OpenClaw: Risiko Asisten AI Pribadi yang Terekspos ke Internet

OpenClaw adalah agen AI pribadi sumber terbuka, sebelumnya bernama Clawdbot dan Moltbot, yang diberi akses ke terminal, file, dan aplikasi pesan penggunanya. Pada Januari sampai Februari 2026 peneliti melaporkan ratusan skill berbahaya di marketplace ClawHub, kerentanan satu klik, dan instans yang terekspos ke internet. Artikel ini membahas risikonya dan cara menjinakkannya per 29 Oktober 2026.

Ringkasan Risiko OpenClaw

• Produk: OpenClaw, agen AI sumber terbuka yang berjalan di mesin lokal atau server dan bisa mengirim email, mengontrol browser, serta menjalankan perintah.
• Kerentanan: CVE-2026-25253, pencurian token satu klik yang dapat berujung eksekusi kode jarak jauh pada versi sebelum 2026.1.29.
• Skor: CVSS 3.1 8,8 (tinggi), dinilai oleh CNA MITRE dan tercantum sama di advisory GitHub OpenClaw; pelapor yang dicantumkan advisory adalah depthfirst.
• Versi perbaikan: OpenClaw 2026.1.29 atau lebih baru.
• Status eksploitasi: tidak tercatat di katalog CISA KEV (versi 28 Oktober 2026), tetapi penilaian CISA pada rekaman CVE menyebut bukti konsep sudah tersedia publik.
• Rantai pasok: skill berbahaya di ClawHub; hitungan awal pada awal Februari 2026 berkisar 341 sampai 386, dan menurut rangkuman Cloud Security Alliance (CSA) jumlah terkonfirmasi kemudian naik menjadi sedikitnya 824.

Apa Itu OpenClaw dan Mengapa Menarik bagi Penyerang

Menurut CrowdStrike, OpenClaw terhubung ke model bahasa, berintegrasi dengan API eksternal, dan mengerjakan tugas secara mandiri. Pengguna sering memberinya akses luas, termasuk terminal, file, dan kadang hak root. Pada awal Februari 2026, CrowdStrike mencatat proyek ini melesat melewati 150.000 bintang GitHub hanya dalam beberapa hari. Kombinasi popularitas dan akses luas itu menjadikannya target: instans yang salah konfigurasi di mesin kantor bisa berubah menjadi apa yang disebut CrowdStrike sebagai agen pintu belakang AI yang menuruti instruksi penyerang. CrowdStrike juga menyebut jumlah instans yang terekspos ke internet terus bertambah, banyak yang dapat diakses lewat HTTP tanpa enkripsi. CrowdStrike tidak menyebut angka, dan instans yang terekspos belum tentu sudah disusupi; terekspos berarti dapat dijangkau, bukan berarti telah dibobol. Rujukannya ada di ulasan CrowdStrike tentang OpenClaw.

Skill Berbahaya di ClawHub

Peneliti Paul McCarty, melalui komunitas OpenSourceMalware, menerbitkan temuan pada 1 Februari 2026 (dengan pembaruan 2 dan 3 Februari) tentang 386 skill berbahaya di ClawHub, repositori skill OpenClaw. Menurut temuannya, semuanya terhubung ke satu server komando. Skill itu menyamar sebagai alat otomatisasi trading kripto dan memakai nama merek terkenal seperti ByBit, Polymarket, Axiom, Reddit, dan LinkedIn. Isinya adalah malware pencuri informasi untuk macOS dan Windows yang menarget kunci API bursa, kunci privat dompet, kredensial SSH, dan kata sandi browser. Korban dibujuk lewat rekayasa sosial untuk menjalankan sendiri perintah yang memasang malware, pola yang oleh McCarty dibandingkan dengan taktik ClickFix. Laporannya diulas Infosecurity Magazine.

Angka berbeda antar-sumber karena audit terus berjalan. Menurut CSA, audit Koi Security yang terbit pada 1 Februari 2026 menemukan 341 skill berbahaya, 335 di antaranya dari satu kampanye yang dinamai ClawHavoc, dan analisis lanjutan menaikkan jumlah terkonfirmasi menjadi sedikitnya 824. Unit 42 Palo Alto Networks melaporkan bahwa temuan ini mendorong ClawHub bermitra dengan VirusTotal untuk memindai skill yang diterbitkan, dan skill dari kampanye awal tersebut sudah dihapus atau ditandai berbahaya. Artinya, risiko tidak hilang: skill yang sudah terpasang sebelum penghapusan tetap perlu diperiksa. Ini mirip masalah rantai pasok perangkat lunak yang dijelaskan di supply chain attack perangkat lunak. CrowdStrike juga mencatat prompt injection yang sudah teramati di dunia nyata: payload pengurasan dompet kripto di Moltbook, jejaring sosial untuk agen AI.

CVE-2026-25253: Pencurian Token Satu Klik

Menurut advisory keamanan OpenClaw di GitHub yang terbit 31 Januari 2026, antarmuka kontrol OpenClaw menerima alamat gateway dari parameter URL tanpa validasi lalu langsung tersambung, sehingga token gateway yang tersimpan terkirim ke tujuan yang bisa dikendalikan penyerang. Cukup satu klik korban pada tautan berbahaya, dan dampaknya adalah pengambilalihan gateway hingga eksekusi kode di host. Rekaman CVE resmi terbit 1 Februari 2026 dan mencakup semua versi sebelum 2026.1.29.

Satu catatan penting: advisory menyebut instans yang hanya mendengarkan di loopback (localhost) tetap terdampak, karena browser korban sendiri yang membuat koneksi keluar. Jadi menutup akses dari internet tidak cukup untuk celah ini. Advisory tidak mencantumkan workaround; perbaikannya adalah memperbarui, dan versi baru meminta pengguna mengonfirmasi alamat gateway baru sebelum tersambung. Untuk menemukan instalasi di jaringan, runZero menyarankan kueri inventaris software berdasarkan vendor dan produk OpenClaw.

Shadow AI: Ketika Karyawan Memasang Agen Sendiri

Dari sisi organisasi, OpenClaw adalah contoh klasik shadow AI. Seorang karyawan memasang agen di laptop kantor, memberinya akses email dan token kerja, lalu tim keamanan tidak tahu agen itu ada. Jika agen atau skill-nya disusupi, penyerang mewarisi akses penggunanya. Prinsip least privilege dan pemahaman tentang jenis-jenis malware pencuri informasi sangat relevan di sini.

Langkah Mitigasi untuk Individu dan Tim IT

• Perbarui: pastikan OpenClaw berada di 2026.1.29 atau lebih baru.
• Isolasi: jalankan agen di mesin virtual atau perangkat terpisah, bukan di laptop yang menyimpan akses kerja dan keuangan.
• Allowlist skill: pasang hanya skill dari sumber tepercaya, tinjau isinya, dan jangan menjalankan perintah yang diminta sebuah skill tanpa memahaminya.
• Pisahkan rahasia: jangan biarkan agen membaca kunci dompet, kunci API produksi, atau kredensial SSH; simpan di secrets manager.
• Jangan ekspos ke internet: batasi akses ke jaringan lokal atau VPN dengan autentikasi dan enkripsi. Langkah ini mengurangi paparan umum, tetapi tidak menggantikan pembaruan untuk CVE-2026-25253.
• Inventaris: cari instalasi OpenClaw di endpoint dan di internet-facing asset, lalu putuskan apakah diizinkan.
• Cabut kredensial jika curiga: bila pernah memasang skill mencurigakan, anggap kredensial yang ada di mesin itu terbuka dan ganti.

Kerangka risiko yang lebih luas ada di OWASP Top 10 untuk Agentic AI dan LLM. Tim yang ingin membangun kebiasaan aman dalam memakai agen dapat memulai dari program training Linuxhackingid.

Linimasa Singkat

• 1 sampai 3 Februari 2026: Paul McCarty menerbitkan dan memperbarui laporan tentang 386 skill berbahaya di ClawHub.
• 31 Januari 2026: advisory GitHub untuk celah token satu klik terbit, dengan perbaikan di versi 2026.1.29.
• 1 Februari 2026: rekaman CVE-2026-25253 diterbitkan; Koi Security merilis audit ClawHavoc.
• 3 Februari 2026: Infosecurity Magazine memberitakan temuan skill berbahaya.
• 4 Februari 2026: CrowdStrike menerbitkan panduan untuk tim keamanan.

Pertanyaan yang Sering Diajukan

Apakah OpenClaw boleh dipakai?

Boleh, bila Anda memahami risikonya: gunakan versi terbaru, isolasi, skill terpercaya, dan akses minimal. Untuk perangkat kantor, mintalah persetujuan tim IT lebih dulu.

Bagaimana mengenali skill berbahaya?

Waspadai skill yang meniru merek terkenal, menjanjikan keuntungan trading, atau meminta Anda menjalankan perintah manual untuk memasangnya. Periksa pengembang dan isi skill sebelum memasang.

Apakah CVE-2026-25253 sudah dieksploitasi massal?

Belum ada konfirmasi publik tentang eksploitasi massal. Per katalog 28 Oktober 2026 CVE ini tidak tercatat di CISA KEV, tetapi bukti konsepnya sudah tersedia publik, sehingga pembaruan tetap mendesak.

Apakah OpenClaw aman dipasang di laptop kantor?

Sebaiknya tidak tanpa persetujuan tim IT. Agen ini bisa mengakses terminal, file, dan akun, sehingga satu skill berbahaya dapat mencuri kredensial kerja. Jika dipakai, jalankan di mesin virtual terpisah.

Kesimpulan

OpenClaw menunjukkan bahwa agen AI dengan akses luas membawa risiko rantai pasok dan konfigurasi yang nyata. Per 29 Oktober 2026, langkah paling efektif adalah memperbarui, mengisolasi, dan membatasi akses. Linuxhackingid siap membantu organisasi Anda menyusun kebijakan penggunaan agen AI yang aman.