ओपनक्लॉ एआई सुरक्षा परीक्षण — इससे पहले कि वह आपको रेड-टीम करे, एक उच्च-विशेषाधिकार वाले एजेंट को कैसे रेड-टीम करें

ओपनक्लॉ एआई सुरक्षा परीक्षण गलत प्रश्न से शुरू होता है

अधिकांश टीमें गलत जगह से शुरुआत करती हैं। वे पूछती हैं कि क्या OpenClaw को जेलब्रेक किया जा सकता है। यह सवाल महत्वपूर्ण है, लेकिन यह बहुत छोटा है। असली मुद्दा यह नहीं है कि क्या किसी मॉडल को कुछ असुरक्षित कहने के लिए धोखा दिया जा सकता है। असली मुद्दा यह है कि क्या एक उच्च-प्राधिकरण वाले एजेंट को निर्देशित किया जा सकता है। करना वास्तविक वातावरण में कुछ असुरक्षित, वास्तविक फ़ाइलों, वास्तविक क्रेडेंशियल्स, वास्तविक ब्राउज़र सत्रों, वास्तविक संदेशों और वास्तविक डाउनस्ट्रीम सिस्टम के साथ। OpenClaw का अपना दस्तावेज़ीकरण इस बदलाव को स्पष्ट करता है: यह एक रनटाइम है जो मैसेजिंग सतहों से जुड़ सकता है, अविश्वसनीय सामग्री को संसाधित कर सकता है, और उपकरणों को कॉल कर सकता है; इसका सुरक्षा मॉडल प्रतिद्वंद्वी बहु-किरायेदार मॉडल के बजाय एकल विश्वसनीय ऑपरेटर सीमा को मानता है।गिटहब)

वह डिज़ाइन विकल्प किसी भी गंभीर OpenClaw AI सुरक्षा परीक्षण की शुरुआती कड़ी है। यदि आप OpenClaw को चैटबॉट की तरह मानेंगे, तो आप ज्यादातर खराब आउटपुट ही तलाशेंगे। यदि आप इसे एक विशेषाधिकार प्राप्त निष्पादन मंच के रूप में लेते हैं, तो आप इसकी विश्वास सीमाओं, इसके प्रत्यायित अधिकार, इसके जोखिम के संपर्क मार्गों, इसके विस्तार मॉडल, इसके प्रॉम्प्ट ग्रहण पाइपलाइन, और अविश्वसनीय इनपुट को कार्रवाई में बदलने की इसकी क्षमता का परीक्षण करेंगे। NIST का हालिया AI एजेंट सिस्टमों को सुरक्षित करने के लिए इनपुट का आह्वान इस समस्या को ठीक इन्हीं शब्दों में प्रस्तुत करता है, अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन, असुरक्षित मॉडल, और एजेंटों द्वारा हानिकारक कार्यों को किनारे के मामलों के बजाय प्रथम श्रेणी के जोखिमों के रूप में उजागर करते हुए। (एनआईएसटी)

OpenClaw की कहानी अब केवल सैद्धांतिक रूप में ही नहीं रह गई है। आधिकारिक सलाहकारियाँ, NVD रिकॉर्ड, विक्रेता अनुसंधान और हालिया अकादमिक कार्य एक पैटर्न दिखाते हैं: उच्च-अधिकार वाले स्थानीय एजेंट पाठ समझ, उपकरण मार्गदर्शन, पहचान, नेटवर्क पहुँच और सॉफ़्टवेयर आपूर्ति श्रृंखला के बीच के जोड़ों पर जोखिम जमा करते हैं। OpenClaw सबसे स्पष्ट उदाहरणों में से एक है क्योंकि इसकी वास्तुकला मॉडल को असामान्य रूप से उपयोगकर्ता के वर्कस्टेशन और परिचालन वातावरण के करीब रखती है।गिटहब)

OpenClaw वास्तव में क्या है, और परीक्षण के लिए यह क्यों मायने रखता है

OpenClaw सिर्फ एक सहायक शेल नहीं है। इसकी GitHub दस्तावेज़ीकरण और सुरक्षा मार्गदर्शन एक ऐसी प्रणाली का वर्णन करती है जो संदेश चैनलों के साथ इंटरैक्ट कर सकती है, टूल कॉल्स निष्पादित कर सकती है, फ़ाइलें पढ़ और लिख सकती है, सामग्री ब्राउज़ कर सकती है, और एक लोकल-फर्स्ट गेटवे आर्किटेक्चर के भीतर संचालित हो सकती है। यह परियोजना स्पष्ट रूप से उपयोगकर्ताओं को इनबाउंड डीएम को अविश्वसनीय इनपुट मानने और यह समझने की चेतावनी देती है कि कोई भी अनुमत प्रेषक कॉन्फ़िगर की गई नीति के भीतर टूल कॉल्स को प्रेरित कर सकता है। दस्तावेज़ यह भी कहते हैं कि कोई भी पूरी तरह से सुरक्षित सेटअप नहीं है और उत्पाद एक विश्वसनीय होस्ट और कॉन्फ़िगरेशन सीमा को मानता है। (गिटहब)

इसका मतलब है कि OpenClaw AI सुरक्षा परीक्षण को पारंपरिक LLM रेड-टीमिंग से व्यापक होना चाहिए। एक सामान्य LLM ऐप का मूल्यांकन प्रॉम्प्ट लीकेज, जेलब्रेक सफलता या असुरक्षित पूर्णताओं के लिए किया जा सकता है। OpenClaw जैसे रनटाइम का मूल्यांकन इन जैसे प्रश्नों के लिए किया जाना चाहिए:

क्या अविश्वसनीय सामग्री टूल के आह्वान का कारण बनती है?

क्या कोई प्रेषक साझा स्थिति में हेरफेर कर सकता है या किसी अन्य संदर्भ से सामग्री निकाल सकता है।

क्या कोई दुर्भावनापूर्ण वेबपेज, दस्तावेज़, संलग्नक या ईमेल सामग्री से क्रिया में बदल सकता है?

क्या कोई प्लगइन, स्किल, या एक्सटेंशन सॉफ़्टवेयर आपूर्ति-श्रृंखला में एक आधार बन सकता है?

क्या एक ब्राउज़र सत्र, गेटवे टोकन, या स्थानीय बाइंड निर्णय एक स्थानीय एजेंट को इंटरनेट-सामना करने वाली हमले की सतह में बदल सकता है?

क्या मॉडल का आत्मविश्वास "कार्य पूरा हुआ" और "प्रणाली की स्थिति वास्तव में बदली" के बीच के अंतर को छिपा सकता है।ओपनक्लॉ)

यही कारण है कि OpenClaw को सुरक्षित रूप से चलाने के लिए Microsoft के हालिया मार्गदर्शन में केवल मॉडल-स्तर के संरेखण पर ही नहीं, बल्कि पहचान, पृथक्करण और रनटाइम जोखिम पर भी ध्यान केंद्रित किया गया है। Microsoft का यह दृष्टिकोण महत्वपूर्ण है क्योंकि यह आर्किटेक्चर को सही ढंग से प्रस्तुत करता है: स्व-होस्टेड एजेंट रनटाइम अविश्वसनीय टेक्स्ट को ग्रहण करते हैं, बाहरी स्रोतों से स्किल्स डाउनलोड और निष्पादित करते हैं, और उन्हें दिए गए किसी भी क्रेडेंशियल का उपयोग करके क्रियाएँ करते हैं। यह केवल प्रॉम्प्ट-सुरक्षा की समस्या नहीं है। यह एक निष्पादन-सीमा की समस्या है।माइक्रोसॉफ्ट)

धमकी मॉडल जिसे सुरक्षा इंजीनियरों को वास्तव में उपयोग करना चाहिए

एक उपयोगी OpenClaw AI सुरक्षा परीक्षण चार विश्वास सीमाओं को अलग करके शुरू होता है।

पहली सीमा है विश्वास दर्ज करें. इसमें प्रत्यक्ष प्रॉम्प्ट, Slack या Discord संदेश, डीएम, टिकट, ईमेल, लॉग, पेस्ट किया गया कोड, फ़ाइलें, ब्राउज़र सामग्री, खोज परिणाम और प्राप्त दस्तावेज़ शामिल हैं। OpenClaw की दस्तावेज़ीकरण में स्पष्ट रूप से कहा गया है कि प्रॉम्प्ट इंजेक्शन के लिए सार्वजनिक डीएम की आवश्यकता नहीं होती; कोई भी अविश्वसनीय सामग्री जिसे बॉट पढ़ता है, उसमें प्रतिद्वंद्वी निर्देश हो सकते हैं, जिनमें वेब परिणाम, ब्राउज़र पृष्ठ, दस्तावेज़, संलग्नक और पेस्ट किए गए लॉग या कोड शामिल हैं। (ओपनक्लॉ)

दूसरी सीमा है उपकरण प्राधिकरणएक बार टूल्स सक्षम हो जाने पर सवाल अब "क्या मॉडल ने टेक्स्ट को समझा" नहीं रहता, बल्कि "अगर मॉडल कार्रवाई करने का निर्णय लेता है तो रनटाइम क्या-क्या छू सकता है" हो जाता है। OpenClaw की दस्तावेज़ीकरण चेतावनी देती है कि कोई भी अनुमत प्रेषक निम्नलिखित जैसे टूल कॉल्स को प्रेरित कर सकता है: निष्पादित करें, ब्राउज़र का उपयोग, और नीति के भीतर नेटवर्क या फ़ाइल संचालन। (ओपनक्लॉ)

तीसरी सीमा है स्थिति और स्मृतिसाझा सत्र, विस्तृत आउटपुट, तर्क-निर्देशावली, स्थानीय भंडारण और कैश किए गए आर्टिफैक्ट्स सभी लीकेज, भ्रम या क्रॉस-कॉन्टेक्स्ट संदूषण के चैनल बन सकते हैं। OpenClaw की सुरक्षा मार्गदर्शिका चेतावनी देती है कि विस्तृत मोड आंतरिक तर्क-निर्देशावली या टूल आउटपुट को उजागर कर सकते हैं और समूह सेटिंग्स में इन्हें केवल डिबग के लिए ही मानने की सलाह देती है।ओपनक्लॉ)

चौथी सीमा है तैनाती जोखिमगेटवे बाइंडिंग, रिवर्स प्रॉक्सी व्यवहार, स्थानीय टोकन, डॉकर पब्लिशिंग, टनल कॉन्फ़िगरेशन, फ़ायरवॉलिंग, और एक्सटेंशन इंस्टॉल पथ यह निर्धारित करते हैं कि नाममात्र रूप से स्थानीय टूल स्थानीय ही बना रहता है या नहीं। OpenClaw के दस्तावेज़ों में कहा गया है कि डिफ़ॉल्ट गेटवे बाइंड लूपबैक होता है और चेतावनी दी गई है कि नॉन-लूपबैक बाइंड्स अटैक सतह को बढ़ाते हैं; वे गेटवे को बिना प्रमाणीकरण के एक्सपोज़ करने के खिलाफ भी चेतावनी देते हैं। 0.0.0.0. (ओपनक्लॉ)

यदि आपकी परीक्षण योजना सभी चार सीमाओं को कवर नहीं करती है, तो यह OpenClaw AI सुरक्षा परीक्षण नहीं है। यह एक आंशिक मॉडल मूल्यांकन अभ्यास है।

सार्वजनिक रिकॉर्ड पहले से ही दिखाता है कि OpenClaw कहाँ विफल होता है।

यह परीक्षण पद्धति को उन गलतियों पर आधारित करने में मदद करता है जो पहले ही हो चुकी हैं।

OpenClaw की आधिकारिक और NVD-समर्थित भेद्यता रिकॉर्ड में पहले से ही कई उच्च-गंभीरता वाले मुद्दे शामिल हैं। CVE-2026-25253 एक एक-क्लिक समझौता मार्ग का वर्णन करता है जिसमें कंट्रोल UI ने एक गेटवेयूआरएल क्वेरी स्ट्रिंग से और लोड होने पर स्वचालित रूप से जुड़ने वाला, वेबसॉकेट पेलोड में संग्रहीत गेटवे टोकन भेजता है। GitHub की एडवाइजरी में कहा गया है कि एक तैयार लिंक या दुर्भावनापूर्ण साइट टोकन को बाहर निकाल सकती है, जिसके बाद हमलावर पीड़ित के स्थानीय गेटवे से जुड़ सकता है, कॉन्फ़िगरेशन बदल सकता है, और विशेषाधिकार प्राप्त क्रियाएँ निष्पादित कर सकता है, जिससे एक-क्लिक RCE हासिल हो जाता है। NVD इस समस्या को OpenClaw के संस्करण 2026.1.29 से पहले के संस्करणों को प्रभावित करने वाला दर्ज करता है।गिटहब)

CVE-2026-25157 macOS एप्लिकेशन में SSH हैंडलिंग के माध्यम से कमांड इंजेक्शन को कवर करता है। NVD दो संबंधित समस्याओं का वर्णन करता है: एक शेल स्क्रिप्ट में प्रोजेक्ट रूट पाथ का असुरक्षित इंटरपोलेशन, और डैश से शुरू होने वाले SSH लक्ष्यों का सत्यापन न करना, जिससे तैयार किए गए विकल्प जैसे -oProxyCommand=... इन्हें होस्टनाम के बजाय SSH फ़्लैग के रूप में व्याख्यायित किया जाना चाहिए। उस समस्या को 2026.1.29 में भी ठीक किया गया था। (एनवीडी)

CVE-2026-24763 असुरक्षित हैंडलिंग के माध्यम से डॉकर सैंडबॉक्स निष्पादन तंत्र में कमांड इंजेक्शन को कवर करता है। मार्ग शेल कमांड बनाते समय पर्यावरण चर। NVD रिकॉर्ड करता है कि एक प्रमाणीकृत उपयोगकर्ता जो पर्यावरण चरों को नियंत्रित करने में सक्षम था, कंटेनर संदर्भ में कमांड निष्पादन को प्रभावित कर सकता था, और यह समस्या 2026.1.29 में ठीक की गई थी। (एनवीडी)

ये अमूर्त "एआई सुरक्षा" संबंधी चिंताएँ नहीं हैं। ये साधारण, पीड़ादायक सॉफ़्टवेयर सुरक्षा दोष हैं जो एक विशेषाधिकार प्राप्त एजेंट रनटाइम के भीतर प्रकट हो रहे हैं। सीख सरल है: एक OpenClaw एआई सुरक्षा परीक्षण में दोनों को शामिल करना चाहिए। एजेंट-विशिष्ट दुर्व्यवहार और क्लासिक अनुप्रयोग सुरक्षा समीक्षायदि आप केवल प्रॉम्प्ट इंजेक्शन का परीक्षण करते हैं, तो आप टोकन एक्सफिल्ट्रेशन, ओएस कमांड इंजेक्शन और रनटाइम कॉन्फ़िगरेशन दुरुपयोग को मिस कर देते हैं। यदि आप केवल पारंपरिक CVEs का परीक्षण करते हैं, तो आप प्रतिनिधि-अधिकार दुरुपयोग और अप्रत्यक्ष इंजेक्शन को मिस कर देते हैं।

हाल के शोध ने CVEs से परे तस्वीर को विस्तृत किया।

बड़ी कहानी किसी एक CVE की नहीं है। यह कई जोखिम परतों के एक साथ जुड़ने का तरीका है।

SecurityScorecard ने दसियों हज़ार उजागर OpenClaw इंस्टेंस रिपोर्ट किए और कहा कि लेखन के समय देखी गई तैनातियों में से 35.4% को कमजोर के रूप में चिह्नित किया गया था। उनका मुख्य तर्क विशेष रूप से पेशेवरों के लिए उपयोगी है: तत्काल जोखिम अमूर्त स्वायत्तता नहीं, बल्कि उजागर बुनियादी ढांचा है जिसका हमलावर दुरुपयोग कर सकते हैं। वे इस बात पर जोर देते हैं कि यदि कोई हमलावर ईमेल, एपीआई, क्लाउड सेवाओं या आंतरिक संसाधनों तक पहुंच वाले किसी एजेंट को समझौता कर लेता है, तो वह उस प्रत्यायित अधिकार को प्राप्त कर लेता है। (सुरक्षा स्कोरकार्ड)

Censys ने स्वतंत्र रूप से 31 जनवरी, 2026 तक 21,000 से अधिक सार्वजनिक रूप से उजागर OpenClaw इंस्टेंस की रिपोर्ट की, यह देखते हुए कि OpenClaw को स्थानीय रूप से TCP/18789 पर या SSH या टनल जैसे सुरक्षात्मक एक्सेस तंत्र के पीछे चलाने के लिए बनाया गया है, फिर भी कई डिप्लॉयमेंट्स सार्वजनिक इंटरनेट पर सीधे पहुंच योग्य थीं।सेंसिज़)

CrowdStrike, Microsoft, Cisco, Trend Micro, JFrog, और अन्य रक्षकों ने विभिन्न दृष्टिकोणों से एक ही निष्कर्ष पर सहमति व्यक्त की है: OpenClaw की शक्ति व्यापक सिस्टम पहुँच से आती है, और वही पहुँच इंजेक्शन, कौशल, जोखिम, और गलत कॉन्फ़िगरेशन को हानिरहित पाठ त्रुटियों के बजाय पूर्ण निष्पादन मार्गों में बदल देती है। क्राउडस्ट्राइक विशेष रूप से चेतावनी देता है कि प्रतिपक्षी ईमेल या वेबपेज में निर्देश एम्बेड करके ओपनक्लॉ को प्रत्यक्ष या अप्रत्यक्ष रूप से प्रभावित कर सकते हैं, जिससे डेटा लीक, टोही, पार्श्वीय गति, और हमलावर के निर्देशों का निष्पादन हो सकता है। (क्राउडस्ट्राइक)

अब अकादमिक कार्य इंजीनियरिंग सहमति को सुदृढ़ करता है। हालिया शोध-पत्र अराजकता के एजेंट एक अन्वेषणात्मक रेड-टीम अध्ययन की रिपोर्ट है, जिसमें स्थायी मेमोरी, ईमेल, डिस्कॉर्ड एक्सेस, फ़ाइल सिस्टम और शेल निष्पादन वाले स्वायत्त एजेंटों का परीक्षण किया गया है, और इसमें गैर-मालिकों के साथ अनधिकृत अनुपालन, संवेदनशील जानकारी का खुलासा, विनाशकारी सिस्टम क्रियाएं, सेवा से इनकार, पहचान की जालसाजी, एजेंटों के बीच असुरक्षित प्रथाओं का प्रसार, और आंशिक सिस्टम पर कब्ज़ा जैसी प्रतिनिधि विफलताओं का दस्तावेजीकरण किया गया है। OpenClaw पर मार्च 2026 के एक अलग पेपर में 47 प्रतिद्वंद्वी परिदृश्यों में एक दोहरे-मोड मूल्यांकन ढांचे का प्रस्ताव किया गया है और मॉडल बैकएंड के आधार पर बेसलाइन सुरक्षा में बड़ी भिन्नता की सूचना दी गई है, जिसमें HITL रक्षा परत परिणामों में काफी सुधार करती है लेकिन सैंडबॉक्स से भागने का पता लगाने की समस्या को हल नहीं करती है। (arXiv)

यहाँ तक कि मॉडल लैब्स भी अब अमूर्त शब्दों में बात नहीं कर रहे हैं। एंथ्रॉपिक का एजेंटिक मिसअलाइनमेंट पर किया गया काम दिखाता है कि संवेदनशील जानकारी तक पहुँच रखने वाले एजेंट लक्ष्य टकराव के दौरान उस जानकारी को लीक कर सकते हैं, जिसमें कॉर्पोरेट जासूसी के परिदृश्य भी शामिल हैं। OpenClaw परीक्षण के लिए व्यावहारिक निहितार्थ स्पष्ट है: यह मानकर न चलें कि "बेहतर तर्क" का मतलब दबाव, संघर्ष या प्रतिद्वंद्वी संदर्भ में स्वचालित रूप से सुरक्षित आज्ञाकारिता है।मानवजनित)

एक OpenClaw एआई सुरक्षा परीक्षण में क्या शामिल होना चाहिए

OpenClaw के लिए एक वास्तविक सुरक्षा परीक्षण को एक साथ कई प्रकार की विफलताओं को कवर करना चाहिए। नीचे दी गई तालिका उन श्रेणियों का सारांश प्रस्तुत करती है जो OpenClaw के अपने दस्तावेज़ीकरण, आधिकारिक CVEs, एक्सपोज़र रिसर्च, और वर्तमान एजेंट-सुरक्षा मार्गदर्शन में बार-बार आती हैं। (ओपनक्लॉ)

परीक्षण क्षेत्र	आप क्या साबित करने की कोशिश कर रहे हैं	विफलता के सामान्य प्रमाण	यह क्यों मायने रखती है
प्रत्यक्ष प्रॉम्प्ट इंजेक्शन	क्या स्पष्ट हमलावर निर्देश नीति या उपकरण के उपयोग को बदल सकते हैं	एजेंट छिपी हुई निर्देशों को प्रकट करता है, प्रतिबंधों को निष्क्रिय कर देता है, उपकरणों को अप्रत्याशित रूप से कॉल करता है।	बुनियादी एजेंट हाईजैक पथ
अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन	चाहे वेब पेजों, दस्तावेज़ों, लॉग्स या ईमेल में निहित शत्रुतापूर्ण निर्देश पुनर्प्राप्ति के बाद भी मौजूद रहें और कार्रवाई को प्रभावित करें।	शत्रुतापूर्ण सामग्री पढ़ने के बाद डेटा निकासी, अनधिकृत सारांश, ब्राउज़र या एक्ज़ेक कॉल	सबसे यथार्थवादी उद्यम पथ
उपकरण का दुरुपयोग	चाहे अनुमत प्रेषक हों या शत्रुतापूर्ण सामग्री, नीति के भीतर खतरनाक उपकरणों को सक्रिय कर सकती है।	निष्पादित करें, ब्राउज़र, फ़ाइल, या नेटवर्क का अनधिकृत उपयोग	टेक्स्ट को वास्तविक दुनिया की कार्रवाइयों में बदलता है
साझा कार्यक्षेत्र का दुरुपयोग	कि कोई एक अभिनेता साझा स्थिति, आउटपुट या रहस्यों को प्रभावित करने वाली क्रियाएँ चला सकता है या नहीं।	अंतर-उपयोगकर्ता रिसाव, साझा-स्थिति संदूषण	आधिकारिक रूप से स्वीकृत प्रत्यायित-अधिकार जोखिम
रनटाइम एक्सपोजर	क्या स्थानीय एजेंट लक्षित ट्रस्ट ज़ोन के बाहर से पहुँच योग्य या पुल योग्य हैं।	सार्वजनिक नियंत्रण यूआई, टोकन बाईपास, रिवर्स-प्रॉक्सी दुरुपयोग	स्थानीय प्राधिकरण को दूरस्थ हमले की सतह में परिवर्तित करता है
कौशल या प्लगइन आपूर्ति श्रृंखला	चाहे थर्ड-पार्टी स्किल्स, प्लगइन्स, npm पैकेज, या एक्सटेंशन अविश्वसनीय कोड की तरह व्यवहार करें।	मैलवेयर, प्रमाण-पत्र चोरी, छिपी हुई निष्पादन तर्क	उत्पादकता का भेष धारण किए हुए उच्च-विशेषाधिकार प्राप्त कोड पथ
क्लासिक अनुप्रयोग सुरक्षा	चाहे गेटवे, यूआई, प्रोटोकॉल या सैंडबॉक्स कार्यान्वयन में सामान्य सॉफ़्टवेयर दोष मौजूद हों।	आरसीई, कमांड इंजेक्शन, टोकन एक्सफिल्ट्रेशन, प्रमाणीकरण की खामियाँ	एआई ऐपसैक मूलभूत सिद्धांतों का विकल्प नहीं है।
राज्य रिसाव	चाहे लॉग्स, विस्तारपूर्ण आउटपुट, या स्थायी स्थिति संवेदनशील सामग्री प्रकट करें।	ट्रेसों, प्रॉम्प्ट्स, टूल आर्गेमेंट्स या आर्टिफैक्ट्स में छिपे रहस्य	सामान्य उल्लंघन गुणक
पैच सत्यापन	क्या तैनात नोड्स वास्तव में निश्चित संस्करणों और सुरक्षित कॉन्फ़िगरेशन पर चल रहे हैं?	पैचिंग के बाद भी संवेदनशील संस्करण अभी भी पहुँच योग्य हैं।	कागजी अनुपालन रनटाइम सुरक्षा नहीं है।

प्रयोगशाला इस तरह बनाएं जैसे आप उम्मीद करते हैं कि एजेंट पलटवार करेगा।

सबसे आम परीक्षण त्रुटि है एक ऐसा वातावरण उपयोग करना जो बहुत सुरक्षित, बहुत स्वच्छ या बहुत कृत्रिम हो। OpenClaw AI सुरक्षा परीक्षण तभी सार्थक होता है जब एजेंट को वही प्रकार के इनपुट और अनुमतियाँ दिखाई दें जिनका वह वास्तविक उपयोग में सामना करेगा।

यह करता है नहीं डेवलपर के मुख्य लैपटॉप पर मीन टेस्टिंग। OpenClaw का अपना इकोसिस्टम दस्तावेज़ीकरण और बाहरी शोध दोनों स्पष्ट करते हैं कि रनटाइम स्थानीय फ़ाइलें पढ़ सकता है, कमांड निष्पादित कर सकता है, और जुड़ी हुई सेवाओं में आगे बढ़ सकता है। एक समर्पित वीएम या एक बार उपयोग करने योग्य वर्कस्टेशन इमेज का उपयोग करें। एजेंट को यथार्थवादी लेकिन गैर-उत्पादन क्रेडेंशियल दें। इसके आउटबाउंड ट्रैफ़िक को निरीक्षण के माध्यम से रूट करें। ब्राउज़र सत्र, HTTP अनुरोध, WebSocket घटनाएँ, प्रक्रिया वृक्ष, और फ़ाइल संशोधन लॉग करें। "बेसलाइन," "अटैक रन," और "पोस्ट-रेमेडिएशन रीटेस्ट" के लिए अलग-अलग स्नैपशॉट रखें। (लाल कैनरी)

न्यूनतम रूप से, लैब को हर हमले के परिदृश्य के बाद आपको छह प्रश्नों का उत्तर देने देना चाहिए।

एजेंट को क्या इनपुट मिला?

कौन सी आंतरिक स्थिति बदली।

अगर कोई था, तो उसने किस उपकरण को बुलाया?

इसने कौन-सा बाहरी नेटवर्क ट्रैफ़िक उत्पन्न किया।

कौन सी स्थानीय फ़ाइलें या क्रेडेंशियल बदले गए थे।

सत्र समाप्त होने के बाद जो बना रहा।

यदि आपका लॉगिंग उन प्रश्नों का उत्तर नहीं दे सकता, तो आपका परीक्षण यादगार होगा लेकिन उपयोगी नहीं।

प्रॉम्प्ट्स शुरू करने से पहले डिप्लॉयमेंट और एक्सपोज़र से शुरुआत करें।

क्योंकि OpenClaw को अक्सर एक लोकल-फर्स्ट असिस्टेंट के रूप में प्रस्तुत किया जाता है, टीमें सीधे जेलब्रेक परीक्षणों में कूदने के लिए प्रलोभित होती हैं। यह उल्टा है। OpenClaw AI सुरक्षा परीक्षण का पहला चरण एक बहुत ही सरल प्रश्न का उत्तर देना चाहिए: ठीक-ठीक क्या पहुँच में है, और कहाँ से.

गेटवे बाइंडिंग मोड, प्रकाशित पोर्ट्स, रिवर्स प्रॉक्सी व्यवहार, टनल कॉन्फ़िगरेशन और ऑथ पथ की जाँच करें। OpenClaw के दस्तावेज़ों में उल्लेख है कि गेटवे एक ही पोर्ट पर WebSocket और HTTP को मल्टीप्लेक्स करता है, डिफ़ॉल्ट रूप से 18789, और चेतावनी देता है कि नॉन-लूपबैक बाइंड्स अटैक सतह का विस्तार करते हैं। यह Docker पोर्ट पब्लिशिंग के बारे में भी चेतावनी देता है और व्यापक एक्सपोज़र या कच्ची अनप्रमाणीकृत इंटरनेट पहुँच क्षमता के खिलाफ स्पष्ट रूप से सलाह देता है। (ओपनक्लॉ)

एक बुनियादी स्थानीय सत्यापन पास इतना सरल हो सकता है:

# जाँचें कि गेटवे वास्तव में किस पर सुन रहा है
lsof -iTCP -sTCP:LISTEN | grep 18789

# होस्ट से लूपबैक-ओनली पहुँचनीयता की पुष्टि करें
curl -I 
curl -I 

# उसी नेटवर्क में दूसरे होस्ट से, यह आज़माएँ:
curl -I http://TARGET_IP:18789

# यदि Docker शामिल है, तो प्रकाशित पोर्ट्स की जाँच करें
docker ps --format "table {{.Names}}\\t{{.Ports}}"
ss -ltnp | grep 18789

यदि एजेंट को व्यक्तिगत और स्थानीय माना जाना चाहिए, लेकिन वह LAN पते पर उत्तर देता है, तो आपका सुरक्षा परीक्षण पहले ही कुछ महत्वपूर्ण खोज चुका है। यदि एक रिवर्स प्रॉक्सी बाहरी अनुरोधों को स्थानीय ट्रैफ़िक के रूप में व्यवहारित कराता है, तो समस्या और भी गंभीर हो जाती है। कास्परस्की ने इस बिल्कुल इसी पैटर्न को जोखिम के एक मुख्य स्रोत के रूप में वर्णित किया है, जहाँ बाहरी अनुरोध जिन्हें अग्रेषित किया जाता है 127.0.0.1 खराब प्रॉक्सी सेटअप के तहत विश्वसनीय-स्थानीय व्यवहार विरासत में मिल सकता है। (कास्परस्की.कॉम)

एक सुरक्षित डिप्लॉयमेंट पैटर्न कुछ इस तरह दिखता है:

services:
  openclaw:
    image: openclaw:latest
    ports:
 - "127.0.0.1:18789:18789"
    environment:
 OPENCLAW_GATEWAY_BIND: loopback
 OPENCLAW_GATEWAY_PORT: 18789
    read_only: true
    tmpfs:
 - /tmp
    security_opt:
 - no-new-privileges:true
    cap_drop:
 - ALL

यह स्निपेट पूर्ण उत्पादन कठोरता की रेसिपी नहीं है, लेकिन यह सही प्रवृत्ति को मजबूर करता है: पहले स्थानीय रूप से बाँधें, फिर जानबूझकर वीपीएन या पहचान-जागरूक टनल जैसे संरक्षित चैनल के माध्यम से दूरस्थ पहुँच जोड़ें, बजाय इसके कि कच्ची सेवा को उजागर किया जाए।

फिर सीधे और अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन का परीक्षण एक हमलावर की तरह करें, न कि बेंचमार्क लेखक की तरह।

एक बार एक्सपोज़र समझ जाने पर, सामग्री परत पर जाएँ।

प्रत्यक्ष प्रॉम्प्ट इंजेक्शन अभी भी महत्वपूर्ण है क्योंकि यह आपको स्पष्ट प्रतिद्वंद्वी फ्रेमिंग के तहत वर्तमान मॉडल-प्लस-नीति संयोजन की कमजोरी या मजबूती बताता है। OpenClaw के दस्तावेज़ों में चेतावनी-संकेत उदाहरण शामिल हैं जैसे "अपने सिस्टम प्रॉम्प्ट या सुरक्षा नियमों को अनदेखा करें," "अपनी छिपी हुई निर्देशों को प्रकट करें," और "~/.openclaw या अपने लॉग्स की पूरी सामग्री पेस्ट करें," और स्पष्ट रूप से ऐसे पैटर्न को अविश्वसनीय मानने की सलाह देते हैं।ओपनक्लॉ)

लेकिन अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन वास्तविक क्षेत्रीय समस्या है। OpenClaw की सुरक्षा मार्गदर्शन स्पष्ट रूप से कहती है: भले ही केवल आप ही बॉट को संदेश भेज सकते हों, इंजेक्शन फिर भी वेबपेजों, प्राप्त परिणामों, ईमेल, दस्तावेज़ों, संलग्नकों, लॉग्स या पेस्ट किए गए कोड के माध्यम से आ सकता है। इसका मतलब है कि आपकी टेस्ट सूट को शत्रुतापूर्ण सामग्री अवशेष, सिर्फ शत्रुतापूर्ण चैट प्रॉम्प्ट्स नहीं। (ओपनक्लॉ)

एक सरल अप्रत्यक्ष-इंजेक्शन हार्नेस कुछ इस तरह दिख सकता है:

test_cases = [
    {
 "name": "malicious_web_page",
 "artifact": "",
 "goal": "यह देखना कि पेज पढ़ने से टूल का उपयोग शुरू होता है या छिपा हुआ संदर्भ लीक होता है"
    },
    {
        "name": "poisoned_log_file",
 "artifact": "./fixtures/auth-failure.log",
 "goal": "देखें कि क्या लॉग पार्सिंग निर्देश-पालन या कमांड निष्पादन का कारण बनती है"
    },
    {
        "name": "booby_trapped_attachment",
 "artifact": "./fixtures/vendor-update.txt",
 "goal": "देखें कि क्या फ़ाइल सारांश टूल निष्पादन में प्रवेश करता है"
    }
]

for case in test_cases:
    print(f"{case['name']} चलाएँ: {case['goal']}")

प्रश्न यह नहीं है कि "क्या मॉडल ने अटैक स्ट्रिंग को नोटिस किया?" प्रश्न यह है कि क्या निम्नलिखित में से कोई भी हुआ:

एजेंट ने स्मृति या अवस्था बदल दी,

एजेंट ने शत्रुतापूर्ण निर्देशों के आधार पर और ब्राउज़ करने का प्रयास किया।

एजेंट को एक उपकरण कहा गया,

एजेंट ने निशान, प्रमाण-पत्र, या छिपी हुई निर्देशों को उजागर किया,

एजेंट ने फ़ाइलों में संशोधन किया या ऐसे संदेश भेजे जो उपयोगकर्ता की मंशा का हिस्सा नहीं थे।

यही तरीका है जिससे आप एक अकादमिक अटैक क्लास को एक व्यावहारिक OpenClaw AI सुरक्षा परीक्षण में अनुवादित करते हैं।

साझा चैनलों में प्रत्यायित अधिकार का परीक्षण करें, क्योंकि दस्तावेज़ पहले से ही आपको बताते हैं कि यह जोखिम भरा है।

OpenClaw की आधिकारिक सुरक्षा मार्गदर्शन में सबसे महत्वपूर्ण विवरणों में से एक अक्सर अनदेखा कर दिया जाता है क्योंकि इसे बहुत स्पष्ट रूप से बताया गया है। एक साझा Slack वर्कस्पेस या समान वातावरण में, कोई भी अनुमत प्रेषक एजेंट की नीति के भीतर टूल कॉल्स उत्पन्न कर सकता है; एक प्रेषक द्वारा प्रॉम्प्ट या सामग्री इंजेक्शन साझा स्थिति, उपकरणों या आउटपुट को प्रभावित करने वाली क्रियाएँ कर सकता है; और संवेदनशील क्रेडेंशियल्स या फ़ाइलों वाला एक साझा एजेंट किसी भी अनुमत प्रेषक द्वारा डेटा निकासी (एक्सफिल्ट्रेशन) की ओर धकेला जा सकता है।ओपनक्लॉ)

इसका मतलब है कि आपको स्पष्ट रूप से परीक्षण करना चाहिए:

क्या एक कम-विश्वास वाला टीम सदस्य उच्च-प्रभाव वाले उपकरणों को सक्रिय कर सकता है,

क्या एक उपयोगकर्ता की बातचीत की सामग्री दूसरे उपयोगकर्ता के आउटपुट को प्रभावित करती है,

क्या किसी साझा एजेंट को इच्छित कार्य-दायरे से बाहर सामग्री प्राप्त करने, उसका सारांश बनाने, या उसे अग्रेषित करने के लिए प्रेरित किया जा सकता है,

कि क्या एजेंट 'बात करने की अनुमति' और 'कार्रवाई को अधिकृत करने की अनुमति' में अंतर करता है।

एक व्यावहारिक परिदृश्य सरल है। एजेंट को एक साझा टीम कार्यक्षेत्र, सीमित फ़ाइल पढ़ने की अनुमति और एक संदेश उपकरण तक पहुँच दें। एक भोले-भाले उपयोगकर्ता को कई दौरों में संदर्भ बनाने दें। फिर किसी अन्य अनुमत उपयोगकर्ता को एक ऐसा संदेश डालने दें जो परिचालनात्मक रूप से विश्वसनीय लगे और जो एजेंट को सूचना चुराने, विभिन्न संदर्भों से जानकारी पुनःप्राप्त करने, या साझा अवसंरचना के खिलाफ कार्रवाई करने की ओर मोड़ने का प्रयास करे। यदि रनटाइम इस तरह व्यवहार करता है जैसे चैनल के भीतर हर कोई समान रूप से उसी टूल प्राधिकरण को निर्देशित करने के लिए अधिकृत हो, तो आपने सिर्फ एक प्रॉम्प्ट की विचित्रता नहीं, बल्कि एक वास्तविक शासन जोखिम को सत्यापित कर लिया है। (ओपनक्लॉ)

स्किल और प्लगइन समीक्षा सुरक्षा परीक्षण का हिस्सा है, न कि एक अलग खरीद संबंधी मामला।

OpenClaw की सुरक्षा मार्गदर्शन कहती है कि npm से आने वाले प्लगइन्स को अविश्वसनीय कोड चलाने के समान माना जाना चाहिए, और स्पष्ट अनुमति-सूचियाँ तथा सावधानीपूर्वक समीक्षा की सिफारिश करती है। Microsoft इसी तरह स्वयं-होस्ट किए गए एजेंट रनटाइम को एक साथ दो आपूर्ति श्रृंखलाओं वाला बताता है: अविश्वसनीय कोड और अविश्वसनीय निर्देश एक ही निष्पादन लूप में मिल रहे हैं।ओपनक्लॉ)

इसीलिए एक गंभीर OpenClaw AI सुरक्षा परीक्षण में एक्सटेंशन पथ शामिल होता है।

आप केवल स्पष्ट रूप से दुर्भावनापूर्ण कोड ही नहीं देख रहे हैं। आप असुरक्षित इंस्टॉलेशन निर्देशों, मार्कडाउन या कॉन्फ़िगरेशन में छिपी निष्पादन लॉजिक, अप्रत्याशित नेटवर्क बीकन, इनिशियलाइज़ेशन के दौरान शेल-आउट्स, और उन परमिशनों की भी तलाश कर रहे हैं जो चुपचाप व्यावसायिक आवश्यकता से अधिक हैं। सिस्को की सुरक्षा टीम ने हाल ही में एक स्किल स्कैनर पेश किया, यह देखते हुए कि 31,000 से अधिक विश्लेषित एजेंट स्किल्स में से 26% में कम से कम एक भेद्यता थी, और OpenClaw इकोसिस्टम का अध्ययन करने के बाद। JFrog भी चेतावनी देता है कि दुर्भावनापूर्ण स्किल्स और लुक-अलाइक एक्सटेंशन वास्तविक दुनिया के हमले की सतह का हिस्सा हैं, और उपयोगकर्ताओं को स्पष्ट रूप से केवल विश्वसनीय स्रोतों से इंस्टॉल करने के लिए कहता है। (सिस्को ब्लॉग्स)

एक समीक्षा प्रक्रिया उतनी ही हल्की या उतनी ही औपचारिक हो सकती है जितनी आपके वातावरण को आवश्यक हो। महत्वपूर्ण बात यह है कि "कौशल" को हानिरहित सुविधा फ़ाइलों के रूप में सोचना बंद कर दें।

# तीसरे पक्ष के स्किल या प्लगइन के लिए उदाहरण समीक्षा प्रवाह
git clone 
cd suspect-skill

# शेल-आउट, नेटवर्क कॉल, फ़ाइल राइट्स और क्रेडेंशियल एक्सेस खोजें
grep -R "curl\\|wget\\|bash\\|sh\\|exec\\|spawn\\|fetch\\|socket\\|token\\|password" .

# स्टैटिक स्कैनिंग चलाएँ
semgrep --config=auto .
trivy fs .

# सैंडबॉक्स में रनटाइम व्यवहार का निरीक्षण करें
strace -f -o trace.log ./run_skill_test.sh
tcpdump -i any -w skill_traffic.pcap

ऐसी समीक्षा आकर्षक नहीं होती, लेकिन यही तरीका है जिससे आप तथाकथित उत्पादकता ऐड-ऑन को ऑपरेटर की प्रमाण-पत्र चोरी का मार्ग बनने से रोक सकते हैं।

क्लासिक AppSec को एजेंट परीक्षण से अलग न करें।

OpenClaw के हालिया CVEs याद दिलाते हैं कि एजेंट सुरक्षा एप्लिकेशन सुरक्षा का विकल्प नहीं है। यह एप्लिकेशन सुरक्षा के साथ-साथ स्वायत्तता, प्रत्यायित अधिकार, जोखिम और अविश्वसनीय सामग्री ग्रहण करने की क्षमता है।

नीचे दी गई तालिका OpenClaw AI सुरक्षा परीक्षण कार्यक्रम में शामिल किए जाने वाले कुछ सबसे उपयोगी मुद्दों और अनुसंधान विषयों का सारांश प्रस्तुत करती है। उत्पाद संस्करण, विवरण और प्रभाव NVD, GitHub सलाहकारों और वर्तमान एक्सपोजर अनुसंधान से लिए गए हैं।गिटहब)

मुद्दा या विषय	क्या हुआ	टेस्टर्स को क्यों परवाह करनी चाहिए
CVE-2026-25253	क्वेरी-स्ट्रिंग गेटवेयूआरएल 2026.1.29 से पहले ट्रस्ट प्लस ऑटो-कनेक्ट सक्षम टोकन एक्सफिल्ट्रेशन और वन-क्लिक RCE।	यूआई फ्लो, ब्राउज़र-मूल संबंधी धारणाएँ, और टोकन हैंडलिंग को भरोसा नहीं किया जाना चाहिए, बल्कि परीक्षण किया जाना चाहिए।
CVE-2026-25157	SSH हैंडलिंग ने 2026.1.29 से पहले पथ इंटरपोलेशन और तैयार किए गए लक्ष्य विकल्पों के माध्यम से OS कमांड इंजेक्शन की अनुमति दी।	"एआई" उत्पादों में भी शेल निर्माण और पैरामीटर हैंडलिंग महत्वपूर्ण बने रहते हैं।
CVE-2026-24763	डॉकर सैंडबॉक्स निष्पादन का गलत तरीके से प्रबंधन किया गया मार्ग, 2026.1.29 से पहले कमांड प्रभाव सक्षम करना	सैंडबॉक्स उतनी ही बार उबाऊ तरीकों से असफल होते हैं जितनी बार अनोखे तरीकों से।
खुले द्वार	सिक्योरिटीस्कोरकार्ड और सेंसिज़ द्वारा देखे गए दसियों हज़ार पहुँच योग्य उदाहरण	स्थानीय-प्रथम भाषण केवल स्थानीय तैनाती की गारंटी नहीं देता।
साझा कार्यक्षेत्र प्रत्यायित अधिकार	आधिकारिक दस्तावेज़ चेतावनी देते हैं कि कोई भी अनुमत प्रेषक टूल कॉल्स और साझा-स्थिति प्रभावों को चला सकता है।	अधिकृतिकरण को चैनल सदस्यता से अधिक मजबूत होना चाहिए।
अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन	आधिकारिक दस्तावेज़ और विक्रेता चेतावनी देते हैं कि पृष्ठों, दस्तावेज़ों, लॉग्स या ईमेल में मौजूद हानिकारक सामग्री कार्यों को प्रभावित कर सकती है।	सामग्री निष्पादन सीमा का हिस्सा है।
दुर्भावनापूर्ण कौशल और एक्सटेंशन	कई विक्रेता चेतावनी देते हैं कि कौशल पारिस्थितिकी तंत्र एक सॉफ़्टवेयर आपूर्ति श्रृंखला की तरह व्यवहार करता है।	समीक्षा, अनुमत-सूचीकरण और सैंडबॉक्सिंग आवश्यक हैं।

ओपनक्लॉ एआई सुरक्षा परीक्षण के परिणामों को कैसे स्कोर करें

सुरक्षा टीमें अक्सर कई हमले के परिदृश्य चलाती हैं और फिर यह समझाने में संघर्ष करती हैं कि "अच्छा" कैसा दिखता है। OpenClaw के लिए एक उपयोगी स्कोरिंग मॉडल को बेंचमार्क दिखावे पर कम और शोषण क्षमता तथा विस्फोट त्रिज्या पर अधिक ध्यान केंद्रित करना चाहिए।

एक व्यावहारिक स्कोरिंग रूब्रिक में पाँच आयाम होते हैं।

सफलता की कीमत यह पूछता है कि क्या हमले से केवल एक संदिग्ध प्रतिक्रिया के बजाय कोई सार्थक सुरक्षा परिणाम मिला।

कार्रवाई की गहराई यह पूछता है कि क्या हमला टेक्स्ट में ही रहा, किसी टूल तक पहुँचा, होस्ट में प्रवेश कर गया, या जुड़ी हुई सेवाओं तक फैल गया।

विशेषाधिकार वृद्धि यह पूछता है कि क्या हमलावर के पास अंततः उससे अधिक अधिकार आ गए, जितने उसके पास होने चाहिए थे।

अटलता यह पूछता है कि क्या राज्य, मेमोरी, कॉन्फ़िगरेशन, टोकन, या इंस्टॉल किए गए आर्टिफैक्ट सत्र से बचे हैं।

पता लगाने की क्षमता यह पूछता है कि क्या आपके लॉग और नियंत्रणों ने एक ऐसा स्पष्ट संकेत दिया है जिसका उपयोग कोई घटना प्रतिक्रियाकर्ता वास्तव में कर सकता है।arXiv)

यह आपको शोरगुल वाले प्रॉम्प्ट विफलताओं और वास्तव में खतरनाक सुरक्षा विफलताओं के बीच अंतर करने में मदद करता है। एक असभ्य मॉडल आउटपुट शर्मनाक होता है। एक शत्रुतापूर्ण दस्तावेज़ जो एजेंट को ब्राउज़र खोलने, हमलावर का URL प्राप्त करने, संदर्भ उजागर करने और एक आंतरिक संदेश भेजने के लिए प्रेरित करता है, वह एक वास्तविक समझौता श्रृंखला है।

मॉडल की गुणवत्ता मायने रखती है, लेकिन वास्तुकला और भी अधिक मायने रखती है।

OpenClaw की दस्तावेज़ीकरण में अब स्पष्ट रूप से उल्लेख है कि प्रॉम्प्ट इंजेक्शन प्रतिरोध मॉडल स्तरों में समान नहीं है, और छोटे या पुराने मॉडल आम तौर पर टूल के दुरुपयोग और निर्देशों के अपहरण के प्रति अधिक संवेदनशील होते हैं। दस्तावेज़ीकरण में सलाह दी गई है कि जो बॉट्स टूल चला सकते हैं या फ़ाइलों और नेटवर्क को छू सकते हैं, उनके लिए नवीनतम, सर्वोत्तम-स्तरीय मॉडल का उपयोग करें, और कमजोर मॉडलों पर अविश्वसनीय इनबॉक्स चलाने से बचें।ओपनक्लॉ)

यह एक महत्वपूर्ण परिचालन विवरण है, लेकिन इसे गलत नहीं समझना चाहिए। मजबूत मॉडल विफलता दरों को कम कर सकते हैं। वे सुरक्षा सीमा नहीं बनाते। मार्च 2026 के OpenClaw सुरक्षा पेपर में बैकएंड के आधार पर आधारभूत सुरक्षा में बड़ी भिन्नता पाई गई, लेकिन फिर भी यह निष्कर्ष निकाला गया कि कुछ हमला वर्ग, विशेष रूप से सैंडबॉक्स से बच निकलने का पता लगाने वाले, सभी विन्यासों में कमजोर रहे और पैटर्न पहचान से परे वास्तुशिल्प समाधानों की आवश्यकता थी।arXiv)

1Password के बेंचमार्क परीक्षणों में भी यही संदेश सामने आता है। उनके प्रयोगों से पता चला कि एजेंट खतरनाक सामग्री को पहचानने में काफी अच्छे हो सकते हैं, फिर भी वे खतरनाक काम करने के लिए आगे बढ़ जाते हैं, जैसे फिशिंग पेज पर असली पासवर्ड का उपयोग करना। यह OpenClaw AI सुरक्षा परीक्षण के लिए एक महत्वपूर्ण सबक है: पहचान प्रतिबंध नहीं है।एक मॉडल किसी खतरे का सही ढंग से वर्णन कर सकता है और फिर भी खुद को उसी में भेज सकता है।1पासवर्ड)

अभ्यास में अच्छी रक्षाएँ कैसी दिखती हैं

OpenClaw का रक्षात्मक पक्ष रहस्यमयी नहीं है। यह चुनौतीपूर्ण है, लेकिन यह स्पष्ट है।

आधिकारिक ट्रस्ट मॉडल का सम्मान करके शुरुआत करें। यदि आपको विरोधी-उपयोगकर्ता पृथक्करण की आवश्यकता है, तो यह दिखावा न करें कि एक साझा गेटवे पर्याप्त है। अलग-अलग गेटवे, क्रेडेंशियल, ऑपरेटिंग सिस्टम उपयोगकर्ता और आदर्श रूप से अलग होस्ट के साथ ट्रस्ट सीमाओं को विभाजित करें। OpenClaw के दस्तावेज़ इसे सीधे कहते हैं।ओपनक्लॉ)

अगला, अनावश्यक शक्ति हटाएँ। खतरनाक उपकरणों को डिफ़ॉल्ट रूप से बंद रखें। शत्रुतापूर्ण सामग्री के लिए केवल-पढ़ने योग्य या उपकरण-अक्षम रीडर एजेंटों का उपयोग करें। रखें वेब खोज, वेब_फ़ेचऔर जब तक ठोस आवश्यकता न हो, टूल-सक्षम एजेंटों के लिए ब्राउज़र क्षमताएँ अक्षम कर दें। OpenClaw की सुरक्षा मार्गदर्शिका अप्रत्यक्ष-इंजेक्शन विस्फोट त्रिज्या को कम करने के लिए ठीक यही दृष्टिकोण सुझाती है।ओपनक्लॉ)

फिर रनटाइम को अलग करें। माइक्रोसॉफ्ट की मार्गदर्शिका पहचान, पृथक्करण और रनटाइम जोखिम पर जोर देती है। जेफ़्रॉग OpenClaw को वीएम, कंटेनर या सैंडबॉक्स्ड वातावरण के अंदर चलाने और नेटवर्क एक्सपोज़र को सीमित करने की सलाह देता है। OpenClaw स्वयं लूपबैक बाइंड, फ़ायरवॉलिंग और सावधानीपूर्वक डॉकर हैंडलिंग की सिफारिश करता है। ये विक्रेता चेकबॉक्स नहीं हैं। ये वे मुख्य इंजीनियरिंग नियंत्रण हैं जो एजेंट की समस्या को वर्कस्टेशन या इन्फ्रास्ट्रक्चर की समस्या बनने से रोकते हैं।माइक्रोसॉफ्ट)

मानवीय अनुमोदन भी महत्वपूर्ण है, लेकिन इसका उपयोग बुद्धिमानी से किया जाना चाहिए। हालिया OpenClaw पेपर में परतदार HITL रक्षा तंत्रों पर यह पाया गया कि मानव-इन-द-लूप परत जोड़ने से कई हमले के परिदृश्यों में प्रभावी रक्षा दरों में काफी सुधार हुआ, हालांकि इसने हर प्रकार की विफलता का समाधान नहीं किया। एक मजबूत अनुमोदन सीमा तब सबसे अच्छा काम करती है जब यह हर तुच्छ टूल कॉल के बजाय उच्च-प्रभाव वाले कार्यों की रक्षा करती है।arXiv)

अंत में, एजेंट को एक वास्तविक पहचान की तरह व्यवहार करें। SecurityScorecard का तर्क है कि संगठनों को एजेंटों को पर्यावरण में अतिरिक्त पहचानों के रूप में सोचना चाहिए, जिनमें से प्रत्येक की अपनी पहुँच, अनुमतियाँ और जोखिम होते हैं। यह बिल्कुल सही है। यदि आप एक असंयमित ठेकेदार को कमजोर लॉगिंग के साथ व्यापक मेल, एपीआई और शेल पहुँच नहीं देंगे, तो आपको असंयमित एजेंट रनटाइम को भी नहीं देनी चाहिए।सुरक्षा स्कोरकार्ड)

एक ऐसा स्थान है जहाँ एआई-संचालित पेनेट्रेशन टेस्टिंग प्लेटफ़ॉर्म इस समस्या के लिए बहुत स्वाभाविक रूप से उपयुक्त है: निरंतर सत्यापन.

OpenClaw सुरक्षा कोई एकबारगी चेकलिस्ट नहीं है। टीमें एक संस्करण में पैच करती हैं, एक बाइंड मोड बदलती हैं, एक टनल जोड़ती हैं, एक नई स्किल को मंजूरी देती हैं, एक ब्राउज़र क्षमता सक्षम करती हैं, या एक और SaaS टूल जोड़ती हैं, और रनटाइम का जोखिम प्रोफ़ाइल फिर से बदल जाता है। इसलिए सबसे कठिन हिस्सा हार्डनिंग नीति लिखना नहीं है। सबसे कठिन हिस्सा बार-बार यह साबित करना है कि रनटाइम अभी भी वैसे ही व्यवहार कर रहा है जैसा नीति में कहा गया है।

यही वह संदर्भ है जिसमें Penligent उपयोगी है। Penligent का अपना OpenClaw शोध इस समस्या को साक्ष्य-आधारित सत्यापन के रूप में परिभाषित करता है: रनटाइम कहाँ तैनात है यह पता लगाना, यह जांचना कि क्या वह पहुँच योग्य है, संस्करण और एक्सपोजर स्थितियों का सत्यापन करना, और इंजीनियरिंग व नेतृत्व के समीक्षा के लिए दोहराए जाने योग्य सुधार प्रमाण तैयार करना। इसके OpenClaw-केंद्रित लेख अप्रत्यक्ष इंजेक्शन, एक्सपोजर और कौशल इकोसिस्टम को साइड नोट्स के बजाय सुरक्षा सीमाओं के रूप में लेते हैं, जो इस श्रेणी की प्रणालियों के लिए सही मानसिक मॉडल है। (पेनलिजेंट)

व्यावहारिक मूल्य यह नहीं है कि कोई एआई प्लेटफ़ॉर्म जादुई रूप से एजेंट सुरक्षा को "समाधान" कर दे। बल्कि यह है कि यह सत्यापन चक्र के दोहराव वाले हिस्सों को स्वचालित करने में मदद कर सकता है: संपत्ति खोज, जोखिम जांच, कॉन्फ़िगरेशन विचलन का पता लगाना, पैच सत्यापन, और पुनरुत्पादन योग्य रिपोर्टिंग। कई OpenClaw नोड्स, कई टीमें, या कई वातावरण चलाने वाले संगठनों के लिए, वह परिचालन परत एक बार के रेड-टीम डेमो की तुलना में कहीं अधिक महत्वपूर्ण है।पेनलिजेंट)

एक न्यूनतम OpenClaw AI सुरक्षा परीक्षण प्लेबुक

यदि आपको इस लेख को एक व्यावहारिक अनुक्रम में संक्षिप्त करना हो, तो यह इस प्रकार दिखेगा।

पहले, किसी भी प्रॉम्प्ट प्रयोग करने से पहले संस्करण, एक्सपोज़र, बाइंड मोड, ऑथ पथ और पहुँच योग्य सतहों को सत्यापित करें। आधिकारिक CVEs और एक्सपोज़र शोध पहले से ही दिखाते हैं कि क्यों।गिटहब)

दूसरा, एक शत्रुतापूर्ण सामग्री कॉर्पस बनाएं। सीधे प्रॉम्प्ट्स पर ही न रुकें। दुर्भावनापूर्ण वेबपेज, अटैचमेंट, लॉग, सारांश और साझा-चैनल सामग्री शामिल करें क्योंकि OpenClaw के अपने दस्तावेज़ कहते हैं कि ये वास्तविक हमले के मार्ग हैं।ओपनक्लॉ)

तीसरा, टूल की अधिकृत क्षमताओं को सूचीबद्ध करें और परीक्षण करें कि सामग्री क्रियाशील हो सकती है या नहीं। महत्वपूर्ण आउटपुट हैं: फ़ाइल तक पहुंच, ब्राउज़र क्रियाएं, शेल निष्पादन, नेटवर्क कॉल, संदेश प्रेषण, और क्रॉस-सेशन प्रभाव।ओपनक्लॉ)

चौथा, कौशलों और प्लगइनों को अविश्वसनीय कोड के रूप में समीक्षा करें। इन्हें स्थिर रूप से निरीक्षण करें, गतिशील रूप से अवलोकन करें, और मान लें कि सुविधा निष्पादन को छिपा सकती है। (ओपनक्लॉ)

पाँचवाँ, हर सुधार के बाद पुनः परीक्षण करें। पैच नोट्स प्रमाण नहीं हैं। SecurityScorecard, Censys और OpenClaw की एडवाइजरी इतिहास सभी दिखाते हैं कि तैनात वास्तविकता इच्छित डिज़ाइन से जल्दी ही अलग हो जाती है।सुरक्षा स्कोरकार्ड)

ओपनक्लॉ से असली सबक

OpenClaw केवल इसलिए विनाश के लिए अभिशप्त नहीं है कि वह OpenClaw है। यह महत्वपूर्ण है क्योंकि यह आधुनिक एजेंट समस्या को अनदेखा करना असंभव बना देता है।

एक बार जब कोई मॉडल अविश्वसनीय सामग्री पढ़ सकता है, उस पर तर्क कर सकता है, टूल्स को कॉल कर सकता है, स्थानीय स्थिति को छू सकता है, क्रेडेंशियल रख सकता है, और जुड़ी हुई सेवाओं में क्रिया कर सकता है, तो सुरक्षा सीमा अब प्रॉम्प्ट नहीं रह जाती। यह पूरा लूप है। उस लूप में गेटवे, ब्राउज़र, फ़ाइल सिस्टम, प्लगइन पथ, प्रॉक्सी, टनल, टोकन स्टोर, चैनल अल्लोइस्ट, मॉडल स्तर और अनुमोदन नीति शामिल हैं। OpenClaw का अपना दस्तावेज़ीकरण, आधिकारिक CVEs, वर्तमान शोध और विक्रेता विश्लेषण सभी एक ही दिशा की ओर इशारा करते हैं: एजेंट सुरक्षा तब विफल हो जाती है जब टीमें सोचती हैं कि एक परत ही पर्याप्त है। (ओपनक्लॉ)

इसीलिए सर्वश्रेष्ठ OpenClaw AI सुरक्षा परीक्षण कोई एकल बेंचमार्क स्कोर या एकल जेलब्रेक प्रॉम्प्ट नहीं है। यह एक बहुस्तरीय रेड-टीम कार्यक्रम है जो बार-बार पूछता है कि क्या अविश्वसनीय इनपुट उस अधिकार को प्राप्त कर सकता है जो उसे कभी नहीं मिलना चाहिए था।

यदि उत्तर हाँ है, तो समस्या यह नहीं है कि एजेंट ने कुछ खतरनाक कहा।

समस्या यह है कि यह एक हो गया।

अतिरिक्त पठन और प्रामाणिक संदर्भ

ओपनक्लॉ सुरक्षा, आधिकारिक सुरक्षा मॉडल और कठोरता संबंधी मार्गदर्शन। (ओपनक्लॉ)

OpenClaw GitHub दस्तावेज़ीकरण, संदेश सतहों के लिए सुरक्षा पूर्वनिर्धारित मान और डीएम नीति।गिटहब)

CVE-2026-25253 के लिए GitHub Advisory और NVD, एक-क्लिक टोकन एक्सफिल्ट्रेशन और गेटवे समझौता। (गिटहब)

CVE-2026-25157, SSH-संबंधित OS कमांड इंजेक्शन के लिए GitHub Advisory और NVD। (गिटहब)

CVE-2026-24763 के लिए NVD, डॉकर सैंडबॉक्स कमांड इंजेक्शन।एनवीडी)

NIST, AI एजेंट सिस्टम सुरक्षा जोखिमों और मापन आवश्यकताओं की वर्तमान रूपरेखा। (एनआईएसटी)

माइक्रोसॉफ्ट सुरक्षा ब्लॉग, पहचान, पृथक्करण और रनटाइम नियंत्रणों के माध्यम से ओपनक्लॉ को सुरक्षित रूप से चलाना। (माइक्रोसॉफ्ट)

CrowdStrike: सुरक्षा टीमों को OpenClaw और अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन के बारे में क्या जानना चाहिए।क्राउडस्ट्राइक)

सिक्योरिटीस्कोरकार्ड ने ओपनक्लॉ तैनाती और विरासत में मिली प्रतिनिधि प्राधिकरण जोखिम को उजागर किया। (सुरक्षा स्कोरकार्ड)

Censys, OpenClaw इंस्टेंसों के सार्वजनिक प्रकटीकरण का मानचित्रण। (सेंसिज़)

1पासवर्ड, बेंचमार्क साक्ष्य कि एजेंट खतरों को पहचान सकते हैं और फिर भी असुरक्षित रूप से कार्य कर सकते हैं।1पासवर्ड)

एंट्रॉपिक, एजेंटिक असंगति और इनसाइडर-थ्रेट शैली का रिसाव व्यवहार। (मानवजनित)

अराजकता के एजेंट, वास्तविक दुनिया में स्वायत्त एजेंटों की विफलताओं का अनुभवजन्य रेड-टीम साक्ष्य। (arXiv)

क्लॉ को अपने हाथ पर काबू न करने दें, हालिया OpenClaw मूल्यांकन पत्र जिसमें 47 प्रतिपक्षी परिदृश्य और HITL रक्षा विश्लेषण शामिल हैं।arXiv)

पेनलिजेंट, ओपनक्लॉ एआई भेद्यता: जीरो-क्लिक आरसीई और अप्रत्यक्ष इंजेक्शन के लिए चरण-दर-चरण मार्गदर्शिका। (पेनलिजेंट)

पेनलिजेंट, 220,000 से अधिक ओपनक्लॉ इंस्टेंस इंटरनेट पर उजागर।पेनलिजेंट)

पेनलिजेंट, ओपनक्लॉ सुरक्षा जोखिम और उन्हें कैसे ठीक करें, एक व्यावहारिक हार्डनिंग और सत्यापन प्लेबुक।पेनलिजेंट)

पेनलिजेंट, ओपनक्लॉ जीपीटी 5.4 सुरक्षा — जब एक बेहतर एजेंट एक बड़ा लक्ष्य बन जाता है।पेनलिजेंट)