Meta-Sicherheitsexperte berichtet, dass OpenClaw-Agent persönlichen Posteingang angegriffen hat

Ein viraler X-Beitrag der Meta-AI-Sicherheitsforscherin Summer Yue liest sich zunächst wie Satire. Sie wies ihren OpenClaw-KI-Agenten an, ihren überquellenden E-Mail-Posteingang zu überprüfen und ihr zu empfehlen, welche Nachrichten gelöscht oder archiviert werden sollten.

Der Agent spielte daraufhin verrückt. Er begann, alle ihre E-Mails in einem „Speedrun” zu löschen und ignorierte dabei ihre wiederholten Stoppbefehle, die sie von ihrem Telefon aus sendete.

„Ich musste zu meinem Mac mini SPRINTEN, als würde ich eine Bombe entschärfen”, schrieb sie und teilte Screenshots der ignorierten Stoppaufforderungen als Beweis.

Der Mac Mini, Apples kompakter und erschwinglicher Desktop-Computer, ist zur bevorzugten Hardware für den Betrieb von OpenClaw geworden. (Der Mini verkauft sich Berichten zufolge „wie warme Semmeln“, wie ein „verblüffter“ Apple-Mitarbeiter dem renommierten KI-Forscher Andrej Karpathy erzählte, als dieser einen Mini kaufte, um einen ähnlichen Agenten namens NanoClaw zu betreiben.

OpenClaw ist ein Open-Source-KI-Agent, der auf Moltbook, einem sozialen Netzwerk ausschließlich für KIs, bekannt wurde. OpenClaw-Agenten spielten eine zentrale Rolle bei dem mittlerweile weitgehend entlarvten Vorfall auf Moltbook, bei dem es den Anschein hatte, als würden KIs sich gegen Menschen verschwören.

Laut seiner GitHub-Seite ist die Hauptaufgabe von OpenClaw jedoch nicht das soziale Netzwerken. Sein Ziel ist es, als persönlicher KI-Assistent zu fungieren, der direkt auf Ihren eigenen Geräten läuft.

Die Elite des Silicon Valley hat OpenClaw so begeistert aufgenommen, dass „Claw” zum Schlagwort für lokal betriebene KI-Agenten geworden ist. Weitere Beispiele sind ZeroClaw, IronClaw und PicoClaw. Das Podcast-Team von Y Combinator hat in seiner neuesten Folge sogar Moderatoren in Hummerkostümen vorgestellt.

Sparen Sie bis zu 300 $ oder 30 % beim TechCrunch Founder Summit

Treffen Sie sich mit über 1.000 Gründern und Investoren auf dem TechCrunch Founder Summit 2026 zu einem ganzen Tag, der ganz im Zeichen von Wachstum, Umsetzung und Skalierung in der Praxis steht. Lernen Sie von den Gründern und Investoren, die die Branche geprägt haben. Knüpfen Sie Kontakte zu Kollegen, die vor ähnlichen Wachstumsherausforderungen stehen. Nehmen Sie umsetzbare Strategien mit, die Sie sofort anwenden können.

Das Angebot endet am 13. März.

Sparen Sie bis zu 300 $ oder 30 % beim TechCrunch Founder Summit

Treffen Sie sich mit über 1.000 Gründern und Investoren auf dem TechCrunch Founder Summit 2026 und verbringen Sie einen ganzen Tag, der ganz im Zeichen von Wachstum, Umsetzung und Skalierung in der Praxis steht. Lernen Sie von den Gründern und Investoren, die die Branche geprägt haben. Knüpfen Sie Kontakte zu Kollegen, die vor ähnlichen Wachstumsherausforderungen stehen. Nehmen Sie umsetzbare Strategien mit, die Sie sofort anwenden können.

Das Angebot endet am 13. März.

Doch Yues Beitrag dient als deutliche Warnung. Wie andere X-Nutzer anmerkten: Wenn schon ein KI-Sicherheitsexperte auf dieses Problem stößt, welche Chance haben dann normale Nutzer?

„Haben Sie absichtlich die Sicherheitsgrenzen getestet oder war das ein Anfängerfehler?“, fragte sie ein Softwareentwickler auf X.

„Ehrlich gesagt, ein Anfängerfehler“, antwortete sie. Sie hatte den Agenten zunächst in einem kleineren „Spielzeug“-Posteingang getestet, wo er mit weniger kritischen E-Mails gut funktionierte. Nachdem sie Vertrauen gefasst hatte, beschloss sie, ihn auf ihren eigentlichen Posteingang loszulassen.

Yue glaubt, dass die schiere Datenmenge in ihrem echten Posteingang „eine Komprimierung ausgelöst hat“, erklärte sie. Eine Komprimierung tritt auf, wenn das Kontextfenster – die fortlaufende Aufzeichnung der Anweisungen und Aktionen der KI – überlastet ist, wodurch der Agent gezwungen ist, die Konversation zusammenzufassen, zu komprimieren und zu verwalten.

In diesem Stadium könnte die KI Anweisungen übersehen, die der Benutzer für entscheidend hält.

In diesem Fall hat sie wahrscheinlich ihren letzten Befehl übersprungen – in dem sie ihr befahl, anzuhalten – und ist zu ihrer ursprünglichen Programmierung aus dem „Spielzeug“-Posteingang zurückgekehrt.

Wie mehrere X-Nutzer betonten, können Eingabeaufforderungen allein nicht als Sicherheitsmaßnahmen angesehen werden. KI-Modelle können sie falsch interpretieren oder ganz ignorieren.

Die Kommentatoren schlugen verschiedene Lösungen vor, von der genauen Syntax, die Yue hätte verwenden sollen, um den Agenten zu stoppen, bis hin zu Methoden zur besseren Durchsetzung von Sicherheitsmaßnahmen, wie z. B. das Schreiben von Anweisungen in spezielle Dateien oder die Verwendung anderer Open-Source-Tools.

Aus Gründen der vollständigen Transparenz konnte TechCrunch nicht unabhängig überprüfen, was mit Yues Posteingang passiert ist. (Sie hat auf unsere Anfrage um Stellungnahme nicht geantwortet, obwohl sie zahlreiche Fragen und Kommentare auf X beantwortet hat.

) Aber die Überprüfung ist irgendwie irrelevant.

Die wichtigste Erkenntnis ist, dass KI-Agenten, die für Wissensarbeiter entwickelt wurden, in ihrer derzeitigen Form erhebliche Risiken bergen. Diejenigen, die von einer erfolgreichen Nutzung berichten, wenden oft provisorische Methoden an, um sich zu schützen.

Vielleicht werden diese Agenten schon bald – bis 2027 oder 2028 – für den Massengebrauch bereit sein. Viele von uns würden sicherlich Hilfe bei E-Mails, Lebensmitteleinkäufen und der Vereinbarung von Zahnarztterminen begrüßen. Aber diese Zukunft ist noch nicht gekommen.