--- title: "Kerentanan Claw Chain OpenClaw: Berkas Kasus · AgentDots" description: "Bagaimana empat celah OpenClaw yang dirangkai—diawali kondisi balapan sandbox dengan CVSS 9.6—memungkinkan penyerang beralih dari plugin berbahaya atau injeksi prompt hingga mengambil alih host, serta perbaikan pada 2026.4.22." url: https://agentdots.org/id/incidents/openclaw-claw-chain/ lang: id --- Catatan insiden · Celah keamanan # Claw Chain: empat celah OpenClaw berujung pada pengambilalihan Peneliti menguraikan empat kerentanan OpenClaw yang saling terkait, dimulai dari plugin berbahaya atau prompt yang disusupi dan berakhir dengan penyerang mengendalikan mesin host. 23 April 2026 KritisOpenClaw Pada April, para peneliti menguraikan rangkaian empat kerentanan di OpenClaw, yang kemudian dianalisis dalam catatan riset Cloud Security Alliance. Penyerang dapat memulai dengan plugin yang telah disusupi atau prompt yang disuntikkan, lalu merangkai celah-celah itu hingga mengambil alih sepenuhnya mesin yang menjalankan agen. Celah paling parah adalah kondisi balapan di sandbox, dengan skor 9.6 pada skala CVSS. Rangkaian ini menunjukkan mengapa agen yang di-host sendiri memusatkan risiko: memori, kredensial, dan akses ke host semuanya berada di gateway, sehingga satu celah masuk dapat membuka semuanya. Versi 2026.4.22 memperbaiki keempat celah tersebut, dan sejak itu OpenClaw telah menjalani audit eksternal. Siapa pun yang menggunakan versi lebih lama sebaiknya menganggap kunci yang dapat dijangkau agen mungkin telah terekspos, lalu menggantinya. ## Pihak yang terdampak Instalasi OpenClaw versi sebelum 2026.4.22 Pelajaran: Gunakan rilis OpenClaw terkini dan pasang plugin serta skill seperlunya saja, hanya dari sumber tepercaya. Siapa pun yang menggunakan rilis sebelum 2026.4.22 sebaiknya mengganti setiap kunci yang dapat diakses oleh agen. **Sumber** - [Cloud Security Alliance](https://labs.cloudsecurityalliance.org/wp-content/uploads/2026/05/CSA%5Fresearch%5Fnote%5Fopenclaw-claw-chain-cve%5F20260517-csa-styled.pdf) [OpenClaw](https://agentdots.org/id/agents/openclaw/) Keamanan [Ikuti daftar periksa 18 poin →](https://agentdots.org/id/safety/checklist/) ## Catatan insiden 28 September 2026 [GPT-6.1 Astra ditarik setelah gagal dalam pengujiannya sendiri](https://agentdots.org/id/incidents/astra-launch-halted/) 28 September 2026 [Muse memberi tahu orang asing alamat rumah penjual](https://agentdots.org/id/incidents/muse-shared-home-address/) 25 September 2026 [Agen riset mengunggah 53 gambar pengguna ke situs publik](https://agentdots.org/id/incidents/research-agents-posted-images/) 25 September 2026 [Celah membuka kemungkinan akses ke mesin Muse](https://agentdots.org/id/incidents/muse-vm-vulnerability/) 20 September 2026 [Amazon menutup tokonya bagi Muse dari Meta](https://agentdots.org/id/incidents/amazon-blocks-muse/)