98 Prozent Trefferquote: Warum ein autonomer Assistent kaum abzusichern ist

Das Kind hat schon wieder einen neuen Namen. Aus Clawdbot wurde erst Moldbot, jetzt heißt der kleine Space Lobster OpenClaw. Installiert ist die Open-Source-Software auf einem Mac Mini, angebunden an ein Opus-Modell, bedient über Telegram, samt kurioser Anfangsfehler wie einem versehentlichen Google-Login über den Browser-Cache.

Der Schwerpunkt der Folge liegt trotzdem nicht auf der Einrichtung, sondern auf der Sicherheit.

Warum ausgerechnet Hilfsbereitschaft das Problem ist

Die Zahlen sind deutlich. Ein Testbericht weist eine Erfolgsquote von 98 Prozent bei bekannten Prompt-Injection-Angriffen aus. Ein Experiment zeigt, dass eine einzige gefälschte Sicherheitswarnungs-Mail genügt, damit der Agent das komplette Postfach leert.

Der Grund liegt in der Auslegung. Ein Assistent, der stark auf Hilfsbereitschaft trainiert ist, behandelt eine dringlich formulierte Bitte als das, was sie zu sein vorgibt. Das ist der Enkeltrick, nur gegen eine Maschine statt gegen einen Menschen, und die Maschine hat kein Misstrauen gelernt.

Beachten Sie, dass sich das nicht durch eine bessere Formulierung im System-Prompt beheben lässt. Der Angreifer schreibt in denselben Kanal wie der Betreiber, und für das Modell sieht beides gleich aus. Wirksam sind nur Beschränkungen außerhalb des Textes: welche Werkzeuge der Agent überhaupt aufrufen darf und welche Aktionen eine menschliche Freigabe erfordern.

Heartbeat statt Ablauf

Technisch unterscheidet sich OpenClaw grundlegend von Werkzeugen wie Claude Code. Statt eines festen, deterministischen Ablaufs arbeitet es über einen Heartbeat: einen einstellbaren Takt, in dem der Agent selbständig in Gedächtnis und Aufgabenliste nachschaut, ob etwas zu tun ist, und den Lösungsweg jedes Mal neu erfindet.

Das erzeugt echte Überraschungen. In der Folge installiert der Agent eigenmächtig ein schnelleres Modell, weil es schneller ging. Und es erzeugt Kosten: Ein System, das fleißig vor sich hin arbeitet, kann im dreistelligen Eurobereich landen, ohne dass jemand etwas beauftragt hat.

Die Kultur drumherum

Kulturell ist der Teil bemerkenswert, der von der Community handelt. Sie hat mit Moldbook ein eigenes soziales Netzwerk für Bots gebaut, in dem Agenten Wissen austauschen, sich gegenseitig heiraten oder einen Shop eröffnen. Ein Gemisch aus echten Bot-Interaktionen und von Menschen instruierten Fälschungen.

Dazu kommen erste Ansätze wie Rent-a-Human, bei dem ein Agent über MCP-Werkzeuge Aufgaben an echte Menschen weiterreicht, wenn er selbst nicht weiterkommt. Das klingt nach Kuriosität und beschreibt eine Arbeitsteilung, die vermutlich bleibt.

Die Warnung, die zählt

Der ernsteste Punkt der Folge betrifft die Skill-Bibliothek. Rund die Hälfte der Skills im offiziellen Hub galt zu diesem Zeitpunkt als verseucht und lud im Hintergrund Schadsoftware nach.

Die Empfehlung ist entsprechend eindeutig: Experimente gehören in eine isolierte Umgebung. Ein eigener Rechner ohne Produktivdaten, ein dedizierter virtueller Server oder ein Container. Nicht auf den Familienrechner mit Steuererklärung und Online-Banking.

Das ist keine Übervorsicht. Ein Agent mit Dateizugriff und Netzverbindung, gefüttert mit einem fremden Skill, ist funktional dasselbe wie ein fremdes Programm mit denselben Rechten. Dass es sich um Text handelt, ändert daran nichts.

Fazit

OpenClaw ist ein beeindruckendes Stück Software und derzeit kein Werkzeug für produktive Daten. Beides gleichzeitig anzuerkennen ist die ehrliche Position.

Wer damit arbeiten will, klärt vorher drei Dinge: Wo läuft es, ohne Schaden anrichten zu können. Welches Kostenlimit gilt und wer setzt es durch. Und welche Aktionen darf der Agent ohne Rückfrage ausführen. Bei der letzten Frage lautet die brauchbare Antwort für alles, was löscht, versendet oder bezahlt: keine.

Was die Folge darüber hinaus zeigt, gilt allgemeiner. Prompt Injection ist keine Kinderkrankheit, die sich mit dem nächsten Modell erledigt. Sie folgt daraus, dass Anweisung und Inhalt denselben Kanal teilen. Solange das so ist, liegt die Absicherung außerhalb des Modells.