Moltbot: agente AI open source poco sicuro

Moltbot (noto in precedenza come Clawdbot) è un agente AI che può eseguire azioni complesse in autonomia direttamente sul dispositivo (Windows, macOS, Linux e macchina virtuale). Diversi ricercatori hanno evidenziato i rischi per la sicurezza e la possibilità di divulgare dati sensibili, se la configurazione non viene effettuata da utenti esperti.

Moltbot è potente e pericoloso

Moltbot interagisce con posta elettronica, calendario, browser e diversi servizi di messaggistica. Il codice dell’agente AI viene eseguito localmente, ma è necessario sottoscrivere un abbonamento per accedere ai modelli di Anthropic, Google o OpenAI.

La configurazione di Moltbot richiede specifiche competenze per evitare problemi di sicurezza. Essendo open source, molti utenti hanno deciso di usare l’assistente AI con risultati catastrofici. Molti ricercatori hanno scoperto centinaia di interfacce di controllo accessibili online a causa di errate configurazioni dei reverse proxy.

Diversi utenti non hanno notato che il reverse proxy considera come sicuro tutto il traffico Internet, quindi un malintenzionato può accedere al server da remoto senza autenticazione, rubare le credenziali, leggere le conversazioni, eseguire comandi e ottenere permessi di amministratore.

Un utente ha collegato Signal a Moltbot senza accorgersi di aver regalato l’accesso a tutto il mondo. In pratica è possibile leggere le conversazioni che (teoricamente) sono protette dalla crittografia end-to-end. È anche possibile effettuare la scansione del codice QR e associare un altro smartphone all’account. Ovviamente c’è sempre il pericolo del prompt injection (l’agente AI esegue istruzioni nascoste in email, documenti o pagine web e l’utente non si accorge di nulla).

Token Security ha rilevato che il 22% dei suoi clienti aziendali utilizza Moltbot. Quasi certamente i dipendenti non hanno ricevuto l’approvazione del responsabile IT. Credenziali, chiavi di autenticazione e informazioni riservate potrebbero finire nelle mani dei cybercriminali. Per impostazione predefinita non c’è nessuna sandbox (ambiente isolato), quindi l’agente AI ha un accesso completo a tutti i dati.