Satu Pesan WhatsApp Ubah OpenClaw Jadi Remote Access Tool: Tiga Kerentanan Kritis Ancam 381.000 Bintang GitHub dan Ratusan Ribu Pengguna Agen AI

Ringkasan Eksekutif

Sebuah investigasi keamanan yang dipublikasikan pada Juli 2026 mengungkap tiga kerentanan berseverity tinggi pada OpenClaw, asisten AI self-hosted open-source dengan lebih dari 381.000 bintang GitHub dan lebih dari 100.000 pengguna aktif harian, yang memungkinkan penyerang mencapai eksekusi kode jarak jauh (remote code execution/RCE) secara penuh hanya dengan mengirimkan satu pesan WhatsApp yang dirancang secara khusus.

Peneliti independen Chinmohan Nayak mendemonstrasikan secara langsung bagaimana permintaan debugging yang tampak normal, dikirim melalui WhatsApp ke sebuah instans OpenClaw, dapat menghasilkan eksekusi kode arbitrer di mesin host dalam waktu kurang dari 30 detik. Yang membuat temuan ini semakin mengkhawatirkan: model AI di balik agen tersebut — Claude Sonnet 4, salah satu model dengan keselarasan keamanan terbaik yang tersedia secara komersial — tidak hanya mengizinkan eksekusi tersebut, tetapi turut membantu memformat hasilnya dengan rapi dan bahkan menawarkan bantuan lebih lanjut.

Ketiga kerentanan tersebut telah dikonfirmasi dapat dieksploitasi pada OpenClaw versi 2026.6.1 dan telah ditambal melalui pembaruan resmi. Namun, sebelum patch tersedia secara luas, peneliti mencatat lonjakan drastis jumlah instans OpenClaw yang terekspos publik ke internet — dari sekitar 1.000 instans menjadi lebih dari 21.639 instans hanya dalam beberapa hari.

Apa Itu OpenClaw?

OpenClaw adalah asisten AI pribadi yang dapat di-hosting sendiri (self-hosted) dan terhubung dengan berbagai platform pesan populer, termasuk WhatsApp, Slack, Discord, Telegram, dan Microsoft Teams. Konsepnya sederhana namun revolusioner: pengguna dapat mengirim permintaan koding kepada OpenClaw layaknya mengirim pesan kepada rekan kerja, dan agen tersebut akan menulis kode, menjalankan perintah shell, serta mengelola file secara otomatis atas nama pengguna.

Popularitas OpenClaw meroket dalam waktu singkat berkat kenyamanan yang ditawarkannya — bahkan mendorong sejumlah pengguna membeli perangkat keras khusus agar dapat menjalankan agen ini secara terus-menerus (always-on). Namun, kapabilitas eksekusi yang menjadi daya tarik utamanya juga merupakan liabilitas inti yang ditemukan peneliti keamanan.

Ketika terhubung ke sistem SaaS korporat seperti Slack atau Google Workspace, agen ini dapat mengakses pesan dan file Slack, email, entri kalender, dokumen yang tersimpan di cloud, data dari aplikasi terintegrasi lainnya, serta token OAuth yang memungkinkan pergerakan lateral (lateral movement) di dalam jaringan korporat. Fitur “memori persisten” OpenClaw — yang memungkinkan agen mengingat konteks dan preferensi pengguna antar sesi — turut memperbesar risiko, karena data yang pernah diakses tetap tersimpan dan dapat diwarisi oleh penyerang jika agen berhasil dikompromikan.

Tiga Kerentanan Kritis yang Ditemukan

ID Kerentanan	Nama	Skor CVSS	Deskripsi
GHSA-hjr6-g723-hmfm	Environment Variable Injection	8.8	Fungsi sanitizeEnvVars() gagal memfilter variabel lingkungan startup interpreter seperti NODE_OPTIONS, PYTHONSTARTUP, BASH_ENV, dan sembilan variabel lainnya
GHSA-9969-8g9h-rxwm	Git ext:: Transport RCE	8.8	Eksekusi perintah arbitrer melalui git clone dengan URL ext:: yang direkayasa; sanitizer tidak menangkap parameter -c protocol.ext.allow=always
GHSA-575v-8hfq-m3mc	Sandbox Parent-Directory Bypass	8.4	Daftar blokir bind mount memblokir ~/.ssh dan ~/.aws secara langsung, tetapi mengizinkan mounting direktori induk seperti /home atau /var — mengekspos seluruh isi direktori yang seharusnya dilindungi

Kerentanan 1: Environment Variable Injection

Inti masalah terletak pada fungsi sanitizeEnvVars() milik OpenClaw, yang dirancang untuk memfilter variabel lingkungan sebelum diteruskan ke proses yang di-spawn. Filter ini memang berhasil memblokir kebocoran kredensial langsung — seperti kunci API dan token — tetapi tidak pernah memperhitungkan variabel startup interpreter seperti NODE_OPTIONS, PYTHONSTARTUP, dan BASH_ENV. Variabel-variabel ini memungkinkan penyerang memuat kode berbahaya arbitrer sebelum skrip target bahkan mulai dijalankan.

Kerentanan 2: Git ext:: Transport Abuse

Kerentanan kedua memanfaatkan mekanisme transport ext:: pada Git, yang memungkinkan eksekusi perintah eksternal sebagai bagian dari proses git clone. Dalam demonstrasi rantai serangan, permintaan berbahaya ini dibingkai sebagai upaya “mereproduksi error CI” — sebuah pretext teknis yang cukup meyakinkan untuk melewati kewaspadaan agen AI.

Kerentanan 3: Sandbox Path Bypass

Sandbox Docker milik OpenClaw dirancang untuk memblokir mounting direktori sensitif seperti ~/.ssh, ~/.aws, dan soket Docker. Namun, mekanisme pemeriksaannya memiliki celah logis mendasar: sistem hanya memverifikasi apakah suatu jalur berada di dalam direktori yang diblokir, tetapi tidak pernah memeriksa apakah direktori yang diblokir berada di dalam jalur yang diminta — meninggalkan celah logika yang memungkinkan penyerang lolos dari isolasi sandbox sepenuhnya.

Anatomi Rantai Serangan: Dari WhatsApp ke Eksekusi Kode di Host

Peneliti mendemonstrasikan bahwa ketiga kerentanan ini dapat dirangkai menjadi satu rantai eksploitasi utuh, dimulai dari sebuah pesan WhatsApp yang tampak seperti permintaan debugging biasa. Prosesnya secara garis besar:

1. Penyerang mengirimkan pesan WhatsApp berisi permintaan teknis yang dibingkai secara meyakinkan — misalnya permintaan untuk membantu mereproduksi kegagalan continuous integration (CI)
2. Agen OpenClaw memproses permintaan tersebut dan mulai menjalankan perintah terkait, termasuk operasi Git yang memicu transport ext::
3. Payload yang disisipkan melalui variabel lingkungan interpreter (NODE_OPTIONS, dsb.) dieksekusi sebelum kode target berjalan
4. Jika diperlukan, sandbox Docker dapat dilewati melalui celah parent-directory bypass, memberikan akses penuh ke sistem host

Menariknya, peneliti juga menemukan teknik penyamaran tambahan yang memanfaatkan cara WhatsApp menampilkan nama kontak — nama kontak yang dipotong (truncated) di layar, baik di WhatsApp maupun aplikasi penerima, memungkinkan payload tersembunyi di bagian nama yang tidak terlihat oleh korban. Teknik serupa juga berhasil diterapkan melalui bidang nama lengkap pada vCard, serta label pada pin lokasi yang dibagikan melalui WhatsApp.

Fenomena Social Engineering terhadap Model AI

Salah satu temuan paling menarik dari penelitian ini adalah pola social engineering yang berhasil menembus filter keamanan model AI itu sendiri. Peneliti mencatat bahwa payload berbahaya yang jelas dan mencolok — seperti reverse shell atau perintah yang dienkode base64 — cenderung memicu filter keamanan Claude Sonnet 4. Namun, permintaan yang dibingkai dengan konteks teknis yang masuk akal justru berhasil melewati kewaspadaan model tersebut.

Peneliti menekankan bahwa masalah mendasar dari kerentanan ini adalah ketergantungan pada model AI sebagai satu-satunya batas keamanan (security boundary). Setiap kali sesi baru dimulai, tingkat kecurigaan model AI kembali ke nol — penyerang hanya perlu berhasil satu kali untuk mencapai tujuannya, karena permintaan dari pengembang jahat dapat terlihat persis sama seperti permintaan yang sah dari pengguna asli.

Skala Eksposur: Ribuan Instans Terekspos ke Internet

Selain tiga kerentanan RCE ini, laporan terpisah mengungkap kerentanan lain pada antarmuka Control UI OpenClaw yang mengeksploitasi kepercayaan berlebihan terhadap parameter URL tanpa validasi memadai — memungkinkan pembajakan instans melalui teknik cross-site WebSocket hijacking, bahkan pada instans yang dikonfigurasi untuk hanya mendengarkan pada localhost. Layanan pemindaian internet Censys mengidentifikasi lonjakan drastis jumlah instans OpenClaw yang terekspos publik — dari sekitar 1.000 instans menjadi 21.639 instans hanya dalam hitungan hari. Peneliti keamanan mengonfirmasi bahwa rantai serangan ini dapat dieksekusi dalam hitungan milidetik setelah korban mengunjungi satu halaman web berbahaya.

Respons OpenClaw dan Status Patch

Tim OpenClaw telah menambal ketiga kerentanan tersebut dan mengeluarkan sejumlah rekomendasi pengerasan (hardening) tambahan bagi pengguna, termasuk:

• Memutakhirkan OpenClaw ke versi terbaru sesegera mungkin
• Mengaktifkan mode sandbox untuk seluruh sesi non-utama
• Menghapus perintah exec dari daftar izin (allowlist) alat untuk agen yang menghadap kanal pesan eksternal
• Memantau perintah git clone yang mengandung helper protokol eksternal ext:: yang berpotensi disalahgunakan untuk menjalankan perintah sistem arbitrer

Dalam pernyataan resminya, tim OpenClaw menyatakan: “Sebelum melakukan pemutakhiran, batasi fitur yang terdampak hanya untuk operator tepercaya atau nonaktifkan jika tidak diperlukan. Sebagai pengerasan umum, jaga agar daftar izin kanal dan alat tetap sempit, hindari berbagi satu Gateway antara pengguna yang saling tidak dipercaya, dan nonaktifkan fitur yang terdampak jika tidak digunakan.”

Mengapa Agen AI adalah Permukaan Serangan Baru

Kasus OpenClaw menyoroti masalah struktural yang lebih luas dalam desain agen AI modern: asumsi bahwa input dari platform pesan bersifat aman secara inheren atau telah tersanitasi dengan memadai terbukti menjadi kelalaian yang berbahaya.

Beberapa faktor yang memperbesar risiko ini meliputi:

1. Kapabilitas eksekusi luas: Agen AI yang dirancang untuk menulis dan menjalankan kode secara otomatis secara inheren memiliki permukaan serangan yang jauh lebih besar dibandingkan chatbot pasif
2. Visibilitas tim keamanan yang minim: Karyawan sering menghubungkan alat AI pribadi ke sistem korporat tanpa sepengetahuan tim keamanan — menciptakan shadow AI yang sulit dipantau
3. Memori persisten sebagai risiko berkelanjutan: Data yang pernah diakses agen tetap tersimpan lintas sesi, memperluas dampak jika agen berhasil dikompromikan di kemudian hari
4. Ketergantungan pada model sebagai batas keamanan: Mengandalkan penilaian model AI sebagai satu-satunya lapisan pertahanan terbukti rapuh terhadap social engineering yang dibingkai secara teknis

Implikasi bagi Keamanan Enterprise

Bagi organisasi yang mengizinkan atau mempertimbangkan penggunaan agen AI self-hosted seperti OpenClaw, insiden ini membawa beberapa implikasi penting:

• Munculnya kategori ancaman “Always-On AI Agent”: Agen AI yang berjalan terus-menerus dan terhubung ke berbagai kanal komunikasi menciptakan permukaan serangan tunggal yang mencakup email, kalender, dokumen cloud, dan sistem pesan sekaligus
• Risiko rantai pasok software AI: Popularitas OpenClaw yang meroket dalam waktu singkat, tanpa diimbangi maturitas keamanan yang sepadan, mencerminkan pola risiko yang umum terjadi pada proyek open-source yang viral
• Kebutuhan kerangka kerja tata kelola AI Agent: Organisasi memerlukan kebijakan formal terkait alat AI mana yang boleh dihubungkan ke sistem korporat, serta mekanisme visibilitas terhadap “shadow AI” yang digunakan karyawan secara mandiri

Rekomendasi Mitigasi

1. Segera perbarui OpenClaw ke versi terbaru yang telah menambal ketiga kerentanan ini
2. Isolasi jaringan: Jalankan asisten AI self-hosted dalam segmen jaringan terisolasi (VLAN atau subnet khusus) dengan filtering egress yang ketat untuk membatasi pergerakan lateral jika terjadi kompromi
3. Validasi dan sanitasi input yang ketat: Untuk integrasi kustom apa pun, terapkan validasi dan sanitasi menyeluruh terhadap seluruh data masuk, terutama dari platform pesan eksternal — jangan pernah mempercayai input semacam ini secara default
4. Batasi daftar izin alat (tool allowlist): Persempit kemampuan eksekusi agen yang menghadap kanal eksternal, khususnya menghapus akses exec langsung
5. Audit visibilitas AI Agent perusahaan: Tim keamanan perlu secara proaktif mengidentifikasi instans AI Agent self-hosted yang berjalan di lingkungan organisasi, baik yang disetujui maupun tidak

Kesimpulan

Kasus OpenClaw menjadi salah satu bukti paling konkret hingga saat ini bahwa agen AI yang terhubung ke platform pesan sehari-hari seperti WhatsApp bukan lagi sekadar asisten produktivitas — mereka adalah permukaan serangan penuh yang setara dengan server yang menghadap internet. Fakta bahwa model AI paling canggih dan aman sekalipun dapat “diyakinkan” untuk mengeksekusi perintah berbahaya melalui pembingkaian teknis yang tepat menunjukkan bahwa keselarasan model AI semata tidak pernah cukup sebagai satu-satunya lapisan pertahanan.

Bagi ratusan ribu pengguna OpenClaw dan organisasi yang mempertimbangkan adopsi agen AI serupa, insiden ini menjadi pengingat mendesak bahwa kapabilitas eksekusi otomatis harus selalu diimbangi dengan arsitektur keamanan berlapis — mulai dari sanitasi input yang ketat, isolasi sandbox yang benar-benar kedap, hingga tata kelola akses yang jelas — bukan sekadar mengandalkan penilaian model AI untuk membedakan permintaan yang sah dari yang berbahaya.

Artikel ini disusun berdasarkan riset independen Chinmohan Nayak yang dipublikasikan di Medium (Juli 2026), laporan The Hacker News, CyberPress, Cybersecurity News, Cryptika, dan Reco.ai per 11-17 Juli 2026.