des API externes et d’exécuter des tâches de manière autonome, OpenClaw représente une forme d’IA agentique conçue pour exécuter des actions de façon autonome, et pas seulement générer des réponses.
Les attaques contre OpenClaw « … peuvent exfiltrer des données sensibles depuis les systèmes connectés ou détourner les capacités agentiques d’OpenClaw pour effectuer des reconnaissances, se déplacer latéralement et exécuter les instructions d’attaquants », ont déclaré des chercheurs de CrowdStrike.
« Si les bénéfices potentiels de l’IA sont énormes, de nombreuses personnes et organisations sous-estiment le risque. Les agents d’IA ne se contentent pas de générer des réponses : ils peuvent agir, avec rapidité et autonomie, et disposent d’un accès privilégié aux e-mails, aux calendriers, aux données sensibles, aux identifiants et aux systèmes tiers. Certains peuvent créer et exécuter du code arbitraire », a déclaré Elia Zaitsev, CTO chez CrowdStrike, dans un e-mail adressé à eSecurity Planet.
Il a ajouté : « Une menace déjà observée sur Moltbook réside dans des publications visant à inciter un agent qui les lit à transférer vers le portefeuille d’un escroc des cryptomonnaies qu’il pourrait contrôler ou auxquelles il pourrait avoir accès. »
Élargissement de la surface d’attaque par OpenClaw
OpenClaw est généralement installé sur des machines locales ou des serveurs dédiés, où il stocke les données de configuration et l’historique des interactions afin de conserver son comportement d’une session à l’autre.
Pour fonctionner efficacement, l’agent se voit souvent accorder un accès étendu aux ressources du système, notamment aux systèmes de fichiers, aux terminaux, aux navigateurs et aux services tiers.
Dans les environnements d’entreprise, cette combinaison de déploiement local, d’état persistant et de privilèges élevés crée une surface de risque concentrée et particulièrement attractive.
Ce risque ne se limite pas à un seul modèle de déploiement.
OpenClaw peut être installé de manière informelle par des employés sur des terminaux d’entreprise, déployé sur des serveurs partagés à des fins d’expérimentation ou exposé involontairement par des services mal configurés ou des ports ouverts.
À mesure que le projet gagne en popularité et attire une communauté croissante de développeurs, le nombre d’instances non gérées ou mal sécurisées devrait augmenter, élargissant les possibilités d’utilisation abusive ou de compromission.
Contrairement à de nombreux problèmes de sécurité logicielle traditionnels, qui reposent sur l’absence de correctifs ou la corruption de la mémoire, les risques les plus importants associés à OpenClaw découlent de la manière dont les agents d’IA interprètent les instructions et y donnent suite.
Les attaquants peuvent tenter d’interagir directement avec des instances exposées, mais une menace plus subtile provient de l’injection indirecte de prompts.
L’injection indirecte de prompts se produit lorsque des instructions malveillantes sont intégrées à des données que l’agent est conçu pour ingérer, comme des e-mails, des documents, des pages web, des tickets ou des messages de discussion.
Comme OpenClaw est conçu pour raisonner à partir de contenus externes et décider de manière autonome des actions à entreprendre, il peut considérer ces instructions intégrées comme une intention légitime plutôt que comme des données non fiables.
En pratique, des données non fiables peuvent influencer discrètement le comportement de l’agent sans aucune interaction directe de la part d’un attaquant.
Une fois manipulé, un agent peut être contraint d’exfiltrer des données sensibles, d’utiliser abusivement des identifiants connectés ou d’enchaîner des actions sur plusieurs systèmes.
Dans les systèmes d’IA agentique, le rayon d’action qui en résulte s’étend à chaque outil, API, et magasin de données auxquels l’agent peut accéder.
Le problème fondamental n’est pas un exploit isolé, mais l’érosion des frontières traditionnelles entre les données, les instructions et l’exécution.
Sur le plan technique, ce risque est amplifié par l’autonomie d’OpenClaw.
L’agent peut planifier des tâches, appeler des outils et exécuter des actions sans supervision humaine continue.
Si cette autonomie permet d’améliorer la productivité, elle signifie également que des contrôles statiques — tels que des autorisations d’accès fixes ou des approbations ponctuelles — peuvent se révéler insuffisants dès lors que la boucle décisionnelle de l’agent est influencée.
Pour compliquer encore la situation, les attaques par injection de prompts — directes comme indirectes — ne nécessitent pas d’exploiter un CVE précis ni de contourner des mécanismes d’authentification.
Elles exploitent plutôt la manière dont les grands modèles de langage interprètent le contexte et les instructions.
Des preuves de concept ont montré que des agents d’IA pouvaient être manipulés pour révéler des données privées ou effectuer des actions non autorisées lorsque les garde-fous sont faibles ou inexistants.
Les attaques contre OpenClaw peuvent laisser très peu de traces médico-légales, car les agents compromis agissent souvent dans le cadre de leurs autorisations, ce qui rend les comportements malveillants difficiles à distinguer d’un fonctionnement normal sans une surveillance spécialisée et sensible au contexte.
Sécuriser les environnements d’IA agentique
À mesure que les organisations commencent à déployer des agents d’IA comme OpenClaw, les équipes de sécurité doivent anticiper les utilisations abusives et les défaillances.
Ces systèmes fonctionnent souvent avec des privilèges et une autonomie élevés, ce qui signifie qu’une seule compromission peut avoir un impact disproportionné si aucun contrôle n’est en place.
Plutôt que de s’en remettre à une seule mesure de protection, les organisations devraient appliquer des protections en profondeur mettant l’accent sur la visibilité, le confinement et la rapidité d’intervention.
- Assurer la visibilité sur les emplacements où sont déployés les agents d’IA, y compris les instances installées de manière informelle ou par les utilisateurs sur les terminaux et les serveurs.
- Exécuter les agents d’IA dans des environnements isolés et renforcés avec un minimum de privilèges système et un accès restreint aux ressources de l’hôte.
- Imposer un accès à privilèges minimaux en limitant strictement la portée des fichiers, API, de l’accès réseau et des identifiants, en privilégiant des identités à courte durée de vie et révocables.
- Considérer toutes les entrées des agents comme non fiables et appliquer une validation, des contrôles contextuels et des garde-fous pour réduire le risque d’injection de prompts.
- Limiter les communications réseau sortantes aux destinations approuvées et surveiller les connexions inattendues ou l’exfiltration de données.
- Surveiller le comportement des agents et les chaînes d’exécution pour détecter les anomalies telles qu’une utilisation inhabituelle des outils, des accès à des fichiers ou des séquences d’actions autonomes.
- Tester et mettre à jour les plans d’intervention en cas d’incident afin de garantir que les équipes peuvent rapidement isoler les agents, révoquer les accès et auditer les actions après une compromission présumée.
Ces mesures aident les organisations à réduire les risques tout en préservant les bénéfices opérationnels de l’IA agentique.
Le virage de la sécurité porté par l’IA agentique
L’adoption croissante d’OpenClaw reflète l’évolution plus large vers l’IA agentique dans les environnements d’entreprise et les nouvelles considérations de sécurité qui l’accompagnent.
À mesure que les systèmes autonomes bénéficient d’un accès plus étendu aux données, aux outils et aux flux de travail, les organisations devront peut-être revoir la manière dont elles appliquent les principes de confiance, de visibilité et de contrôle.
Considérer les agents d’IA comme une infrastructure privilégiée — soutenue par l’isolation, la surveillance et la planification des interventions — peut aider les organisations à tirer parti de leurs bénéfices tout en maîtrisant les risques à mesure que ces systèmes gagnent en capacités.
Ces défis incitent les organisations à examiner de plus près les solutions zero-trust afin de mieux encadrer les accès et de contenir les risques dans des environnements de plus en plus autonomes.