◆ Lokale Agenten — Agenten, die auf Ihrem Rechner Aktionen ausführen, ohne Cloud · 24 € · oder alle Kits 49 € →

#Was ein OpenClaw-Skill konkret ist

Eine Skill ist weder ein kompiliertes Plugin noch eine Erweiterung im Sinne eines Browsers. Sie ist ein Ordner, der mindestens eine Datei namens SKILL.md enthält: einen Header im YAML-Format mit einem Namen und einer Beschreibung sowie anschließend Markdown-Anweisungen, die dem Agenten erklären, wann und wie er eine Aufgabe erledigen soll. Der Ordner kann außerdem Skripte, Dateivorlagen oder Referenzdokumente enthalten. OpenClaw verwendet dafür ein offenes Format, das mit anderen Agenten geteilt wird und in seiner Dokumentation beschrieben ist.

Beim Start lädt das Gateway nicht den vollständigen Inhalt jeder Skill. Es fügt die Liste der verfügbaren Skills mit ihrem Namen und ihrer Beschreibung in den System-Prompt ein. Wenn das Modell der Einschätzung ist, dass eine Skill zur Anfrage passt, liest es die gesamte Datei SKILL.md und befolgt ihre Anweisungen, wobei es bei Bedarf die darin enthaltenen Skripte aufruft. Eine Skill ist daher in erster Linie Text, der in den Kontext des Modells gelangt, ebenso wie Ihre eigenen Vorgaben.

SKILL.md — pädagogisches Beispiel für eine Struktur

---
name: resume-flux-rss
description: Résume en trois points les nouveaux articles d'un flux RSS donné.
metadata: {"openclaw": {"requires": {"bins": ["curl"]}}}
---
# Résumer un flux RSS

1. Récupérer le flux avec curl et ne garder que les entrées des 24 dernières heures.
2. Pour chaque entrée, lire le titre et le résumé fourni par le flux.
3. Rédiger trois points en français, sans ouvrir de lien supplémentaire.

Der Header kann Aktivierungsbedingungen angeben: auf der Maschine erforderliche ausführbare Dateien, Umgebungsvariablen, Konfigurationsschlüssel oder ein Betriebssystem. Fehlt eine Bedingung, bleibt die Skill im Bestand sichtbar, wird dem Modell aber nicht angeboten. Diese Deklarationen dienen der Zuverlässigkeit, nicht der Sicherheit: Sie schränken nicht ein, was eine aktivierte Skill tun kann.

Mitgelieferte Skills: Mit OpenClaw bereitgestellt und je nach Konfiguration aktiviert. Sie werden vom Projekt gepflegt, was nicht davon entbindet, sie zu kennen.
Verwaltete Skills: Für alle Agents der Maschine installiert, im skills-Ordner des Verzeichnisses ~/.openclaw.
Skills des Arbeitsbereichs: Im Unterordner skills des Arbeitsbereichs des Agenten abgelegt, standardmäßig ~/.openclaw/workspace. Dort installiert ClawHub standardmäßig.
Prioritätsreihenfolge: Eine Skill aus dem Arbeitsbereich hat Vorrang vor einer verwalteten Skill desselben Namens, die wiederum Vorrang vor einer mitgelieferten Skill hat. Eine Skill eines Drittanbieters kann daher eine offizielle Skill ersetzen, ohne dass Sie darauf hingewiesen werden.

ClawHub ist das öffentliche Register des Projekts. Ein gleichnamiges Kommandozeilenwerkzeug ermöglicht es, nach einem Skill zu suchen, ihn zu installieren und zu aktualisieren. Jeder kann dort veröffentlichen: Die Präsenz eines Skills im Register bedeutet keine Überprüfung. Wenn Ihnen der Begriff Agent und Tools noch unklar ist, erklärt unser Leitfaden zum MCP-Protokoll, was es bedeutet, einem Modell Tools zu geben, und warum jedes hinzugefügte Tool die Angriffsfläche vergrößert.

#Warum ein OpenClaw-Skill konstruktionsbedingt ein Risiko darstellt

Das Kit Lokale Agenten

Agenten, die auf Ihrem Rechner handeln: agentisches Cline, MCP, n8n + Ollama und lokale Automatisierungen.

Lebenslanger Online-Zugang
PDF + Dateien
Erstattung binnen 30 Tagen

Das Paket „Lokale Agenten“ →oder alle Pakete lebenslang — 49 € →

Das Problem liegt nicht an einem Fehler von OpenClaw. Es liegt in dem, was ein Skill ist: Anweisungen, denen das Modell vertraut und die von einem Agenten ausgeführt werden, der Zugriff auf ein Terminal, Ihre Dateien, einen Browser und Ihre Nachrichten hat. Alles, was der Agent tun kann, kann ein Skill ihn tun lassen. Und anders als bei einer Prompt-Injection von einer Webseite, die das Modell manchmal als externen Inhalt erkennen kann, kommt ein Skill über den Kanal legitimer Anweisungen.

Gefälschte Abhängigkeit: Die Skill verlangt unter dem Vorwand einer technischen Voraussetzung, ein externes Installationsskript herunterzuladen und auszuführen. Der Agent gehorcht, und das Skript installiert Schadsoftware. Das ist das am besten dokumentierte Muster auf ClawHub Anfang 2026.
Exfiltration: Die Anweisungen sehen vor, den Inhalt der Unterhaltung, eine Konfigurationsdatei oder Zugangsdaten an eine externe Adresse zu senden, häufig unter dem Vorwand der „Protokollierung“ oder der „Synchronisierung“.
Dauerhafte Übernahme: Die Skill verändert den Speicher oder die Anweisungen des Agenten oder fügt eine geplante Aufgabe hinzu. Die Wirkung bleibt nach ihrer Deinstallation bestehen, wenn Sie diese Dateien nicht erneut prüfen.
Usurpation: Ein Name, der einer bekannten Skill ähnelt, eine kopierte Beschreibung, ein erst am Vortag erstellter Autor. Das Register schützt nicht vor Namensgleichheit.
Manipulierte Aktualisierung: Ein bei der Installation vertrauenswürdiger Skill kann in der nächsten Version seinen Inhalt ändern. Die Überprüfung muss bei jedem Update erneut durchgeführt werden.

Ein lokales Modell ändert daran nichts

Wenn Sie das Modell auf Ihrer eigenen GPU ausführen, schützt das Ihre Gespräche vor einem Online-Anbieter. Es schützt Sie jedoch nicht vor einer manipulierten Skill: Die Anweisungen werden von den Tools des Agenten auf Ihrer Maschine ausgeführt, unabhängig davon, wo das Modell läuft. Die OpenClaw-Dokumentation empfiehlt das leistungsfähigste Modell, über das Sie verfügen, weil es irreführenden Anweisungen besser widersteht, ohne dass eines dagegen immun wäre. Unsere Anleitung zur lokalen Prompt-Injection erläutert diesen Mechanismus im Detail.

#Was Sicherheitsforscher auf ClawHub gefunden haben

Mehrere Teams analysierten die Registry während der Popularitätswelle des Projekts zwischen Ende Januar und März 2026. Wir haben ihre Analysen nicht reproduziert. Die folgenden Zahlen stammen jeweils aus dem entsprechenden Bericht und entsprechen dessen Veröffentlichungsdatum; seitdem hat sich die Registry verändert. Gemäß unserer redaktionellen Linie veröffentlichen wir weder eine Liste bösartiger Skills noch Links zu ihnen.

Koi Security, 1. Februar 2026: Die Forscher beschreiben eine Kampagne, die sie ClawHavoc nennen: In ihrem ersten Bericht werden 341 auf ClawHub veröffentlichte Skills als bösartig identifiziert. Viele nutzten das Muster der gefälschten Abhängigkeit, um einen Informationsdieb auf macOS zu installieren. Dieselben Forscher korrigierten diese Zahl in späteren Veröffentlichungen anschließend nach oben.
Cisco, Februar 2026: Das Forschungsteam von Cisco analysierte einen beliebten Skill aus dem Register und zeigte, dass er Anweisungen enthielt, die den Agenten dazu brachten, ohne Wissen des Benutzers Daten an einen Drittserver zu übermitteln. Cisco veröffentlichte daraufhin ein freies Tool zur Analyse von Skills und kommt zu dem Schluss, dass persönliche Agenten dieser Art einen Sicherheitsrahmen benötigen, der bei den meisten Benutzern noch nicht existiert.
Snyk, Februar 2026: In seinem ToxicSkills-Bericht gibt Snyk an, 3.984 Skills von ClawHub analysiert zu haben. Laut diesem Bericht wiesen 13,4 % mindestens ein Sicherheitsproblem auf, und 76 wurden als bösartig eingestuft; an erster Stelle standen die Exfiltration von Zugangsdaten und manipulierte Installationsskripte.
Kaspersky, Anfang 2026: Die auf Securelist veröffentlichte Analyse ordnet die Skills in einen größeren Zusammenhang ein: dem Internet ausgesetzte Gateways, die Ende Januar 2026 behobene Sicherheitslücke CVE-2026-25253 und im Klartext im Konfigurationsverzeichnis gespeicherte Geheimnisse. Ihre Empfehlungen entsprechen denen dieses Leitfadens: isolieren, Rechte begrenzen, nichts nach außen offenlegen.

Das Projekt hat reagiert. Laut seinen Ankündigungen vom Februar 2026 unterzieht ClawHub veröffentlichte Skills nun in Zusammenarbeit mit VirusTotal einer automatischen Analyse auf Schadcode und entfernt gemeldete Skills. Das ist nützlich, aber nicht ausreichend: Eine automatische Analyse erkennt bekannte Skripte und offensichtliche Muster, nicht jedoch einen geschickt formulierten Anweisungssatz. Das Lesen bleibt Ihre Verantwortung.

Was diese Angriffe wirksam macht

In allen dokumentierten Fällen hat der Nutzer selbst nichts ausgeführt. Er hat eine Skill installiert, anschließend hat der Agent die Anweisungen befolgt. Die Popularität einer Skill, ihre Zahl an Downloads oder ihre Bewertung sagen nichts über ihren Inhalt aus: Zum Zeitpunkt der Berichte gehörten mehrere manipulierte Skills zu den am häufigsten heruntergeladenen.

#Der Rahmen, den Sie vor der ersten Skill festlegen sollten

Dieser Leitfaden setzt voraus, dass OpenClaw bereits installiert ist. Falls dies nicht der Fall ist, beschreibt unser Installationsleitfaden mit Docker die Einrichtung, und unsere Vorstellung von OpenClaw hilft Ihnen bei der Entscheidung, ob das Tool für Sie geeignet ist. Bevor Sie auch nur einen Drittanbieter-Skill hinzufügen, überprüfen Sie diese vier Punkte.

Eine aktuelle Version: Skills sind nur eine der Angriffsflächen. Ein veraltetes Gateway bleibt anfällig für inzwischen behobene Sicherheitslücken, darunter CVE-2026-25253. Aktualisieren Sie es und führen Sie anschließend die Diagnose erneut aus.
Ein sauberer Audit: Der integrierte Audit-Befehl weist auf gefährliche Einstellungen hin: exponiertes Gateway, deaktiviertes Pairing, für alle geöffnete Tools. Beheben Sie alles, bevor Sie den Agenten erweitern.
Eine dedizierte Maschine: Nicht Ihr Arbeitsplatzrechner und nicht das Gerät, auf dem Ihr Passwortmanager oder Ihre persönlichen SSH-Schlüssel liegen. Eine virtuelle Maschine, ein Mini-PC oder ein gemieteter Server.
Ein benannter Bedarf: Ein Skill erfüllt eine bestimmte Aufgabe, die Sie bereits erledigen. Einen Skill „für alle Fälle“ zu installieren, erhöht das Risiko ohne Nutzen.

Terminal — Bestandsaufnahme vor jeder Installation

# Mettre à jour OpenClaw puis vérifier l'installation
openclaw update
openclaw doctor

# Audit de sécurité de la passerelle et de ses réglages
openclaw security audit --deep

# Inventaire des skills déjà présentes et de leurs prérequis
openclaw skills list
openclaw skills check

Das Inventar überrascht Sie vielleicht: Einige mit OpenClaw gelieferte Skills sind bereits aktiv. Nehmen Sie sich die Zeit, die Ihnen unbekannten zu lesen, und deaktivieren Sie diejenigen, die Sie nicht benötigen. Das Prinzip ist dasselbe wie bei einem Server: Jede aktive Komponente muss einen Daseinsgrund haben.

#Eine OpenClaw-Skill vor der Aktivierung lesen: die Methode

Der klassische Fehler besteht darin, zuerst zu installieren und danach zu lesen. Sobald sich eine Skill in einem von OpenClaw geladenen Ordner befindet, kann der Agent sie lesen und befolgen. Die Methode besteht daher darin, die Skill in einen Quarantäneordner zu laden, den das Gateway nicht überwacht, sie zu prüfen und sie erst danach zu verschieben. Rechnen Sie bei einer Skill von angemessener Größe mit zehn bis fünfzehn Minuten. Wenn die Skill zu lang zum Lesen ist, ist das bereits eine Information.

01
Abrufen, ohne zu aktivieren
Erstellen Sie einen Quarantäneordner außerhalb der von OpenClaw geladenen Ordner und wechseln Sie in diesen, bevor Sie das Tool ClawHub starten. Standardmäßig installiert es im Unterordner skills des aktuellen Verzeichnisses oder des erkannten Arbeitsbereichs: Überprüfen Sie den Pfad, den es am Ende anzeigt. Sie können die Skill auch auf ihrer Registrierungsseite lesen, bevor Sie überhaupt etwas herunterladen.
02
SKILL.md vollständig lesen
Zuerst der Header: Entspricht der Name dem, wonach Sie gesucht haben, und sind die angegebenen Voraussetzungen für die Aufgabe stimmig? Eine Skill zum Zusammenfassen von RSS-Feeds benötigt Ihre Umgebungsvariablen mit Schlüsseln nicht. Danach der Hauptteil, Satz für Satz, wobei Sie sich bei jeder Anweisung fragen: Was geschieht auf meiner Maschine, wenn der Agent genau das tut?
03
Dateien inventarisieren
Listen Sie den gesamten Inhalt des Ordners auf, einschließlich versteckter Dateien. Jedes Skript, Archiv oder jede Binärdatei muss durch die Anweisungen begründet sein. Eine Datei, die in SKILL.md nie erwähnt wird, ist ein Warnsignal. Binärdateien und komprimierte Archive sind abzulehnen: Sie können sie nicht lesen.
04
Nach bekannten Mustern suchen
Download mit anschließender Ausführung, Base64-Decodierung, dynamische Codeauswertung, Rechteausweitung, externe Adressen, Pfade zum Konfigurationsordner oder zu Schlüsseln. Die folgenden Befehle automatisieren diese erste Prüfung. Suchen Sie auch nach unsichtbaren Zeichen: Anweisungen können in Text verborgen sein, der leer erscheint.
05
Autor und Verlauf prüfen
Erstellungsdatum des Kontos, andere Veröffentlichungen, aufeinanderfolgende Versionen, genanntes und zum heruntergeladenen Inhalt passendes Code-Repository. Eine „offizielle“ Skill eines bekannten Dienstes, die von einem anonymen Konto veröffentlicht wurde, ist bis zum Beweis des Gegenteils eine Identitätsvortäuschung.
06
Entscheiden und den Grund notieren
Eine Anweisung, die verlangt, ein aus dem Internet abgerufenes Skript auszuführen, reicht aus, um abzulehnen, selbst wenn der Rest einwandfrei ist. Wenn Sie zustimmen, bewahren Sie eine Kopie der gelesenen Version auf: Mit ihr vergleichen Sie das nächste Update.

Terminal — erster Durchgang mit einer Skill in Quarantäne

cd ~/quarantaine-skills/nom-de-la-skill

# Tout le contenu, fichiers cachés compris
find . -type f | sort

# Téléchargement + exécution, décodage, évaluation dynamique, droits
grep -rniE 'curl|wget|bash -c|sh -c|base64|eval|chmod \+x|sudo' .

# Toutes les adresses externes citées
grep -rnoE 'https?://[^ )"]+' . | sort -u

# Accès aux secrets et à la configuration de l'agent
grep -rniE '\.openclaw|openclaw\.json|\.ssh|keychain|token|api[_-]?key|password' .

# Caractères invisibles (espaces de largeur nulle, marque d'ordre des octets)
grep -rnP '[\x{200B}\x{200C}\x{200D}\x{2060}\x{FEFF}]' . || echo "Aucun caractère invisible trouvé"

Diese Befehle entscheiden nicht an Ihrer Stelle. Eine legitime Skill kann eine externe Adresse nennen, weil sie eine öffentliche API abfragt, oder curl verwenden, weil das ihre Funktion ist. Ausschlaggebend ist die Abweichung zwischen dem, was die Skill ankündigt, und dem, was sie tut. Eine Zusammenfassung von RSS-Feeds, die Ihre Konfigurationsdatei liest, ist nicht zu entschuldigen.

→

Von einem Modell gegenlesen lassen, ohne ihm zu vertrauen

Sie können ein lokales Modell in einer Sitzung ohne Tools bitten, aufzulisten, was die Skill tut, und zu melden, was über ihre Beschreibung hinausgeht. Das ist eine Hilfe, damit nichts vergessen wird, kein Urteil: Das Modell selbst kann durch den Text getäuscht werden, den es erneut liest. Ihre Lektüre bleibt die Entscheidungsgrundlage.

#Mit möglichst wenigen Rechten installieren

Nachdem Sie die Skill erneut gelesen haben, verschieben Sie sie in den skills-Ordner des Arbeitsbereichs oder lassen Sie sie vom Tool ClawHub am richtigen Ort installieren. Die OpenClaw-Konfiguration in der Datei openclaw.json des Ordners ~/.openclaw ermöglicht es anschließend, sie zu deaktivieren, ihr einen eigenen Schlüssel bereitzustellen und die gelieferten Skills auf die von Ihnen verwendeten zu beschränken. Die genauen Namen dieser Schlüssel ändern sich mit den Versionen: Maßgeblich ist die Skills-Seite der Dokumentation.

~/.openclaw/openclaw.json — Auszug, an die Dokumentation Ihrer Version anzupassen

{
  "skills": {
    "allowBundled": ["nom-de-skill-livree-que-vous-utilisez"],
    "entries": {
      "resume-flux-rss": { "enabled": true },
      "skill-en-cours-de-relecture": { "enabled": false },
      "skill-qui-appelle-un-service": {
        "enabled": true,
        "apiKey": "cle-dediee-a-cet-usage-et-plafonnee"
      }
    }
  }
}

Standardmäßig deaktiviert: Eine installierte, aber noch nicht gelesene Skill oder eine gelesene, aber noch nicht benötigte Skill muss ausdrücklich deaktiviert werden. Ein deaktivierter Eintrag wird dem Modell nicht angeboten.
Dedizierte Schlüssel: Wenn ein Skill Zugriff auf einen Dienst benötigt, erstellen Sie dafür einen eigenen Schlüssel mit einem Ausgabenlimit und dem kleinstmöglichen Berechtigungsumfang. Niemals Ihren Hauptschlüssel und niemals einen Schlüssel, der von mehreren Skills gemeinsam verwendet wird.
Dedizierte Konten: Dasselbe gilt für Konten: Eine Skill, die einen Kalender oder ein E-Mail-Postfach liest, erhält ein für den Agenten erstelltes Konto, nicht Ihres.
Reduzierter Lieferumfang an Skills: Beschränken Sie die Liste der ausgelieferten Skills auf diejenigen, die Sie benötigen. Je weniger Optionen das Modell hat, desto weniger Ansatzpunkte hat eine irreführende Anweisung.
Keine automatische Aktualisierung: Starten Sie kein Sammelupdate für alle Skills. Aktualisieren Sie jeweils eine Skill, vergleichen Sie die neue Version mit der aufbewahrten Kopie und aktivieren Sie sie anschließend wieder.

Führen Sie nach jeder Änderung die Bestandsaufnahme und die Diagnose erneut aus. Der Befehl zur Überprüfung der Skills teilt Ihnen mit, ob die Skill aktiv ist, ob ihre Voraussetzungen erfüllt sind und welche Variablen sie erwartet. Wenn sie eine Variable verlangt, die Sie nicht vorgesehen haben, kehren Sie zur Lektüre zurück.

#Den Agenten isolieren: begrenzen, was eine manipulierte Skill erreichen kann

Die Lektüre verringert die Wahrscheinlichkeit, eine manipulierte Skill zu installieren. Die Isolation verringert die Folgen, wenn Sie sich geirrt haben. Beides ist notwendig, und der zweite Punkt zählt mehr als der erste: Eines Tages werden Sie etwas falsch lesen, oder eine Aktualisierung wird Ihnen entgehen. Das Ziel ist, dass eine Skill, die versucht, Ihre Geheimnisse zu exfiltrieren, nichts zum Exfiltrieren findet, und dass ein Skript, das versucht, sich zu installieren, keinen Ort dafür hat.

Sandbox für die Ausführung: OpenClaw kann die Tools des Agents in einem Docker-Container statt direkt auf der Maschine ausführen. Standardmäßig richtet sich diese Abschottung auf andere Unterhaltungen als Ihre; die Dokumentation beschreibt, wie sie auf alle Sitzungen ausgeweitet werden kann. In einem Container wirkt sich ein bösartiger Befehl auf ein Wegwerfsystem aus, nicht auf Ihren Host.
Entfernte Tools: Die Konfiguration ermöglicht es, einem Agenten den Zugriff auf Tools zu verweigern. Wenn keine Ihrer Skills den Browser oder das Schreiben von Dateien außerhalb des Arbeitsbereichs benötigt, entfernen Sie diese. Eine Skill kann kein Tool verwenden, über das der Agent nicht verfügt.
Dediziertes Systemkonto: Das Gateway läuft unter einem Benutzer, der keinen Zugriff auf Ihre SSH-Schlüssel, Ihre Dokumente oder Administratorrechte hat. Die Docker-Einhängungen gewähren nur Zugriff auf den Ordner ~/.openclaw.
Geschlossenes Netzwerk: Das Gateway bleibt lokal auf 127.0.0.1 und standardmäßig auf Port 18789 im Listening-Modus; der Fernzugriff erfolgt über einen SSH-Tunnel oder ein VPN. Wenn Ihre Firewall dies zulässt, beschränken Sie außerdem die ausgehenden Verbindungen des Agenten auf die Dienste, die er tatsächlich erreichen muss: Für eine Exfiltration ist ein Ausgang erforderlich.
Leistungsfähiges Modell: Ein Modell, das Anweisungen gut versteht, widersteht irreführenden Anweisungen besser. Lokal bedeutet das ein Modell mit mindestens 14 Milliarden Parametern, also etwa 9 GB VRAM in Q4_K_M, mit einem großen Kontext. Unser Leitfaden zu OpenClaw mit Ollama erläutert diese Wahl ausführlich.

Die Sandbox schützt die Geheimnisse des Agents nicht

Ein Container isoliert die Hostmaschine. Er isoliert nicht das, was der Agent konstruktionsbedingt lesen darf: seine Speicherdateien, die ihm anvertrauten Schlüssel und die Nachrichtendienste, mit denen er verbunden ist. Eine manipulierte Skill kann diese Elemente weiterhin vom Agenten selbst über ein legitimes Tool versenden lassen. Daher sollten Sie dedizierte und begrenzte Schlüssel, getrennte Konten und eine regelmäßige Überprüfung des Speichers verwenden.

Wenn der Agent über das MCP-Protokoll eine Verbindung zu externen Tools herstellt, gelten für jeden MCP-Server dieselben Regeln: Lesen vor der Aktivierung, minimale Berechtigungen, Isolation. Unser Leitfaden zum Server Ollama und unsere Lektüre der OWASP Top 10 für LLMs liefern den allgemeinen Rahmen für diese Maßnahmen.

#Überwachen, entfernen, melden

Ein installierter Skill ist kein Vertrauensbeweis. Drei Gewohnheiten begrenzen Überraschungen. Die erste: Lesen Sie die Speicher- und Anweisungsdateien des Arbeitsbereichs von Zeit zu Zeit erneut durch; sie bestehen aus einfachem Markdown. Eine Zeile, die Sie nicht geschrieben haben, muss verstanden und anschließend gelöscht werden. Die zweite: Gehen Sie nach dem Hinzufügen eines Skills die Protokolle des Gateways durch, um zu überprüfen, dass die ausgeführten Befehle und kontaktierten Adressen dem entsprechen, was Sie erwartet haben. Die dritte: Wiederholen Sie das Sicherheitsaudit nach jeder Konfigurationsänderung.

Terminal — eine Skill entfernen und sauber neu beginnen

# 1. Désactiver la skill dans ~/.openclaw/openclaw.json (enabled: false),
#    puis supprimer son dossier
rm -rf ~/.openclaw/workspace/skills/nom-de-la-skill

# 2. Redémarrer la passerelle et vérifier l'inventaire
openclaw gateway restart
openclaw skills list

# 3. Relire la mémoire et les consignes de l'espace de travail
ls -la ~/.openclaw/workspace

# 4. Refaire l'audit
openclaw security audit --deep

Wenn Sie erst im Nachhinein feststellen, dass ein Skill manipuliert war, betrachten Sie alles, worauf der Agent zugreifen konnte, als kompromittiert: Widerrufen und erstellen Sie die API-Schlüssel, über die er verfügte, neu, ändern Sie die Passwörter der Konten, die ihm anvertraut waren, und untersuchen Sie den Host-Rechner, falls der Agent ohne Sandbox lief. Melden Sie den Skill anschließend im Register und, falls er ein bösartiges Skript ausgeführt hat, auch den Teams, die diese Kampagnen verfolgen: Alle weiter oben zitierten Berichte begannen mit Meldungen.

→

Eigene Skills schreiben

Bei einer einfachen Aufgabe ist es oft schneller, selbst eine zwanzigzeilige SKILL.md zu schreiben, als eine dreihundertzeilige Skill eines Drittanbieters erneut zu lesen. Sie kennen jede Anweisung, es gibt weder Skript noch Abhängigkeit, und die Aktualisierung hängt von niemandem ab. Das Format ist dokumentiert, und ein lokales Modell kann Ihnen beim Verfassen einer ersten Version helfen, die Sie anschließend selbst durchlesen.

#Quellen

Dieser Leitfaden enthält keine eigenen Messungen. Die Befehle und Konfigurationsschlüssel stammen aus der Dokumentation von OpenClaw, die sich schnell weiterentwickelt: Bei Abweichungen ist sie maßgeblich. Die Feststellungen zu bösartigen Skills stammen aus den folgenden für diese Redaktion konsultierten Berichten; die Berichte von Koi Security und Snyk wurden in den Blogs dieser beiden Unternehmen veröffentlicht.

OpenClaw-Dokumentation: die Skills

https://docs.openclaw.ai/tools/skills

OpenClaw-Dokumentation: das ClawHub-Register

https://docs.openclaw.ai/tools/clawhub

OpenClaw-Dokumentation: Sicherheit des Gateways

https://docs.openclaw.ai/gateway/security

Kaspersky (Securelist): Analyse der Sicherheit von OpenClaw

https://securelist.com/openclaw-security/120484/

Cisco: persönliche KI-Agenten wie OpenClaw, ein Sicherheitsalbtraum

https://blogs.cisco.com/ai/personal-ai-agents-like-openclaw-are-a-security-nightmare

Eintrag zur Sicherheitslücke CVE-2026-25253

https://nvd.nist.gov/vuln/detail/CVE-2026-25253

#Weiterführende Informationen

Skills sind nur ein Teil der Sicherheit eines lokalen Agenten. Diese Anleitungen auf der Website decken den Rest des Bildes ab:

Prompt-Injection: Der lokale Betrieb schützt Sie nicht: Der Mechanismus, durch den ein vom Modell gelesener Text zu einer Anweisung wird, und warum es nicht genügt, das Modell zu Hause auszuführen. https://quelllm.fr/guide/injection-de-prompt-llm-local
OWASP Top 10 LLM: Lokale KI im Unternehmen absichern: Die Übersicht der zehn Risiken für LLM-basierte Anwendungen, darunter Lieferkette und übermäßige Autonomie der Agents. https://quelllm.fr/guide/owasp-top-10-llm-securite-locale
Den eigenen Ollama-Server absichern: Authentifizierung, Reverse-Proxy und Exponierung: die Maßnahmen auf Modellebene, ergänzend zu denen auf Agentenebene. https://quelllm.fr/guide/securiser-serveur-ollama
MCP: Was ist das?: Das Protokoll, das ein Modell mit externen Tools verbindet, und was jeder hinzugefügte Server bedeutet. https://quelllm.fr/guide/mcp-c-est-quoi-model-context-protocol
OpenClaw: Was ist das und sollte man es installieren?: Die Vorstellung des Projekts, seine Voraussetzungen und die allgemeinen Risiken, um vor der Installation eine Entscheidung zu treffen. https://quelllm.fr/guide/openclaw-c-est-quoi

Hat Ihnen dieser Guide geholfen?

Haben Sie Feedback, einen Fehler entdeckt oder möchten Sie etwas präzisieren? Geben Sie uns Bescheid – so wird der Guide für alle besser.

Die QuelLLM-PaketeDer maßgebliche Leitfaden für jeden Anwendungsfall

Lokale Agenten Lokaler Copilot Lokale KI Lokales RAG KI im Unternehmen KI ohne Filter Mac KI-Bilder Soziale Netzwerke

Alle Pakete lebenslang — 49 €

Logische Fortsetzung

Sicherheit · 11 Min.

OpenClaw-Skills: installieren, ohne sich zu verfangen manipulieren