Une faille d'OpenClaw permettait d'obtenir discrètement des droits d'administrateur sur des instances exposées

La nouvelle faille d'OpenClaw illustre pourquoi les agents d'IA auto-hébergés suscitent tant d'inquiétude : dès lors qu'un outil a accès aux fichiers, aux discussions, aux jetons et aux sessions de travail, une erreur dans son mécanisme de contrôle cesse d'être un bug local et devient la prise de contrôle de tout l'environnement. Avec la CVE-2026-33579, un attaquant pouvait élever ses privilèges au rang d'administrateur et agir au nom de l'agent presque aussi librement que son propriétaire.

OpenClaw est une plateforme de scénarios agentiques devenue virale. Elle s'exécute sur la machine de l'utilisateur ou dans sa propre infrastructure et sait travailler seule avec des applications, des fichiers, le navigateur et des services externes. Par commodité, on lui accorde généralement un large éventail d'autorisations : accès aux dossiers locaux, aux messageries, aux outils d'entreprise, aux clés d'API et aux sessions déjà authentifiées. Début avril 2026, le projet comptait environ 347 000 étoiles sur GitHub, et cette ampleur rend toute brèche dans son modèle de sécurité de base particulièrement douloureuse.

Le problème, répertorié sous l'identifiant CVE-2026-33579, touchait les versions d'OpenClaw antérieures à 2026.3.28. Selon la description de la NVD et du GitHub Advisory, dans la chaîne de la commande `/pair approve`, le système ne transmettait pas les restrictions de droits de la personne qui valide la connexion d'un nouvel appareil. Concrètement, un participant disposant seulement des droits minimaux `operator.pairing` pouvait approuver une demande portant sur un ensemble de droits plus large, dont `operator.admin`, et transformer discrètement son appareil en appareil administrateur. Le correctif est inclus dans la version 2026.3.28, publiée le 29 mars 2026. Le score de gravité atteignait 9,4–9,8 selon la méthodologie, ce qui, pour cette catégorie de logiciels, équivaut à une prise de contrôle complète de l'instance.

Le plus problématique n'est pas seulement l'erreur elle-même, mais les conditions réelles d'exploitation. Les chercheurs de Blink indiquent que, lors du scan de 135 000 instances OpenClaw accessibles depuis Internet, environ 63 pour cent, soit près de 85 000 installations, répondaient sans authentification aux requêtes du mécanisme de pair approval. Autrement dit, l'exigence formelle de posséder au moins des droits de pairing de base ne faisait souvent pas office de barrière : l'accès réseau constituait déjà un point de départ suffisant.

La fenêtre entre le correctif du 29 mars et l'enregistrement formel de la CVE le 1er avril 2026 a ajouté un risque. Pendant ces deux jours, les attaquants pouvaient mesurer la gravité du bug plus vite que bien des administrateurs ne pouvaient savoir ce qu'il fallait mettre à jour en urgence.

Les conséquences d'une telle compromission sont particulièrement lourdes en raison de la nature même du produit. Si l'agent est connecté à Slack, Telegram, Discord, des partages de fichiers, des comptes cloud ou des systèmes internes, l'accès administrateur à l'instance donne non seulement le contrôle de l'interface, mais aussi la possibilité de lire des données, d'extraire des identifiants enregistrés, d'exécuter des tool calls arbitraires et de rebondir vers les services connectés. C'est pourquoi Microsoft recommandait dès le 19 février 2026 de traiter OpenClaw comme du code exécutable non fiable doté d'identifiants persistants, et de ne pas l'exécuter sur des postes de travail ou des ordinateurs personnels ordinaires.

Selon Microsoft, le scénario minimal sûr est une machine virtuelle isolée et dédiée, des données hors production et des comptes dédiés aux privilèges minimaux.

Pour ceux qui utilisent déjà OpenClaw, la conclusion est très pratique : la mise à jour seule ne suffit pas. Il faut vérifier les journaux d'activité à la recherche d'événements de pair approval et d'appareils inconnus, revoir la liste des jetons d'administrateur et des connexions, révoquer et réémettre les secrets auxquels l'agent avait accès et, en cas de doute, reconstruire l'instance dans un environnement propre.

Cette affaire concerne bien au-delà des utilisateurs d'OpenClaw. Elle montre que, pour les outils d'IA agentiques, le problème central ne tient pas à la qualité des réponses du modèle, mais à la zone de confiance dans laquelle ils sont déployés : plus un agent reçoit de droits et d'intégrations, plus la moindre erreur de contrôle d'accès coûte cher.