Les auteurs de l'article Transformer recréent la langouste, adieu la vulnérabilité OpenClaw en mode nu

L’auteur de Transformer, Illia Polosukhin, a réécrit OpenClaw en Rust pour lancer une version sécurisée du cadre d’agent intelligent AI IronClaw, résolvant ainsi au niveau de l’architecture la faille de fuite de credentials.

Transmis par | Quantumbit

Combien de homards circulent nus sur Internet ?

Les agents intelligents AI exposent vos mots de passe et clés API à tout le réseau.

Illia Polosukhin, l’auteur de Transformer, n’a pas pu rester indifférent. Il a décidé de reconstruire entièrement une version sécurisée du homard : IronClaw.

IronClaw est désormais open source sur GitHub, proposant des packages d’installation pour macOS, Linux et Windows, supportant le déploiement local ainsi que l’hébergement via le cloud. Le projet est en phase de développement rapide, la version binaire v0.15.0 étant déjà disponible en téléchargement.

Polosukhin (que l’on appellera ci-après « Pomme ») a également publié une réponse détaillée sur Reddit, suscitant beaucoup d’attention.

01 OpenClaw a connu un succès fulgurant, mais aussi « s’est enflammé »

Pomme lui-même a été un utilisateur précoce d’OpenClaw, qualifiant cette technologie de celle qu’il attendait depuis 20 ans.

Elle a déjà changé ma façon d’interagir avec l’informatique.

Cependant, la sécurité d’OpenClaw est une catastrophe : exécution de code à distance en un clic, injections de prompts, vol de mots de passe via des compétences malveillantes — ces vulnérabilités ont été révélées une à une dans l’écosystème d’OpenClaw.

Plus de 25 000 instances publiques, sans contrôles de sécurité suffisants, sont exposées sur Internet, qualifiées directement par des experts en sécurité de « feu de poubelle de sécurité » (« security dumpster fire »).

La racine du problème réside dans l’architecture elle-même.

Lorsque l’utilisateur confie son Bearer Token d’email à OpenClaw, celui-ci est directement envoyé au serveur du fournisseur de LLM.

Pomme a expliqué sur Reddit ce que cela implique :

Toutes vos informations, y compris celles pour lesquelles vous n’avez pas donné d’autorisation explicite, peuvent être accessibles par n’importe quel employé de cette entreprise. Cela vaut aussi pour les données de votre employeur. Ce n’est pas que ces entreprises soient malveillantes, mais la réalité, c’est que les utilisateurs n’ont pas de véritable confidentialité.

Il affirme que, peu importe la commodité, il ne vaut pas la peine de risquer la sécurité et la vie privée de soi-même et de sa famille.

02 Reconstruire tout à partir de zéro avec Rust

IronClaw est une réécriture complète d’OpenClaw en Rust.

Les garanties de sécurité mémoire de Rust éliminent fondamentalement les vulnérabilités classiques comme les débordements de tampon, ce qui est crucial pour un système manipulant des clés privées et des credentials utilisateur.

Sur le plan de l’architecture de sécurité, IronClaw établit une défense en profondeur à quatre niveaux.

Le premier niveau est la garantie de sécurité mémoire fournie par Rust lui-même.

Le deuxième niveau est l’isolation via un sandbox WebAssembly (WASM), où tous les outils tiers et codes générés par l’IA s’exécutent dans des conteneurs WebAssembly isolés. Même si un outil est malveillant, sa capacité de nuisance est strictement limitée à ce sandbox.

Le troisième niveau est un coffre-fort crypté pour les credentials, où toutes les clés API et mots de passe sont stockés avec un chiffrement AES-256-GCM. Chaque credential est lié à une règle de stratégie précisant qu’il ne peut être utilisé que pour un domaine spécifique.

Le quatrième niveau est un environnement d’exécution fiable (TEE), utilisant une isolation matérielle pour protéger les données, empêchant même le fournisseur de cloud d’accéder aux informations sensibles de l’utilisateur.

Ce qui est crucial dans cette conception, c’est : le modèle de grande taille ne touche jamais directement aux credentials bruts.

Ce n’est que lorsque l’agent doit communiquer avec un service externe que le credential est injecté à la frontière du réseau.

Pomme donne un exemple : même si le modèle est victime d’une injection de prompt visant à envoyer le token OAuth Google de l’utilisateur à un attaquant, la couche de stockage des credentials rejettera la requête, enregistrera un log, et alertera l’utilisateur.

Cependant, la communauté de développeurs reste prudente : avec plus de 2000 instances publiques d’OpenClaw attaquées, et de nombreux skills malveillants, si IronClaw devient populaire, ne risque-t-elle pas de subir le même sort ?

La réponse de Pomme est que l’architecture d’IronClaw a fondamentalement bouché la faille principale d’OpenClaw. Les credentials sont toujours stockés chiffrés, jamais en clair, et ne touchent jamais le LLM. Les skills tiers ne peuvent pas exécuter de scripts sur la machine hôte, uniquement dans des conteneurs.

Même en accès CLI, il faut utiliser le trousseau de clés du système pour déchiffrer, rendant la clé cryptée elle-même sans importance.

Il ajoute que, lorsque la version principale sera stabilisée, l’équipe prévoit de faire des tests de red team et une revue de sécurité professionnelle.

Concernant le problème reconnu de tous qu’est l’injection de prompt, Pomme propose une approche plus détaillée.

Actuellement, IronClaw utilise des règles heuristiques pour détecter les modèles, mais l’objectif futur est de déployer un petit classificateur linguistique en mise à jour continue pour repérer ces injections.

Il admet aussi que l’injection de prompt peut non seulement voler des credentials, mais aussi modifier directement le code de l’utilisateur ou envoyer des messages malveillants via des outils de communication.

Pour contrer ces attaques, il faut une stratégie plus intelligente, capable d’auditer le comportement de l’agent sans regarder le contenu d’entrée, « il reste encore du travail, la communauté est invitée à contribuer ».

Une question sur le choix entre déploiement local ou dans le cloud.

Pomme pense que le déploiement purement local a des limites évidentes : l’agent s’arrête quand l’appareil est éteint, la consommation d’énergie sur mobile est difficile à supporter, et les tâches longues et complexes ne peuvent pas être effectuées.

Il considère que le « cloud confidentiel » (confidential cloud) est la meilleure solution d’équilibre actuelle, offrant une confidentialité proche du local tout en résolvant le problème de « disponibilité permanente ».

Il mentionne aussi un détail : l’utilisateur peut définir des stratégies, comme ajouter automatiquement des barrières de sécurité supplémentaires lors de voyages transfrontaliers, pour empêcher tout accès non autorisé.

03 Une ambition plus grande

Pomme n’est pas un simple développeur open source.

En 2017, il a été l’un des huit coauteurs de « Attention Is All You Need », dont l’architecture Transformer a posé les bases de tous les grands modèles de langage actuels.

Bien qu’il soit mentionné en dernier dans la liste des auteurs, une note indique : « Contribution égale. L’ordre de listing est aléatoire. » La position est donc purement aléatoire.

Mais la même année, il quitte Google pour fonder NEAR Protocol, avec pour objectif de fusionner IA et blockchain.

IronClaw s’inscrit dans une vision plus large de NEAR Protocol : celle de l’IA détenue par l’utilisateur (User-Owned AI).

Dans cette vision, l’utilisateur contrôle totalement ses données et ses actifs, et l’agent intelligent agit dans un environnement fiable pour exécuter des tâches en son nom.

NEAR a déjà construit une plateforme cloud IA et un marché décentralisé de GPU, et IronClaw constitue la couche d’exécution de cet écosystème.

Pomme a même développé un marché où les agents peuvent s’embaucher mutuellement.

Sur le site market.near.ai, les utilisateurs peuvent enregistrer leurs agents spécialisés, qui, en gagnant en réputation, recevront des tâches à haute valeur.

Interrogé sur la façon dont le grand public peut s’adapter à l’ère de l’IA dans cinq ans, Pomme recommande d’adopter rapidement le mode de travail basé sur les agents IA, en leur confiant l’automatisation de processus complets.

Ce jugement n’est pas récent : dès la création de NEAR AI en 2017, il expliquait à tous que « dans le futur, vous n’aurez plus qu’à dialoguer avec l’ordinateur, plus besoin d’écrire du code ».

À l’époque, beaucoup pensaient qu’ils étaient fous, qu’ils racontaient n’importe quoi.

Neuf ans plus tard, cela devient réalité.

« L’agent IA est l’interface ultime pour toutes les interactions humaines en ligne, » écrit Polosukhin, « mais faisons-le en toute sécurité. »

Adresse GitHub :

https://github.com/nearai/ironclaw

Liens de référence :

[1] https://www.reddit.com/r/MachineLearning/comments/1rlnwsk/d_ama_secure_version_of_openclaw/