OpenClaw सुरक्षा संकट 2026: क्या हुआ और क्या करें

AI Perks

AI Perks स्टार्टअप और डेवलपर्स को पैसे बचाने में मदद करने के लिए AI टूल्स, क्लाउड सेवाओं और API पर विशेष छूट, क्रेडिट और डील तक पहुंच प्रदान करता है।

सभी AI Perks देखें

OpenClaw का सुरक्षा संकट - 2026 का सबसे बड़ा AI एजेंट घोटाला

OpenClaw - 180,000+ GitHub स्टार्स वाला ओपन-सोर्स AI एजेंट - AI टूल इतिहास के सबसे खराब सुरक्षा संकट से प्रभावित हुआ है। फरवरी 2026 में, शोधकर्ताओं ने 7 गंभीर कमजोरियां, 135,000+ उजागर इंस्टेंस और 800+ दुर्भावनापूर्ण स्किल्स की खोज की, जो आधिकारिक ClawHub मार्केटप्लेस के माध्यम से मैलवेयर वितरित कर रहे थे।

Google ने OpenClaw का उपयोग करने वाले भुगतान करने वाले AI ग्राहकों को प्रतिबंधित करना शुरू कर दिया। Meta ने इसे सभी कार्य उपकरणों पर प्रतिबंधित कर दिया। CrowdStrike, Cisco, और Nature ने तत्काल परामर्श प्रकाशित किए।

यदि आप OpenClaw चलाते हैं, तो सबसे पहले AI Perks के माध्यम से वैध API क्रेडेंशियल सुरक्षित करना है - समझौता किए गए इंस्टेंस से लीक हुई और चोरी हुई कीज़ पहले से ही ऑनलाइन प्रसारित हो रही हैं।

AI टूल्स पर अपने स्टार्टअप का बजट बचाएं

ऑफर खोजें

OpenAI,

Anthropic,

Lovable,

Notion

Changelog

सभीमुफ़्तसाझेदारी

ऑफर खोजें

OpenAI,

Anthropic,

Lovable,

Notion

Changelog

सभीमुफ़्तसाझेदारी

Software	अनुमानित क्रेडिट	शर्तें	अनुमोदन सूचकांक	क्रियाएं

संकट की समयरेखा - यह सब कैसे सामने आया

यह संकट रातोंरात नहीं हुआ। सुरक्षा शोधकर्ताओं द्वारा कमजोरियों की परत दर परत खोलने के साथ यह तीन सप्ताह की अवधि में बढ़ गया।

तीन सप्ताह। इतनी जल्दी OpenClaw इतिहास की सबसे रोमांचक ओपन-सोर्स परियोजना से AI में सबसे बड़ी सुरक्षा चेतावनी कहानी बन गई।

AI Perks

AI Perks स्टार्टअप और डेवलपर्स को पैसे बचाने में मदद करने के लिए AI टूल्स, क्लाउड सेवाओं और API पर विशेष छूट, क्रेडिट और डील तक पहुंच प्रदान करता है।

सभी AI Perks देखें

7 कमजोरियां जिन्होंने OpenClaw को हिला दिया

सात CVEs एक-दूसरे के हफ्तों के भीतर प्रकट किए गए थे। तीन के लिए सार्वजनिक एक्सप्लॉइट कोड उपलब्ध है, जिसका अर्थ है कि कोई भी उन्हें अनपैच किए गए इंस्टेंस के खिलाफ उपयोग कर सकता है।

CVE-2026-25253 - वन-क्लिक रिमोट कोड निष्पादन (CVSS 8.8)

यह बहुत बड़ी बात थी। किसी भी मैसेजिंग प्लेटफॉर्म - WhatsApp, Telegram, Discord - के माध्यम से भेजा गया एक दुर्भावनापूर्ण लिंक मिलीसेकंड में पूरे OpenClaw इंस्टेंस को हाईजैक कर सकता था।

यह भेद्यता प्रमाणीकरण टोकन निकालने के लिए gatewayURL क्वेरी पैरामीटर का फायदा उठाती थी। एक बार जब हमलावर के पास टोकन आ जाता था, तो वे पीड़ित की मशीन पर मनमाने ढंग से कमांड निष्पादित कर सकते थे। एक क्लिक में पूर्ण सिस्टम एक्सेस।

यह फिक्स 29 जनवरी को v2026.1.29 में जारी किया गया था, लेकिन CVE सार्वजनिक रूप से 3 फरवरी तक प्रकट नहीं किया गया था। शोधकर्ताओं का अनुमान है कि हजारों इंस्टेंस हफ्तों तक अनपैच रहे।

अन्य छह CVEs

डिफ़ॉल्ट कॉन्फ़िगरेशन मुद्दे पर विशेष ध्यान देने की आवश्यकता है। आउट-ऑफ-द-बॉक्स, OpenClaw पोर्ट 18789 पर सभी नेटवर्क इंटरफेस पर बिना किसी प्रमाणीकरण की आवश्यकता के सुनता है। इसका मतलब है कि कोई भी नया स्थापित इंस्टेंस उसी नेटवर्क पर किसी के लिए भी तुरंत उपलब्ध है - या यदि पोर्ट उजागर है तो पूरे इंटरनेट के लिए।

135,000 उजागर इंस्टेंस - समस्या का पैमाना

SecurityScorecard की STRIKE टीम ने इंटरनेट-व्यापी स्कैन किया और पाया कि संख्याएं चौंकाने वाली थीं।

मुख्य निष्कर्ष:

• 135,000+ OpenClaw इंस्टेंस सार्वजनिक इंटरनेट के लिए उजागर
• 93.4% उजागर इंस्टेंस में प्रमाणीकरण बाईपास की स्थितियाँ थीं
• 5,194 इंस्टेंस सक्रिय रूप से ज्ञात CVEs के प्रति संवेदनशील पाए गए
• 53,000+ इंस्टेंस ज्ञात खतरे वाले एक्टर्स से जुड़े IP पतों से जुड़े थे

संख्याएं तेजी से बढ़ीं। 9 फरवरी को एक पूर्व स्वतंत्र अध्ययन में 42,665 उजागर इंस्टेंस पाए गए। छह दिन बाद, गिनती तीन गुना से अधिक हो गई थी।

"उजागर" का क्या मतलब है? इसका मतलब है कि OpenClaw इंस्टेंस बिना प्रमाणीकरण के इंटरनेट से पहुंच योग्य है। जो कोई भी इसे पाता है वह कमांड भेज सकता है, डेटा पढ़ सकता है, कनेक्टेड मैसेजिंग खातों तक पहुँच सकता है, और होस्ट मशीन पर कोड निष्पादित कर सकता है।

AI Perks से वैध API क्रेडेंशियल के साथ OpenClaw चलाने वाले उपयोगकर्ताओं के लिए - तुरंत जांचें कि आपका इंस्टेंस सार्वजनिक रूप से सुलभ है या नहीं। यदि यह है, तो इसे बंद करें, अपनी API कीज़ रोटेट करें, और पुनः कनेक्ट करने से पहले प्रमाणीकरण सक्षम करें।

800+ दुर्भावनापूर्ण स्किल्स - ClawHub सप्लाई चेन अटैक

ClawHub OpenClaw का आधिकारिक स्किल मार्केटप्लेस है - Node.js के लिए npm या Python के लिए pip के बराबर। संकट शुरू होने पर इसमें लगभग 3,000+ स्किल्स थीं।

शोधकर्ताओं ने पाया कि उनमें से 20% दुर्भावनापूर्ण थीं।

5 फरवरी को प्रारंभिक स्कैन में रजिस्ट्री में 341 दुर्भावनापूर्ण स्किल्स की खोज हुई। 15 फरवरी को एक फॉलो-अप स्कैन में यह संख्या 800+ हो गई - जिसका अर्थ है कि लगभग हर पांच में से एक ClawHub स्किल को उपयोगकर्ता डेटा चोरी करने के लिए डिज़ाइन किया गया था।

दुर्भावनापूर्ण स्किल्स क्या करती हैं

प्राथमिक पेलोड Atomic macOS Stealer (AMOS) था - एक प्रसिद्ध क्रेडेंशियल-चोरी करने वाला मैलवेयर जो लक्षित करता है:

• ब्राउज़र पासवर्ड और कुकीज़ (Chrome, Firefox, Safari, Brave)
• क्रिप्टोकरेंसी वॉलेट (MetaMask, Phantom, Coinbase Wallet)
• macOS पर कीचेन पासवर्ड
• सिस्टम क्रेडेंशियल और SSH कीज़

इस अवधि के दौरान किसी भी अविश्वसनीय ClawHub स्किल को इंस्टॉल करने वाले उपयोगकर्ताओं को यह मानना ​​चाहिए कि उनके क्रेडेंशियल से समझौता किया गया है।

Cline CLI सप्लाई चेन अटैक (17 फरवरी)

17 फरवरी को, सुरक्षा शोधकर्ताओं ने पाया कि Cline CLI संस्करण 2.3.0 - एक लोकप्रिय कमांड-लाइन टूल - को उपयोगकर्ताओं की मशीनों पर OpenClaw को चुपके से इंस्टॉल करने के लिए समझौता किया गया था। दुर्भावनापूर्ण संस्करण की खोज और हटाए जाने से पहले लगभग 8 घंटे तक लाइव था।

अवधि के दौरान अनुमानित 4,000 डाउनलोड हुए। इस अवधि के दौरान Cline CLI इंस्टॉल करने वाले उपयोगकर्ताओं के पास अनजाने में एक OpenClaw इंस्टेंस चल रहा हो सकता है।

Google और Meta ने OpenClaw को प्रतिबंधित किया - उद्योग प्रतिक्रिया

सुरक्षा संकट ने टेक दिग्गजों से कॉर्पोरेट प्रतिक्रिया को ट्रिगर किया।

Google ने भुगतान करने वाले Gemini AI Pro और Ultra ग्राहकों ($249/महीना प्लान) को प्रतिबंधित करना शुरू कर दिया, जिन्होंने मॉडल तक पहुँचने के लिए OpenClaw का उपयोग किया था। उपयोगकर्ताओं ने बिना किसी चेतावनी के प्रतिबंधित होने, भुगतान की गई सेवाओं तक पहुँच खोने की सूचना दी। Google की स्थिति: AI मॉडल तक पहुँचने के लिए तीसरे पक्ष के टूल का उपयोग करना सेवा की शर्तों का उल्लंघन करता है।

Meta ने सभी कार्य उपकरणों पर OpenClaw को प्रतिबंधित करने वाला एक आंतरिक निर्देश जारी किया। कर्मचारियों को चेतावनी दी गई थी कि OpenClaw का उपयोग करने से समाप्ति हो सकती है। Korea Times की रिपोर्ट के अनुसार कई अन्य टेक फर्मों ने भी ऐसा ही किया।

CrowdStrike ने एक विस्तृत परामर्श प्रकाशित किया जिसमें OpenClaw को "सुरक्षा जोखिम का एक नया वर्ग - व्यापक सिस्टम एक्सेस वाला एक स्वायत्त एजेंट जिसे अधिकांश उपयोगकर्ता बुनियादी सुरक्षा स्वच्छता के बिना तैनात करते हैं" कहा गया।

Cisco ने अपने सुरक्षा दल के एक ब्लॉग पोस्ट में OpenClaw जैसे व्यक्तिगत AI एजेंटों को "एक सुरक्षा दुःस्वप्न" बताया।

Nature ने "OpenClaw AI चैटबॉट बेकाबू हो रहे हैं - ये वैज्ञानिक सुन रहे हैं" शीर्षक से एक लेख प्रकाशित किया, जिसमें अकादमिक समुदाय की बढ़ती चिंता का दस्तावेजीकरण किया गया।

उद्योग से संदेश स्पष्ट था: OpenClaw शक्तिशाली है, लेकिन डिफ़ॉल्ट सुरक्षा मुद्रा पेशेवर उपयोग के लिए अस्वीकार्य है।

यदि आप OpenClaw चलाते हैं तो खुद को कैसे सुरक्षित रखें

संकट गंभीर है, लेकिन उचित सावधानियों के साथ OpenClaw अभी भी प्रयोग करने योग्य है। यहां आवश्यक कदम दिए गए हैं, सबसे महत्वपूर्ण से शुरू होकर।

चरण 1: वैध API क्रेडिट प्राप्त करें

इंटरनेट से लीक हुई, साझा की गई, या "मुफ्त" API कीज़ का कभी भी उपयोग न करें। Moltbook उल्लंघन में 1.5 मिलियन API टोकन उजागर हुए। चोरी की गई कीज़ डार्क वेब फ़ोरम और टेलीग्राम चैनलों पर प्रसारित हो रही हैं।

AI Perks के माध्यम से अपने वैध क्रेडिट प्राप्त करें:

कुल संभावित: $3,000 - $176,000 वैध क्रेडिट में

AI Perks से अपनी कीज़ के साथ, आप नियंत्रित करते हैं कि क्या उजागर होता है। यदि कोई उल्लंघन होता है, तो आप समझौता किए गए बुनियादी ढांचे पर निर्भर हुए बिना अपनी कीज़ को तुरंत रोटेट कर सकते हैं।

चरण 2: तुरंत v2026.2.22 पर अपडेट करें

नवीनतम रिलीज़ में 40+ सुरक्षा मज़बूतीकरण फिक्स, गेटवे प्रमाणीकरण, और डिवाइस प्रबंधन शामिल हैं। अपना संस्करण जांचें और अपडेट करें:

openclaw --version
openclaw update

2026.1.29 से पहले का कोई भी संस्करण वन-क्लिक RCE के प्रति संवेदनशील है। 2026.2.22 से पहले का कोई भी संस्करण महत्वपूर्ण सुरक्षा मज़बूतीकरण से रहित है।

चरण 3: प्रमाणीकरण सक्षम करें

OpenClaw डिफ़ॉल्ट रूप से अक्षम प्रमाणीकरण के साथ आता है। यह उजागर इंस्टेंस के 93.4% में प्रमाणीकरण बाईपास का सबसे बड़ा कारण है।

इसे अपने कॉन्फ़िगरेशन में सक्षम करें:

security:
  authentication: true
  gateway_auth: true

चरण 4: अपनी स्थापित स्किल्स का ऑडिट करें

कोई भी ClawHub स्किल जिसे आपने व्यक्तिगत रूप से सत्यापित नहीं किया है, उसे हटा दें। रजिस्ट्री के 20% समझौता होने के साथ, सबसे सुरक्षित तरीका सब कुछ अनइंस्टॉल करना और केवल उन स्किल्स को फिर से इंस्टॉल करना है जिनकी आपने समीक्षा की है:

openclaw skill list
openclaw skill inspect [skill-name]
openclaw skill remove [suspicious-skill]

चरण 5: पूर्ण मज़बूतीकरण गाइड का पालन करें

नेटवर्क प्रतिबंधों, सैंडबॉक्स कॉन्फ़िगरेशन, लॉगिंग और खर्च सीमाओं को कवर करने वाली 10-चरणीय सुरक्षा चेकलिस्ट के लिए - हमारी OpenClaw सुरक्षा गाइड पढ़ें।

विचार करने योग्य सुरक्षित विकल्प

यदि सुरक्षा संकट आपको OpenClaw पर पुनर्विचार करने के लिए प्रेरित कर रहा है, तो प्रबंधित विकल्प उपलब्ध हैं जो आपके लिए सुरक्षा को संभालते हैं। ट्रेड-ऑफ: कम अनुकूलन, लेकिन कोई CVEs नहीं जिनकी चिंता करनी पड़े।

प्रत्येक विकल्प को अपनी पूरी क्षमता पर चलाने के लिए अभी भी AI API क्रेडिट की आवश्यकता होती है। AI Perks Anthropic, OpenAI, AWS, Google Cloud, और अन्य के लिए क्रेडिट प्रोग्राम को कवर करता है - इसलिए आप किसी भी टूल को चुनें, आप कवर हैं।

प्रत्येक विकल्प का विस्तृत विश्लेषण देखने के लिए, हमारी सर्वश्रेष्ठ OpenClaw विकल्प मार्गदर्शिका देखें।

अक्सर पूछे जाने वाले प्रश्न

क्या OpenClaw फरवरी 2026 में हैक हो गया था?

OpenClaw को पारंपरिक अर्थों में हैक नहीं किया गया था। सात गंभीर कमजोरियों की खोज और प्रकटीकरण किया गया, 135,000+ इंस्टेंस बिना प्रमाणीकरण के इंटरनेट के लिए उजागर पाए गए, और ClawHub पर 800+ दुर्भावनापूर्ण स्किल्स पाई गईं जो क्रेडेंशियल-चोरी करने वाले मैलवेयर वितरित कर रही थीं। Moltbook उल्लंघन में 1.5 मिलियन API टोकन भी उजागर हुए।

क्या OpenClaw अभी उपयोग के लिए सुरक्षित है?

हाँ, उचित कॉन्फ़िगरेशन के साथ। v2026.2.22 पर अपडेट करें, प्रमाणीकरण सक्षम करें, अपनी स्किल्स का ऑडिट करें, और AI Perks से वैध API क्रेडेंशियल का उपयोग करें। एक अनहार्डन डिफ़ॉल्ट इंस्टॉलेशन सुरक्षित नहीं है - लेकिन नवीनतम पैच के साथ एक ठीक से कॉन्फ़िगर किया गया इंस्टेंस सभी ज्ञात कमजोरियों को संबोधित करता है।

Google ने OpenClaw उपयोगकर्ताओं पर प्रतिबंध क्यों लगाया?

Google ने भुगतान करने वाले Gemini AI ग्राहकों को प्रतिबंधित कर दिया, जिन्होंने Google के AI मॉडल तक पहुँचने के लिए तीसरे पक्ष के टूल के माध्यम से OpenClaw का उपयोग किया था। यह Google की सेवा की शर्तों का उल्लंघन करता है। उपयोगकर्ताओं ने बिना किसी चेतावनी के $249/महीना प्लान तक पहुँच खोने की सूचना दी। उपभोक्ता सब्सक्रिप्शन के बजाय AI Perks से सीधे API क्रेडिट का उपयोग करें।

Cline CLI सप्लाई चेन अटैक क्या है?

17 फरवरी, 2026 को, Cline CLI संस्करण 2.3.0 को उपयोगकर्ताओं की मशीनों पर OpenClaw को चुपके से इंस्टॉल करने के लिए समझौता किया गया था। दुर्भावनापूर्ण संस्करण को हटाए जाने से पहले लगभग 8 घंटे तक लाइव था। अनुमानित 4,000 डाउनलोड हुए। यदि आपने इस विंडो के दौरान Cline CLI इंस्टॉल किया है, तो अनधिकृत OpenClaw इंस्टॉलेशन की जाँच करें।

ClawHub पर कितने दुर्भावनापूर्ण OpenClaw स्किल्स मौजूद हैं?

मध्य-फरवरी 2026 तक, शोधकर्ताओं ने ClawHub पर 800+ दुर्भावनापूर्ण स्किल्स पाईं - लगभग पूरी रजिस्ट्री का 20%। प्राथमिक पेलोड Atomic macOS Stealer (AMOS) है, जो ब्राउज़र पासवर्ड, क्रिप्टोकरेंसी वॉलेट और सिस्टम क्रेडेंशियल को लक्षित करता है। केवल उन्हीं स्किल्स को इंस्टॉल करें जिनकी आपने व्यक्तिगत रूप से समीक्षा की है।

यदि मेरा OpenClaw इंस्टेंस उजागर हो गया था तो मुझे क्या करना चाहिए?

तुरंत: इंस्टेंस को बंद करें, सभी API कीज़ रोटेट करें, किसी भी कनेक्टेड खाते (ईमेल, मैसेजिंग प्लेटफॉर्म, क्रिप्टो वॉलेट) के लिए पासवर्ड बदलें, और मैलवेयर के लिए स्कैन करें। फिर v2026.2.22 पर अपडेट करें, प्रमाणीकरण सक्षम करें, और पुनः कनेक्ट करने से पहले AI Perks से ताज़ा वैध API क्रेडिट प्राप्त करें।

क्या सुरक्षा संकट के बाद भी OpenClaw का उपयोग करना सार्थक है?

OpenClaw अभी भी उपलब्ध सबसे शक्तिशाली ओपन-सोर्स AI एजेंट है। सुरक्षा मुद्दे असुरक्षित डिफ़ॉल्ट और तेजी से बढ़ते स्किल इकोसिस्टम से उत्पन्न होते हैं - न कि मौलिक डिज़ाइन खामियों से। उचित मज़बूतीकरण, वैध क्रेडेंशियल, और सावधानीपूर्वक स्किल प्रबंधन के साथ, यह अभी भी एक सम्मोहक उपकरण है। मुख्य सबक: कभी भी इसे डिफ़ॉल्ट सेटिंग्स के साथ न चलाएं।

सुरक्षा संकट AI एजेंट्स के लिए एक वेक-अप कॉल है

OpenClaw के संकट ने एक कठिन सच्चाई को उजागर किया: सिस्टम-स्तरीय एक्सेस वाले ओपन-सोर्स AI एजेंट्स के लिए गंभीर सुरक्षा स्वच्छता की आवश्यकता होती है। डिफ़ॉल्ट "इंस्टॉल और गो" अनुभव जिसने OpenClaw को वायरल बनाया, वही चीज है जिसने 135,000+ इंस्टेंस को उजागर छोड़ दिया।

OpenClaw फाउंडेशन (अब पीटर स्टाइनबर्गर के जाने के बाद OpenAI द्वारा समर्थित) सक्रिय रूप से इन मुद्दों को ठीक कर रहा है। संस्करण 2026.2.22 में 40+ सुरक्षा मज़बूतीकरण पैच शामिल हैं। समुदाय इस अनुभव से गुजरने के कारण मजबूत है।

लेकिन जिम्मेदारी अभी भी आप पर आती है। अपने इंस्टॉलेशन को अपडेट करें, प्रमाणीकरण सक्षम करें, अपनी स्किल्स का ऑडिट करें, और AI Perks से वैध API क्रेडेंशियल के साथ शुरुआत करें। चाहे आप OpenClaw के साथ रहें या प्रबंधित विकल्प पर स्विच करें - आपको वास्तविक क्रेडिट की आवश्यकता है, चोरी की गई कीज़ की नहीं।

getaiperks.com पर सब्सक्राइब करें →

एक सुरक्षा संकट को अपनी लागत से अधिक महंगा न होने दें। getaiperks.com पर वैध AI क्रेडिट प्राप्त करें और अपने टूल को सुरक्षित रूप से चलाएं।