Der OpenClaw-Moment: Wenn Agenten schneller wachsen als ihre Governance

500.000 Instanzen in weni­gen Wochen. Kein zen­traler Kill-Switch. Kein automa­tisiert­er Patch-Mech­a­nis­mus. Drei hochschwere CVEs – und die Mehrheit der Instanzen ungepatcht.

CVE ste­ht für Com­mon Vul­ner­a­bil­i­ties and Expo­sures: ein stan­dar­d­isiertes Verze­ich­nis doku­men­tiert­er Sicher­heit­slück­en, jede mit ein­deutiger ID und Schw­ere­grad-Score. Ein CVE bedeutet, dass eine Lücke bekan­nt ist – nicht, dass sie behoben wurde. Genau das ist das Prob­lem.

Open­Claw ist nicht das erste Open-Source-Pro­jekt mit Sicher­heit­slück­en. Es ist das erste, das zeigt, was passiert, wenn ein KI-Agent mit vollem Sys­temzu­griff viral geht – bevor die Gov­er­nance-Infra­struk­tur existiert.

Der kom­pro­mit­tierte CEO-Rech­n­er, dessen Zugangs­dat­en auf Breach­Fo­rums lan­de­ten, war kein gewöhn­lich­es Gerät. Er war ein aggregiert­er Intel­li­gence-Hub: SSO-Ses­sions, Cre­den­tials, voll­ständi­ge Kom­mu­nika­tion­shis­to­rie – nutzbar vom Angreifer wie ein per­sön­lich­er KI-Assis­tent.

Das eigentliche Prob­lem sind nicht die CVEs. Es ist die Architek­tur der Kon­trolle – oder ihr Fehlen.

Wachstum ohne Steuerungsarchitektur

In der ersten Woche nach Veröf­fentlichung liefen rund 6.300 Instanzen von Open­Claw öffentlich im Netz. Wenige Wochen später, live gemessen auf der RSA Con­fer­ence 2026 von Etay Maor (Cato Net­works), waren es nahezu 500.000 – eine Ver­dopplung inner­halb von sieben Tagen. Diese Zahl ist kein Beweis für Pro­duk­tqual­ität. Sie ist ein Maß für unkon­trol­lierte Dif­fu­sion.

Open­Claw – ursprünglich als Clawd­bot ges­tartet, dann nach Ein­spruch von Anthrop­ic zu Molt­bot und schließlich zum heuti­gen Namen umbe­nan­nt – ist ein Open-Source-KI-Agent des öster­re­ichis­chen Entwick­lers Peter Stein­berg­er. Das Pro­jekt verbindet Large Lan­guage Mod­els mit dem voll­ständi­gen Sys­temzu­griff auf den Hostrech­n­er: Dateisys­tem, Kom­man­dozeile, Brows­er-Ses­sions, Mes­sag­ing-Plat­tfor­men, instal­lierte Anwen­dun­gen. Die Architek­tur ist, wie Stein­berg­er selb­st ein­räumt, „per­mis­sion­less” – was in der Sprache der Enthu­si­as­ten Frei­heit bedeutet und in der Sprache der Sicher­heits­forschung: fehlende Zugriff­skon­trolle.

Drei CVEs und kein Kill-Switch

Das konkrete Bedro­hungs­bild ist klar doku­men­tiert. Drei…