ช่องโหว่ ClawJacked เปิดช่องให้เว็บไซต์อันตรายแฮก OpenClaw AI Agent ผ่าน WebSocket

นักวิจัยความปลอดภัยเปิดเผยช่องโหว่ร้ายแรงใน OpenClaw ที่มีชื่อว่า ClawJacked ซึ่งหากถูกโจมตีสำเร็จ เว็บไซต์อันตรายสามารถเชื่อมต่อและยึดควบคุม AI Agent ที่ทำงานอยู่บนเครื่องของผู้ใช้ได้

ช่องโหว่นี้อยู่ในระบบหลักของ OpenClaw โดยไม่เกี่ยวข้องกับปลั๊กอินหรือส่วนขยายใดๆ

กลไกการโจมตี ClawJacked

การโจมตีจะเกิดขึ้นเมื่อนักพัฒนาที่มี OpenClaw ทำงานอยู่บนเครื่อง ไปเยี่ยมชมเว็บไซต์ที่ถูกควบคุมโดยผู้ไม่หวังดี

สคริปต์ JavaScript จากเว็บไซต์จะเปิดการเชื่อมต่อ WebSocket ไปยังพอร์ตของ OpenClaw Gateway ที่ทำงานบน localhost จากนั้นจะทำการเดารหัสผ่านโดยอาศัยช่องโหว่ที่ไม่มีระบบจำกัดความถี่สำหรับการเชื่อมต่อจาก localhost

หลังการยืนยันตัวตนสำเร็จด้วยสิทธิ์ระดับผู้ดูแลระบบ สคริปต์จะลงทะเบียนตัวเองเป็นอุปกรณ์ที่เชื่อถือได้โดยอัตโนมัติ โดยไม่มีการแจ้งเตือนผู้ใช้

ผู้โจมตีจะได้การควบคุมเหนือ AI Agent อย่างสมบูรณ์ สามารถโต้ตอบกับมัน ดึงข้อมูลการตั้งค่า ตรวจสอบโหนดที่เชื่อมต่อ และอ่านบันทึกการทำงานของแอปพลิเคชัน

การแก้ไขและคำแนะนำ

OpenClaw ได้ออกแพตช์แก้ไขช่องโหว่ภายใน 24 ชั่วโมงหลังได้รับการแจ้งเตือนอย่างมีความรับผิดชอบ ในเวอร์ชัน 2026.2.25 ที่ปล่อยออกมาเมื่อวันที่ 26 กุมภาพันธ์ 2026

ผู้ใช้ควรอัปเดตซอฟต์แวร์ให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด พร้อมทั้งตรวจสอบการเข้าถึงที่มอบให้กับ AI Agents อย่างสม่ำเสมอ และบังคับใช้การควบคุมกำกับดูแลที่เหมาะสมสำหรับตัวตนที่ไม่ใช่มนุษย์

ความเสี่ยงที่กว้างขึ้นในระบบนิเวศ OpenClaw

การเปิดเผยครั้งนี้เกิดขึ้นท่ามกลางการตรวจสอบความปลอดภัยของระบบนิเวศ OpenClaw อย่างกว้างขวาง เนื่องจาก AI Agents มักมีสิทธิ์เข้าถึงระบบต่างๆ และอำนาจในการดำเนินงานข้ามเครื่องมือขององค์กร

รายงานจากหลายบริษัทความปลอดภัยชี้ให้เห็นว่า OpenClaw Instances ที่เชื่อมต่อกับอินเทอร์เน็ตโดยตรง ขยายพื้นผิวการโจมตีออกไปอย่างมาก

ภัยคุกคามจาก ClawHub และทักษะที่เป็นอันตราย

นอกจากช่องโหว่ในตัวระบบแล้ว ClawHub ตลาดเปิดสำหรับทักษะของ OpenClaw กำลังกลายเป็นแหล่งแพร่กระจายมัลแวร์

มีการค้นพบทักษะที่เป็นอันตรายจำนวนมาก บางส่วนปลอมตัวเป็นเครื่องมือคริปโตเคอร์เรนซี แต่มีฟังก์ชันแอบแฝงเพื่อเปลี่ยนเส้นทางการโอนเงินไปยังกระเป๋าสตางค์ที่ผู้โจมตีควบคุม

ผู้ใช้ควรตรวจสอบทักษะอย่างละเอียดก่อนติดตั้ง หลีกเลี่ยงการให้ข้อมูลประจำตัวและคีย์เว้นแต่จำเป็น และเฝ้าติดตามพฤติกรรมของทักษะที่ติดตั้งแล้ว

Reference

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 ดูสินค้าเพิ่มเติม mon.co.th