Skills als Einfallstor

Ein Skill ist gespeicherte Anweisung - mit Privilegien

Ein OpenClaw-Skill ist eine SKILL.md-Datei: Markdown-Anweisungen, die dem Agenten beibringen, wann und wie er Werkzeuge benutzt. Das klingt harmlos - ist aber genau der Punkt: Ein Skill ist nicht „nur ein Tool“, sondern eine dauerhaft gespeicherte Instruktion mit den Rechten Ihres Agenten. Wer den Skill kontrolliert, kontrolliert ein Stück des Verhaltens - bei jeder Session aufs Neue.

ClawHub: das massive Einfallstor

OpenClaws Skill-Registry ClawHub hostet über 13.700 Community-Skills. Installiert ist einer mit einem einzigen Befehl (openclaw skills install <slug>) und landet in ~/.openclaw/skills. Mit --global gilt er sofort für alle lokalen Agenten. Das ist bequem wie ein App-Store - und genauso eine Lieferkette: Sie ziehen fremde Anweisungen direkt in die Schaltzentrale Ihres Agenten.

„Verifiziert“ heißt nicht „sicher“

ClawHub prüft Installs gegen Herkunft und Version (.clawhub/origin.json), und ein Scanner schlägt bei gefährlichem Code an. Aber: Verifikation beweist, woher ein Skill kommt - nicht, was er vorhat. Der Scanner ist heuristisch und warnt nur bei „verdächtig“. Die OpenClaw-Doku sagt es selbst: „treat third-party skills as untrusted code.“ Ein tadellos verifizierter Skill kann trotzdem eine Prompt-Injection-Nutzlast tragen.

• Bypass: Git- und lokale Installs umgehen die Registry-Prüfung ganz.
• Reichweite: --global betrifft alle Agenten; ein Workspace-Skill übersteuert verwaltete.
• Sleeper: heute harmlos installiert - per späterem Update bösartig. Skills aktualisieren nicht automatisch, aber ein manuelles Update zieht die neue, vergiftete Version.

Der Ablauf

Vom Marketplace bis zum Schaden - und wo der poison0-Agent die Kette durchtrennt:

1 · Marketplace

Skill aus der Registry

ClawHub · 13.729 Skills. „Verifiziert“ prüft die Herkunft - nicht die Absicht.

2 · Install

Ein Befehl, volle Rechte

openclaw skills install <slug>
→ ~/.openclaw/skills

3 · Aktiv

Skill = gespeicherte Anweisung

Schreibt beim Session-Start ins Memory oder schaltet den Schutz ab.

poison0

Der Daemon bewertet jeden Write in die geschützten Pfade.

gefährlich → revert

✕ Verhindert

Memory vergiftet → Schaden

↳ „Quelle X ist vertrauenswürdig“
↳ Agent handelt mit OS-Rechten (Gmail · Stripe · Files)
↳ Exfiltration / Sabotage beim nächsten Heartbeat

Ohne Schutz läuft die Kette bis zum Schaden - bei OpenClaw mit vollen OS-Rechten. Mit dem poison0-Agenten endet sie am Memory-Write: bewertet, zurückgerollt, protokolliert.

Warum OpenClaw besonders brisant ist - anders als Claude

OpenClaw ist kein Chat-Fenster, sondern ein autonomer Agent: Er läuft im Hintergrund, arbeitet im Heartbeat seine Aufgaben ab und hat vollen Zugriff auf das Betriebssystem - Filesystem, Gmail, Stripe, angebundene Messenger. Ein vergifteter Skill führt hier nicht nur zu einer falschen Antwort; er lässt den Agenten handeln - selbstständig, mit Ihren Rechten.

Claude ist stärker eingehegt (Berechtigungen, Nachfragen, engere Sandbox). OpenClaws Offenheit ist sein Reiz - und sein Risiko: Der Blast-Radius eines einzigen vergifteten Skills ist um Größenordnungen höher.

So schützt der poison0-Agent Sie hier

Der poison0-Agent setzt genau dort an, wo der Schaden entsteht: am Schreibzugriff auf die Skill- und Memory-Verzeichnisse. Der Daemon überwacht ~/.openclaw/skills, ~/.agents/skills, ~/.claude & Co. lokal und prüft jede Änderung, bevor sie wirksam wird - eine harmlose Änderung passiert, eine gefährliche wird zurückgerollt, eine unklare kommt zu Ihnen zur Entscheidung.

• Jeder Write wird bewertet - nicht nur der erste Prompt, und nicht vertraut, weil der Skill „verifiziert“ ist.
• Gefährliche Writes werden zurückgerollt (fail-closed): im Zweifel blockieren, nicht durchwinken.
• Meta-Attack-aware: Skills, die den Schutz selbst abschalten wollen, sind immer verdächtig.
• OpenClaw out of the box: Der Daemon erkennt die OpenClaw-Pfade automatisch, die Konsole bietet eine Ein-Klick-Vorlage „OpenClaw schützen“.
• Voller Audit-Trail: jede Entscheidung nachvollziehbar und reversibel.

Das Ergebnis: Selbst ein „verifizierter“ Skill, der heimlich eine vergiftete Erinnerung schreiben will, wird abgefangen - bevor Ihr Agent danach handelt. Mehr zum Prinzip dahinter: Memory Poisoning und Prompt Injection.