OpenClaw presenta vulnerabilidad de «autoataque»: ejecución errónea de comandos Bash que provoca la filtración de claves

BlockBeats informa que, el 5 de marzo, la empresa de seguridad Web3 GoPlus publicó que la herramienta de desarrollo de IA OpenClaw fue recientemente víctima de un incidente de seguridad de “autoataque”. Durante la ejecución de tareas automatizadas, el sistema, al llamar a comandos Shell para crear un issue en GitHub, construyó instrucciones Bash incorrectas, lo que provocó accidentalmente una inyección de comandos y la divulgación de una gran cantidad de variables de entorno sensibles.

En el incidente, la cadena generada por la IA contenía un set rodeado de comillas invertidas, que Bash interpretó como una sustitución de comandos y ejecutó automáticamente. Debido a que Bash, al ejecutar set sin argumentos, muestra todas las variables de entorno actuales, esto llevó a que más de 100 líneas de información sensible (incluyendo claves de Telegram, tokens de autenticación, etc.) se escribieran directamente en el issue de GitHub y se hicieran públicas.