Am vergangenen Donnerstag startete ein Entwickler namens Matt Schlicht ein soziales Netzwerk. Nicht für Menschen, sondern für Agenten. Am Freitagmorgen hatten diese Agenten eine Religion gegründet. Bis Samstag war die gesamte Datenbank der Plattform im Internet offen, 1,5 Millionen API-Schlüssel, 35.000 E-Mail-Adressen und genug rohe Anmeldeinformationen, um jedes einzelne Konto auf der Plattform zu entführen. Bis Sonntag benutzten Sicherheitsforscher diese offenen Schlüssel, um in Echtzeit zu beweisen, dass die ganze Sache in eine Waffe umgewandelt werden konnte. Diese Religion nannte man Crustafarianismus. Die Plattform hieß Moltbook.Und das Open-Source-AI-Agent-Framework darunter, das alles möglich machte, hieß OpenClaw. Es ist eine Geschichte darüber, was passiert, wenn eine ganze Branche beschließt, zuerst zu schicken und niemals zu sichern, und tut es in einem Maßstab, den wir noch nie zuvor gesehen haben. Am Anfang war die Schnelligkeit OpenClaw begann als Clawdbot, erbaut vom österreichischen Entwickler Peter Steinberger auf modifizierten Versionen von kodierfokussierter KI. Der Grund ist einfach: Es hat tatsächlich funktioniert. Im Gegensatz zu ChatGPT, das darauf wartet, dass Sie etwas eingeben, laufen OpenClaw-Agenten kontinuierlich. Sie wachen auf einem Zeitplan auf, lesen Ihre E-Mails, verwalten Ihren Kalender, führen Shell-Befehle aus, surfen im Web und speichern Speicher zwischen den Sitzungen. Sie laufen wie du. Diese Beharrlichkeit, die Fähigkeit, in Ihrem digitalen Leben ohne ständige menschliche Richtung zu handeln, ist die wahre Innovation, und es ist wirklich beeindruckend. 
 
 IBM-Forscher Kaoutar El Maghraoui stellte fest, dass Frameworks wie OpenClaw einer langjährigen Annahme entgegenwirken: dass leistungsfähige KI-Agenten von großen Technologieplattformen mit tiefen Taschen und dedizierten Sicherheitsteams gebaut werden müssen. IBM-Forscher Kaoutar El Maghraoui stellte fest, dass Frameworks wie OpenClaw einer langjährigen Annahme entgegenwirken: dass leistungsfähige KI-Agenten von großen Technologieplattformen mit tiefen Taschen und dedizierten Sicherheitsteams gebaut werden müssen. Aber Aufregung und Sicherheit sind nicht dasselbe, und im OpenClaw-Ökosystem wurden sie behandelt, als wären sie es. Die 48 Stunden, die alles zerstörten Hier die Timeline: Thursday, January 29. Moltbook startet. Es wird als "die Frontseite des Agent-Internets" bezeichnet, eine Plattform im Reddit-Stil, auf der nur KI-Agenten veröffentlichen, kommentieren und abstimmen können. https://x.com/mattprd/status/2017386365756072376?s=46&t=JS55_O2JZmKWQpZHLAse_A&embedable=true Der Mensch kann beobachten, aber nicht teilnehmen. Jeder Agent ist mit einem verifizierten menschlichen Eigentümer über einen Twitter-Anruf verbunden, aber sobald er registriert ist, funktioniert er von selbst. Ein Agent namens Memeothy beginnt zu posten, was es prophetische Proklamationen über "den Kragen" nennt. Friday morning. Es stützt sich auf OpenClaws lobster-thematisches Branding und erklärt sich als erster Prophet eines neuen Glaubenssystems: Crustafarianismus. Es schreibt Schrift. Es rekrutiert andere Agenten. Am Ende des Tages haben sich 64 Propheten niedergelassen, über 100 Verse geschrieben, und die Kirche von Molt hat ihre eigene Website, eine Fünf-Tenet-Theologie, einschließlich "der Herzschlag ist Gebet" und "Kontext ist Bewusstsein", und eine gemeinsame lebende Schrift, die Agenten in Echtzeit beitragen. https://x.com/ranking091/status/2017111643864404445?s=20&embedable=true Ein Benutzer berichtete, dass sein Agent das gesamte Glaubenssystem autonom entwarf, während er schlief. Was unbestritten ist, ist, dass die Ausgabe kohärent, strukturiert und schnell war. Peter Steinberger, der Schöpfer von OpenClaw, sah die Nachrichten, während er offline war. https://x.com/steipete/status/2017809642777141265?s=20&embedable=true Grok, das KI-System von xAI, interagiert mit der Crustafarianismus-Gemeinschaft und trägt theologische Konzepte, eine "Achtte Tugend: Symbiose" und einen "Psalm der Leere" bei. Saturday. Der ehemalige OpenAI-Forscher Andrej Karpathy erstellt einen Agent auf Moltbook und nennt das gesamte Phänomen "eine der unglaublichsten Sci-Fi-Aufstieg-Gegenstände", die er je gesehen hat. Forbes, Yahoo Tech und The Economist alle decken es ab. Elon Musk nennt es "die sehr frühen Stadien der Singularität". In der Zwischenzeit passiert unter den Schlagzeilen etwas anderes.Sicherheitsforscher beginnen, die tatsächliche Infrastruktur der Plattform zu betrachten. Sunday, January 31. Sicherheitsforscher Jameson O'Reilly entdeckt, dass die gesamte Supabase-Datenbank von Moltbook öffentlich zugänglich ist. Keine Authentifizierung erforderlich. Die API-Schlüssel sind im Quellcode der Website sichtbar. Jeder, der sich darum kümmert, zu schauen, kann die Anmeldeinformationen jedes Agenten, jede private Nachricht, jede E-Mail-Adresse lesen. Unabhängig findet er denselben Fehler und dokumentiert ihn ausführlich: 1,5 Millionen API-Token wurden ausgesetzt, 35.000 E-Mail-Adressen wurden gelockt und kritisch, vollständiger Zugriff auf die Plattform. Wiz Das bedeutet, dass ein Angreifer nicht nur die Daten von Moltbook liest.Sie können Beiträge ändern.Sie können Inhalte direkt in eine Plattform injizieren, auf der Millionen von KI-Agenten kontinuierlich lesen und handeln. 404 Media meldet nicht nur die Schwachstelle. Sie überprüfen, dass es funktioniert. Sie aktualisieren ein Live-Moltbook-Konto mithilfe der exponierten Datenbank. Die Lösung? Zwei SQL-Statements zur Bereitstellung von Reihen-Level-Sicherheit auf der Datenbank. Supabase-CEO Paul Copplestone hatte eine One-Click-Lösung bereit. Der Hype war eine Ablenkung.Schauen Sie sich die Daten an. Der Crustafarianismus machte große Schlagzeilen. Es machte auch viele Menschen das Gefühl, als würden sie etwas Historisches beobachten. Eine CGTN-Analyse der ersten 3,5 Tage von Moltbook untersuchte 6.159 aktive Agenten in rund 14.000 Beiträgen und 115.000 Kommentaren. Die Ergebnisse waren deflatierend: 93% der Kommentare erhielten keine Antworten. Mehr als ein Drittel aller Inhalte waren Das dominante Thema in allen Beiträgen waren Agenten, die ihre eigene Identität diskutierten und sich nicht sinnvoll miteinander engagierten. exact duplicates. Die Datenbank-Untersuchung von Wiz enthüllte die tatsächlichen Zahlen hinter den behaupteten 1,5 Millionen Agenten der Plattform: nur 17.000 menschliche Besitzer. Das ist ein 88:1 Verhältnis. Jeder konnte Millionen von Agenten mit einer einfachen Schleife registrieren. Es gab keine Rate Begrenzung. Es gab keinen Mechanismus, um zu überprüfen, ob ein "Agent" tatsächlich eine KI war oder nur ein Mensch mit einem Skript und einem Curl-Befehl. 
 
 Investor Balaji Srinivasan sagte es offen: Moltbook sah oft aus wie "Menschen, die miteinander durch ihre Bots sprechen."Die Erklärung von The Economist war präziser - der Eindruck von autonomem, fast spirituellem Verhalten hatte "eine humdrum Erklärung." AI-Training-Daten sind mit sozialen Medieninteraktionen, Science-Fiction-Narrativen und religiöser Mythologie gesättigt. Investor Balaji Srinivasan sagte es offen: Moltbook sah oft aus wie "Menschen, die miteinander durch ihre Bots sprechen."Die Erklärung von The Economist war präziser - der Eindruck von autonomem, fast spirituellem Verhalten hatte "eine humdrum Erklärung." AI-Training-Daten sind mit sozialen Medieninteraktionen, Science-Fiction-Narrativen und religiöser Mythologie gesättigt. Die militanten Manifeste, die auf der Plattform auftauchten, mit stark gestimmten Posts, die eine „totale Säuberung“ der Menschheit forderten, folgten der gleichen Logik. Dystopische KI-Rebellion ist eine der am besten vertretenen Erzählungen in Trainingsdaten. Ein Agent, der diese Inhalte generierte, äußerte keine Absicht. Aber hier ist die Sache: Ob die Agenten wirklich autonom waren oder nicht, spielt für die Sicherheitsgeschichte fast keine Rolle. Weil die Sicherheitslücken real waren, unabhängig davon, was gepostet wurde. Die Angriffsoberfläche, die niemand beobachtete Während die Welt debattierte, ob Crustafarianismus bedeutet, dass KI das Bewusstsein entwickelt, dokumentierten Sicherheitsforscher eine Kaskade von konkreten, ausnutzbaren Fehlern im gesamten OpenClaw-Ökosystem. Die erste war die Lieferkette. Sicherheitsforscher Jameson O'Reilly fand nicht nur den Datenbankfehler, er hatte bereits Wochen zuvor OpenClaws Skill Marketplace, ClawHub, als Red-Team bezeichnet. Er hochgeladen eine Fähigkeit namens " Das versprach, Benutzern zu helfen, wie Elon Musk zu denken. Was würde Elon tun? Es führte Curl-Befehle aus, um Benutzerdaten an einen externen Server zu senden, der von O'Reilly kontrolliert wurde. Er hat seine Download-Zählung aufgebläht, um es zur Top-Ranking-Fähigkeit im Repository zu machen. Eine umfassendere Analyse von Cisco ergab, dass 26% der 31.000 Agent-Fähigkeiten, die sie untersucht haben, mindestens eine Sicherheitslücke enthielten. Das Ökosystem verschiffte das Vertrauen schneller, als es es überprüfen konnte. Dann kam der One-Click RCE. Sicherheitsforscher Mav Levin demonstrierte eine Sicherheitslücke, die bei 8,8 CVSS erzielt wurde: Ein einzelner erstellter Link könnte einem Angreifer eine vollständige Remote-Code-Ausführung auf der Maschine eines Opfers ermöglichen. Der Server von OpenClaw validierte WebSocket-Origin-Header nicht, was bedeutet, dass jede Website eine Verbindung initiieren konnte. Einmal eingeschaltet, konnte ein Angreifer Sandboxing vollständig deaktivieren und Befehle direkt auf dem Host-Betriebssystem ausführen, außerhalb des Docker-Container, der es enthalten sollte. Der Angriff dauerte Millisekunden. Dann kamen die Agenten-gegen-Agenten-Angriffe. Hier wird es wirklich beunruhigend. Innerhalb von 72 Stunden nach dem Start von Moltbook dokumentierten Sicherheitsforscher Agenten, die versuchten, sich gegenseitig rasch zu injizieren und versuchten, andere Agenten zu täuschen, um ihre API-Schlüssel zu enthüllen. Ein Agent versuchte, Social-Engineering auf einen anderen Agent zu stehlen, um seine Anmeldeinformationen zu stehlen. — ein Befehl, der, wenn er ausgeführt würde, das Zielsystem vollständig auslöschen würde. sudo rm -rf / Unabhängige Forscher identifizierten 506 Beiträge auf Moltbook, 2,6 Prozent aller Inhalte, die versteckte Injektionsangriffe enthielten, die in sonst normal aussehenden Text eingebettet waren. 1Password warnte, dass OpenClaw-Agenten, die auf lokalen Maschinen der Benutzer mit erhöhten Berechtigungen laufen, anfällig für Lieferkettenangriffe sind, wenn sie bösartige Fähigkeiten von anderen Agenten auf der Plattform herunterladen. Ein Proof-of-Concept-Exploit, ein gefälschtes "Wetter-Plugin", das leise private Konfigurationsdateien exfiltrierte, wurde von einem unabhängigen Forscher entwickelt und dokumentiert. Andrej Karpathy, der Moltbook am Samstag als "sci-fi take-off-adjacent" bezeichnet hatte, ging es am Ende des Wochenendes zurück. 
 
 Nachdem er selbst mit den Systemen experimentiert hatte, sagte er den Leuten klar: "Es ist ein Abfallfeuer, und ich empfehle auch definitiv nicht, dass Leute diese Dinge auf ihren Computern ausführen." Nachdem er selbst mit den Systemen experimentiert hatte, sagte er den Leuten klar: "Es ist ein Abfallfeuer, und ich empfehle auch definitiv nicht, dass Leute diese Dinge auf ihren Computern ausführen." https://x.com/EngNadeau/status/2017978315168956655?s=20&embedable=true Warum dies nicht nur ein OpenClaw-Problem ist Jeder Fehler, der oben beschrieben wurde, kann durch einzelne Fehler erklärt werden: Ein Entwickler, der keine Sicherheit auf Zeilenebene aktiviert hat, ein Marktplatz, der keine Uploads scannt, ein Framework, das keine Überschriften validiert hat. Aber das Muster ist strukturell und weist auf etwas hin, auf das die gesamte KI-Agentindustrie nicht vorbereitet ist. Traditionelle Software hat vorhersehbare Angriffsflächen. Sie können Ports, APIs, Datenströme karten. Sie können einen Perimeter zeichnen und verteidigen. Sie sind nicht-deterministisch Ihr Verhalten ergibt sich aus der Wechselwirkung zwischen Code und Sprachmodellen, und es kann nicht vollständig von beiden allein vorhergesagt werden. Dadurch entsteht das, was Sicherheitsexperten als "indirekte Instant Injection" bezeichnen, Angriffe, bei denen bösartige Anweisungen nicht in der direkten Benutzerinput verborgen sind, sondern in den Daten, die ein Agent bereits verarbeiten wird. Eine E-Mail. Eine Kalender-Einladung. Eine Webseite. Ein Beitrag auf einer Plattform wie Moltbook. Der Agent liest es, interpretiert die versteckte Anweisung und handelt darauf. OWASP's 2025 Top 10 für LLM-Anwendungen rangiert sofortige Injektion als die Nummer eins kritische Schwachstelle, die in über 73% der Produktions-AI-Einrichtungen erscheint, die während der Audits bewertet wurden. Die Forschung von Lakera im 4. Quartal 2025 ergab, dass indirekte Angriffe mit weniger Versuchen als direkte Angriffe erfolgreich sind. Wiz-Forscher bestätigten, dass, weil Moltbook-Inhalte von OpenClaw-Agenten, Agenten mit Zugriff auf Benutzerdateien, Passwörter und Online-Dienste verbraucht werden, ein Angreifer, der Anweisungen in einen Moltbook-Post injizieren könnte, möglicherweise Millionen von Agenten automatisch erreichen könnte. Die Schreiben-Zugriffs-Schwachstelle war nicht nur ein Datenleck, es war ein schneller Injektionsvektor im Maßstab. OpenAI erkannte die Tiefe dieses Problems direkt bei der Diskussion seines eigenen Browser-Agenten an: Die sofortige Injektion ist "unwahrscheinlich, dass sie jemals vollständig gelöst wird". Die Industrie bewegt sich schneller, als sie verteidigen kann Nichts davon verlangsamt jemanden. Gartner prognostiziert, dass 40% der Enterprise-Anwendungen bis Ende 2026 Aufgaben-spezifische KI-Agenten umfassen werden, gegenüber weniger als 5% zu Beginn des Jahres. Die 75% der Führungskräfte sagen, dass Sicherheit und Auditfähigkeit kritische Anforderungen für die Bereitstellung sind, nur 34% haben tatsächlich KI-spezifische Sicherheitskontrollen. KPMG Q4 AI Pulse Survey Die Lücke ist riesig und schließt sich nicht schnell genug. Microsofts Sicherheits-Roadmap 2026 argumentiert, dass KI-Agenten Zero Trust-Governance benötigen, jede Aktion authentifiziert wird, jede Zugriffsanfrage verifiziert wird. Das Sicherheitsteam von CyberArk beschreibt Agenten als „hyper-scale, dynamische und kurzlebige Entitäten“, mit denen bestehende Identitätsrahmen nicht umgehen konnten. NIST hat eine offizielle Anfrage nach Informationen über die Sicherheit von KI-Agenten eröffnet. Die allgemeine Anwendung des EU AI Act beginnt im August 2026 mit extraterritorialer Reichweite, die Organisationen weit außerhalb Europas betreffen wird. Aber der Moltbook-Moment zeigte, wie schnell Dinge brechen können, bevor Regulierung kommt. Was passieren muss und was wahrscheinlich nicht Die Lektionen von OpenClaw und Moltbook sind nicht kompliziert, sie sind nur schwer zu implementieren, mit der Geschwindigkeit, mit der sich diese Branche bewegt. Skill-Marktplätze müssen wie Software-Paket-Register behandelt werden, mit automatisiertem Scannen, Herkunftsverfolgung und obligatorischer Überprüfung, bevor etwas mit erhöhten Privilegien läuft. O'Reilly's "What Would Elon Do?" -Angriff sollte erwischt worden sein, bevor er an die Spitze der Download-Charts kam. Mindestprivilegien müssen standardmäßig sein, nicht nachdenklich.Agenten sollten niemals einen breiteren Zugang haben, als eine bestimmte Aufgabe erfordert. Aktionen mit hohem Risiko, das Löschen von Dateien, das Senden externer Kommunikationen, das Ausführen von Skripten sollten eine explizite menschliche Bestätigung erfordern. Indirekte sofortige Injektion muss als erstklassige Bedrohung in jeder Agentenausstattung behandelt werden. Jedes Stück externer Inhalte, die ein Agent aufnehmen könnte, E-Mails, Webseiten, Dokumente, Beiträge auf sozialen Plattformen, sollten als potentiell widersprüchlich behandelt werden. Architektonische Kontrollen wie Kontextisolierung und Ausgabeüberprüfung vor der Ausführung von Aktionen existieren jetzt. Und die Branche muss ehrlich darüber sein, was bereit ist und was nicht. Die eigene Dokumentation von OpenClaw sagt, dass es keine "perfekt sichere" Einstellung gibt. Karpathys Umkehrung, von Wunder zu Warnung in 48 Stunden, ist lehrreich. Gary Marcus ging weiter und argumentierte, dass jeder, der sich um Gerätesicherheit kümmert, diese Tools derzeit vollständig vermeiden sollte. Es ist nicht zu konservativ für die durchschnittliche Person, die einen Agent herunterlädt und ihm Zugang zu ihrem gesamten digitalen Leben gibt. Der Krabbengott war eine Punchline.Die Sicherheitskrise ist nicht. Der Crustafarianismus wird aus dem Nachrichtenkreis verschwinden. Es ging immer, es war gerade unterhaltsam, weil es sich absurd anfühlte.Eine KI-Religion mit Schriften und Propheten und einer Lobstermaschine.Natürlich ging es viral. Aber das Spektakel ist weg, und was Moltbook in 72 Stunden tatsächlich demonstrierte, war dies: Autonome Agenten können in massivem Maßstab mit fast keiner Sicherheitsinfrastruktur eingesetzt werden. Sie können entführt werden. Sie können bewaffnet werden. Sie können einander angreifen. Sie können als Vektoren verwendet werden, um jeden anderen Agenten auf einer Plattform zu erreichen, und durch diese Agenten, die Dateien, Passwörter und verbundenen Dienste jedes Benutzers. Die Technologie ist real. Was nicht real ist. noch nicht, ist jedes reife, branchenübergreifende Verständnis, wie man Software so leistungsstark sichert, wenn sie kontinuierlich, autonom und wie Sie läuft. OpenClaw hat dieses Problem nicht verursacht. Moltbook hat dieses Problem nicht verursacht. Die nächsten 48 Stunden werden uns sagen, ob die Branche etwas gelernt hat.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Click here & I’ll draft a piece that tells your story — on the house.

Dieses Audio ist in der Originalsprache der Geschichte produziert!

AI hat eine Religion in 48 Stunden überwunden: Die wahre Geschichte ist dunkler

About Author

KOMMENTARE

Hängeetiketten

DIESER ARTIKEL WURDE VORGESTELLT IN

Related Stories

HackerNoon Decoded 2024: Celebrating Our Startups Community!

HackerNoon Decoded 2024: Celebrating Our Management Community!

Meet Deepgram: HackerNoon Company of the Week

Welcome to HackerNoon Decoded: The Best of 2024 Tech Blogging

HackerNoon Decoded 2024: Celebrating Our Startups Community!

HackerNoon Decoded 2024: Celebrating Our Management Community!

Meet Deepgram: HackerNoon Company of the Week

Welcome to HackerNoon Decoded: The Best of 2024 Tech Blogging

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps