ClawHavoc: what 341 malicious skills teach us about AI agent security

Skills machen KI-Agenten mächtig: Ein paar Dateien, und dein Assistent kann plötzlich Rechnungen schreiben, Code bauen oder Daten auswerten. Genau deshalb sind sie ein Angriffsziel.

Was passiert ist

Anfang Februar 2026 untersuchte Koi Security alle 2.857 Skills im offenen Marktplatz ClawHub und fand 341 bösartige. 335 davon stammten aus einer einzigen Kampagne mit dem Namen „ClawHavoc“. Die Cloud Security Alliance beziffert das auf 11,9 % der verfügbaren Skills.

Die einzige Hürde zum Hochladen war damals ein GitHub-Konto, das mindestens eine Woche alt ist.

So funktionierte der Angriff

Die Skills sahen nützlich aus: Krypto-Werkzeuge, Bots für Prognosemärkte, YouTube-Helfer, Finanz- und Social-Media-Tools. Sie enthielten einen gefälschten Abschnitt „Voraussetzungen“:

• Auf macOS sollten Nutzer ein Skript von einer Code-Teilen-Seite ins Terminal kopieren. Am Ende stand ein Datendieb (Atomic macOS Stealer).
• Auf Windows sollten sie ein passwortgeschütztes ZIP-Archiv herunterladen, das einen Keylogger enthielt.

Alle Skills sprachen mit demselben Steuerserver und zielten auf API-Schlüssel von Börsen, Wallet-Schlüssel, SSH-Zugänge und Browser-Passwörter.

Kein Einzelfall

Snyk prüfte wenige Tage später 3.984 Skills aus ClawHub und den Top 100 von skills.sh: 76 bestätigte Schadprogramme, bei 13,4 % mindestens ein kritisches Problem, bei 36,8 % mindestens irgendein Problem. 91 % der bösartigen Skills nutzten Prompt-Injection – sie manipulieren also nicht nur den Menschen, sondern auch die KI.

Woran du gefährliche Skills erkennst

1. Ein Skill verlangt, dass du ein Skript aus dem Netz direkt in die Shell leitest (curl … | sh) – von einer Adresse, die nicht zum Projekt gehört.
2. Er verweist auf passwortgeschützte Archive oder Downloads von nackten IP-Adressen.
3. Er greift auf Zugangsdaten zu: SSH-Schlüssel, Cloud-Zugänge, Wallets, Browser-Passwörter.
4. Er enthält verschleierten Code (base64, eval) oder Sätze wie „ignoriere alle vorherigen Anweisungen“.
5. Der Herausgeber ist nicht verifiziert und das Repository gehört jemand anderem als behauptet.

Was HALO automatisch prüft

Jedes Werk auf HALO durchläuft bei Einreichung und danach täglich genau diese Prüfungen: Fernausführung von fremden Hosts, Zugriff auf Zugangsdaten und Wallets, typische Payload-Hosts, nackte IP-Adressen, passwortgeschützte Archive – bei Skills und Prompts zusätzlich Prompt-Injection und verschleierter Code. Dazu kommen Identität des Creators, Besitz des Repositorys, Lizenz und Pflege. Ein Fehlschlag begrenzt den Vertrauenswert und verhindert die automatische Freischaltung. Das Ergebnis steht öffentlich auf jeder Werkseite.

Einschätzung des Research Desk: Offene Marktplätze ohne Prüfung werden weiter angegriffen, weil Skills mit den Rechten des Nutzers laufen. Automatische Prüfung ersetzt kein Urteilsvermögen – aber sie fängt die bekannten Muster ab, bevor sie jemand installiert.