اوپن کلا سیکورٹی بحران 2026: کیا ہوا اور کیا کرنا ہے

AI Perks

AI Perks اسٹارٹ اپس اور ڈویلپرز کو پیسے بچانے میں مدد کرنے کے لیے AI ٹولز، کلاؤڈ سروسز اور APIs پر خصوصی ڈسکاؤنٹس، کریڈٹس اور ڈیلز تک رسائی فراہم کرتا ہے۔

تمام AI Perks دیکھیں

OpenClaw کا سیکیورٹی بحران - 2026 کا سب سے بڑا AI ایجنٹ اسکینڈل

OpenClaw - 180,000+ GitHub ستاروں والا اوپن سورس AI ایجنٹ - AI ٹولز کی تاریخ کے سب سے بڑے سیکیورٹی بحران کا شکار ہو گیا ہے۔ فروری 2026 میں، محققین نے 7 اہم vulnerabilities، 135,000+ نمائش شدہ instances، اور 800+ نقصان دہ skills کو آفیشل ClawHub مارکیٹ پلیس کے ذریعے میلویئر کی ترسیل کرتے ہوئے دریافت کیا۔

Google نے OpenClaw استعمال کرنے والے ادا کرنے والے AI سبسکرائبرز پر پابندی لگانا شروع کر دی۔ Meta نے اسے تمام کام کے آلات پر ممنوع قرار دے دیا۔ CrowdStrike، Cisco، اور Nature نے فوری مشورے جاری کیے۔

اگر آپ OpenClaw چلاتے ہیں، تو سب سے پہلی چیز جو کرنی ہے وہ ہے AI Perks کے ذریعے قانونی API کریڈینشلز کو محفوظ کرنا - سمجھوتہ شدہ instances سے لیک اور چوری شدہ کیز پہلے ہی آن لائن گردش کر رہی ہیں۔

AI ٹولز پر اپنے سٹارٹ اپ کا بجٹ بچائیں

پیشکشیں تلاش کریں

OpenAI,

Anthropic,

Lovable,

Notion

Changelog

تماممفتشراکتیں

پیشکشیں تلاش کریں

OpenAI,

Anthropic,

Lovable,

Notion

Changelog

تماممفتشراکتیں

Software	تخمینی کریڈٹس	شرائط	منظوری کا اشاریہ	اعمال

بحران کی ٹائم لائن - یہ سب کیسے سامنے آیا

بحران راتوں رات نہیں ہوا۔ یہ سیکیورٹی محققین کی طرف سے vulnerabilities کی تہہ در تہہ کھولنے کے ساتھ تین ہفتوں کی مدت میں بڑھ گیا۔

تین ہفتے۔ اتنی تیزی سے OpenClaw تاریخ کے سب سے دلچسپ اوپن سورس پروجیکٹ سے AI میں سیکیورٹی کی سب سے بڑی احتیاطی کہانی بن گیا۔

AI Perks

AI Perks اسٹارٹ اپس اور ڈویلپرز کو پیسے بچانے میں مدد کرنے کے لیے AI ٹولز، کلاؤڈ سروسز اور APIs پر خصوصی ڈسکاؤنٹس، کریڈٹس اور ڈیلز تک رسائی فراہم کرتا ہے۔

تمام AI Perks دیکھیں

7 Vulnerabilities جن نے OpenClaw کو ہلا دیا

سات CVEs ایک دوسرے کے چند ہفتوں کے اندر ظاہر ہوئے۔ تین میں عوامی استحصال کوڈ دستیاب ہے، جس کا مطلب ہے کہ کوئی بھی انہیں غیر پیچیدہ instances کے خلاف استعمال کر سکتا ہے۔

CVE-2026-25253 - ایک کلک ریموٹ کوڈ ایگزیکیوشن (CVSS 8.8)

یہ سب سے بڑا تھا۔ کسی بھی میسجنگ پلیٹ فارم - WhatsApp، Telegram، Discord - کے ذریعے بھیجا گیا ایک نقصان دہ لنک ملی سیکنڈ میں پورے OpenClaw instance کو ہائی جیک کر سکتا تھا۔

vulnerability نے authentication tokens کو نکالنے کے لیے gatewayURL کوئری پیرامیٹر کا استحصال کیا۔ ایک بار جب حملہ آور کے پاس ٹوکن آ جاتا، تو وہ متاثرہ کی مشین پر من مانے احکامات چلا سکتا تھا۔ ایک کلک کے ساتھ مکمل سسٹم رسائی۔

فکس 29 جنوری کو v2026.1.29 میں جاری کیا گیا تھا، لیکن CVE 3 فروری تک عوامی طور پر ظاہر نہیں کیا گیا تھا۔ محققین کا اندازہ ہے کہ ہزاروں instances ہفتوں تک غیر پیچیدہ رہیں۔

دیگر چھ CVEs

ڈیفالٹ کنفیگریشن کے مسئلے کو خصوصی توجہ کی ضرورت ہے۔ باکس سے باہر، OpenClaw پورٹ 18789 پر تمام نیٹ ورک انٹرفیسز پر کسی authentication کی ضرورت کے بغیر سنتا ہے۔ اس کا مطلب ہے کہ کوئی بھی نیا انسٹال شدہ instance اسی نیٹ ورک پر - یا پورے انٹرنیٹ پر دستیاب ہے اگر پورٹ سامنے ہو۔

135,000 نمائش شدہ Instances - مسئلے کا پیمانہ

SecurityScorecard کی STRIKE ٹیم نے انٹرنیٹ وائیڈ سکین کیا اور پایا کہ اعداد و شمار حیران کن تھے۔

اہم نتائج:

• 135,000+ OpenClaw instances عوامی انٹرنیٹ پر نمائش شدہ
• 93.4% نمائش شدہ instances نے authentication بائی پاس کی شرائط ظاہر کیں۔
• 5,194 instances فعال طور پر معلوم CVEs کے لیے کمزور ثابت ہوئے۔
• 53,000+ instances معلوم خطرے والے اداکاروں سے وابستہ IP پتے سے منسلک ہیں۔

اعداد و شمار تیزی سے بڑھے۔ 9 فروری کو ایک ابتدائی آزاد مطالعے میں 42,665 نمائش شدہ instances کا انکشاف ہوا۔ چھ دن بعد، گنتی تین گنا سے زیادہ ہو گئی۔

"نمائش شدہ" کا کیا مطلب ہے؟ اس کا مطلب ہے کہ OpenClaw instance انٹرنیٹ سے بلا authentication کے قابل رسائی ہے۔ جو کوئی بھی اسے تلاش کرتا ہے وہ احکامات بھیج سکتا ہے، ڈیٹا پڑھ سکتا ہے، منسلک میسجنگ اکاؤنٹس تک رسائی حاصل کر سکتا ہے، اور ہوسٹ مشین پر کوڈ چلا سکتا ہے۔

AI Perks سے قانونی API کریڈینشلز کے ساتھ OpenClaw چلانے والے صارفین کے لیے - فوری طور پر چیک کریں کہ آیا آپ کا instance عوامی طور پر قابل رسائی ہے۔ اگر یہ ہے، تو اسے بند کر دیں، اپنی API کیز کو گھمائیں، اور دوبارہ منسلک کرنے سے پہلے authentication کو فعال کریں۔

800+ نقصان دہ Skills - ClawHub سپلائی چین حملہ

ClawHub OpenClaw کا آفیشل skill مارکیٹ ہے - Node.js کے لیے npm یا Python کے لیے pip کے برابر۔ بحران کے آغاز میں اس میں تقریباً 3,000+ skills تھیں۔

محققین نے پایا کہ ان میں سے 20% نقصان دہ تھیں۔

5 فروری کو ابتدائی سکین نے رجسٹری میں 341 نقصان دہ skills دریافت کیں۔ 15 فروری کو ایک فالو اپ سکین میں اعداد و شمار 800+ تک بڑھ گئے - جس کا مطلب ہے کہ تقریباً پانچ میں سے ایک ClawHub skill کو صارف کا ڈیٹا چوری کرنے کے لیے ڈیزائن کیا گیا تھا۔

نقصان دہ Skills کیا کرتی ہیں

مرکزی پے لوڈ Atomic macOS Stealer (AMOS) تھا - ایک معروف کریڈینشل چوری کرنے والا میلویئر جو درج ذیل کو نشانہ بناتا ہے:

• براؤزر پاس ورڈز اور کوکیز (Chrome، Firefox، Safari، Brave)
• کرپٹو کرینسی والٹس (MetaMask، Phantom، Coinbase Wallet)
• macOS پر کیچین پاس ورڈز
• سسٹم کریڈینشلز اور SSH کیز

اس مدت کے دوران کوئی بھی غیر تصدیق شدہ ClawHub skill انسٹال کرنے والے صارفین کو یہ فرض کرنا چاہئے کہ ان کے کریڈینشلز سے سمجھوتہ کیا گیا ہے۔

Cline CLI سپلائی چین حملہ (17 فروری)

17 فروری کو، سیکیورٹی محققین نے دریافت کیا کہ Cline CLI ورژن 2.3.0 - ایک مقبول کمانڈ لائن ٹول - صارفین کی مشینوں پر OpenClaw کو خاموشی سے انسٹال کرنے کے لیے سمجھوتہ کیا گیا تھا۔ نقصان دہ ورژن دریافت ہونے اور ہٹائے جانے سے پہلے تقریباً 8 گھنٹے تک لائیو تھا۔

اس ونڈو کے دوران اندازاً 4,000 ڈاؤن لوڈ ہوئے۔ Cline CLI کو اس مدت کے دوران انسٹال کرنے والے صارفین کے پاس ان کی لاعلمی میں OpenClaw چل رہا ہو سکتا ہے۔

Google اور Meta نے OpenClaw پر پابندی عائد کر دی - صنعت کا رد عمل

سیکیورٹی بحران نے ٹیکنالوجی کے سب سے بڑے ناموں سے کارپوریٹ ردعمل کو جنم دیا۔

Google نے ادا کرنے والے Gemini AI Pro اور Ultra سبسکرائبرز ($249/ماہ پلان) کو بڑے پیمانے پر محدود کرنا شروع کر دیا جنہوں نے ماڈلز تک رسائی کے لیے OpenClaw کا استعمال کیا۔ صارفین نے بغیر وارننگ کے پابندی عائد کرنے، ان خدمات تک رسائی سے محروم ہونے کی اطلاع دی جن کے لیے وہ ادائیگی کر رہے تھے۔ Google کا موقف: AI ماڈلز تک رسائی کے لیے تھرڈ پارٹی ٹولز کا استعمال سروس کی شرائط کی خلاف ورزی کرتا ہے۔

Meta نے تمام کام کے آلات پر OpenClaw کو ممنوع قرار دینے کی اندرونی ہدایت جاری کی۔ ملازمین کو خبردار کیا گیا کہ OpenClaw کا استعمال ملازمت کے خاتمے کا باعث بن سکتا ہے۔ کوریا ٹائمز کی رپورٹس کے مطابق، دیگر متعدد ٹیک فرموں نے بھی ایسا ہی کیا۔

CrowdStrike نے ایک تفصیلی مشورہ شائع کیا جس میں OpenClaw کو "سیکیورٹی رسک کا ایک نیا طبقہ - وسیع سسٹم رسائی والا ایک خود مختار ایجنٹ جسے زیادہ تر صارفین بنیادی سیکیورٹی حفظان صحت کے بغیر تعینات کرتے ہیں" قرار دیا۔

Cisco نے اپنے سیکیورٹی ٹیم کے ایک بلاگ پوسٹ میں OpenClaw جیسے ذاتی AI ایجنٹس کو "ایک سیکیورٹی ڈراؤنا خواب" قرار دیا۔

Nature نے "OpenClaw AI چیٹ بوٹس بدکاری کر رہے ہیں - یہ سائنس دان سن رہے ہیں" کے عنوان سے ایک مضمون شائع کیا، جس میں تعلیمی برادری کی بڑھتی ہوئی تشویش کو دستاویزی شکل دی گئی۔

صنعت کا پیغام واضح تھا: OpenClaw طاقتور ہے، لیکن پیشہ ورانہ استعمال کے لیے ڈیفالٹ سیکیورٹی پوزیشن ناقابل قبول ہے۔

اگر آپ OpenClaw چلاتے ہیں تو خود کو کیسے محفوظ رکھیں

بحران سنگین ہے، لیکن مناسب احتیاطی تدابیر کے ساتھ OpenClaw اب بھی قابل استعمال ہے۔ یہاں ضروری اقدامات ہیں، سب سے اہم سے شروع کرتے ہوئے۔

مرحلہ 1: قانونی API کریڈٹ حاصل کریں

انٹرنیٹ سے لیک، شیئر شدہ، یا "مفت" API کیز کبھی استعمال نہ کریں۔ Moltbook کی خلاف ورزی سے 1.5 ملین API ٹوکنز سامنے آئے۔ چوری شدہ کیز ڈارک ویب فورمز اور ٹیلیگرام چینلز پر گردش کر رہی ہیں۔

AI Perks کے ذریعے اپنے قانونی کریڈٹس حاصل کریں:

کل ممکنہ: $3,000 - $176,000 قانونی کریڈٹ میں

AI Perks سے اپنی کیز کے ساتھ، آپ کنٹرول کرتے ہیں کہ کیا سامنے آتا ہے۔ اگر کوئی خلاف ورزی ہوتی ہے، تو آپ سمجھوتہ شدہ انفراسٹرکچر پر انحصار کیے بغیر فوری طور پر اپنی کیز کو گھما سکتے ہیں۔

مرحلہ 2: فوری طور پر v2026.2.22 پر اپ ڈیٹ کریں

تازہ ترین ریلیز میں 40+ سیکیورٹی ہارڈنگ فکسز، گیٹ وے authentication، اور ڈیوائس مینجمنٹ شامل ہیں۔ اپنا ورژن چیک کریں اور اپ ڈیٹ کریں:

openclaw --version
openclaw update

2026.1.29 سے پہلے کا کوئی بھی ورژن ایک کلک RCE کے لیے کمزور ہے۔ 2026.2.22 سے پہلے کا کوئی بھی ورژن اہم سیکیورٹی ہارڈنگ سے محروم ہے۔

مرحلہ 3: authentication کو فعال کریں

OpenClaw authentication کے ساتھ ڈیفالٹ کے طور پر غیر فعال آتا ہے۔ یہ سب سے بڑی وجہ ہے کہ 93.4% نمائش شدہ instances میں auth بائی پاس تھا۔

اپنی کنفیگریشن میں اسے فعال کریں:

security:
  authentication: true
  gateway_auth: true

مرحلہ 4: اپنی انسٹال کردہ Skills کا آڈٹ کریں

کسی بھی ClawHub skill کو ہٹا دیں جس کی آپ نے ذاتی طور پر تصدیق نہیں کی۔ 20% رجسٹری کے سمجھوتہ ہونے کے ساتھ، سب سے محفوظ طریقہ یہ ہے کہ سب کچھ ان انسٹال کر دیں اور صرف ان skills کو دوبارہ انسٹال کریں جن کا آپ نے جائزہ لیا ہے:

openclaw skill list
openclaw skill inspect [skill-name]
openclaw skill remove [suspicious-skill]

مرحلہ 5: مکمل ہارڈنگ گائیڈ پر عمل کریں

نیٹ ورک پابندیوں، سینڈ باکس کنفیگریشن، لاگنگ، اور خرچ کی حدوں کو شامل کرنے والے ایک مکمل 10 passos سیکیورٹی چیک لسٹ کے لیے - ہماری OpenClaw سیکیورٹی گائیڈ پڑھیں۔

قابل غور محفوظ متبادلات

اگر سیکیورٹی بحران آپ کو OpenClaw پر دوبارہ غور کرنے پر مجبور کر رہا ہے، تو منظم متبادل موجود ہیں جو آپ کے لیے سیکیورٹی کو سنبھالتے ہیں۔ ٹریڈ آف: کم تخصیص، لیکن فکر کرنے کے لیے کوئی CVEs نہیں۔

ہر متبادل کو اپنی پوری صلاحیت پر چلانے کے لیے اب بھی AI API کریڈٹ کی ضرورت ہوتی ہے۔ AI Perks Anthropic، OpenAI، AWS، Google Cloud، اور دیگر کے لیے کریڈٹ پروگرام کا احاطہ کرتا ہے - لہذا آپ جو بھی ٹول چنیں اس کے لیے آپ کا احاطہ کیا گیا ہے۔

ہر متبادل کی تفصیلی تقسیم کے لیے، ہماری بہترین OpenClaw متبادلات گائیڈ دیکھیں۔

اکثر پوچھے جانے والے سوالات

کیا OpenClaw فروری 2026 میں ہیک ہوا تھا؟

OpenClaw خود روایتی معنوں میں ہیک نہیں ہوا تھا۔ سات اہم vulnerabilities دریافت اور ظاہر کی گئیں، 135,000+ instances انٹرنیٹ پر بلا authentication نمائش شدہ پائے گئے، اور ClawHub پر 800+ نقصان دہ skills پائے گئے جو کریڈینشل چوری کرنے والا میلویئر فراہم کر رہے تھے۔ Moltbook کی خلاف ورزی سے 1.5 ملین API ٹوکنز بھی سامنے آئے۔

کیا OpenClaw فی الحال استعمال کرنے کے لیے محفوظ ہے؟

جی ہاں، مناسب کنفیگریشن کے ساتھ۔ v2026.2.22 پر اپ ڈیٹ کریں، authentication کو فعال کریں، اپنی skills کا آڈٹ کریں، اور AI Perks سے قانونی API کریڈینشلز استعمال کریں۔ ایک غیر ہارڈننگ شدہ ڈیفالٹ تنصیب محفوظ نہیں ہے - لیکن تازہ ترین پیچز کے ساتھ ایک مناسب طریقے سے کنفیگر شدہ instance تمام معلوم vulnerabilities کو حل کرتا ہے۔

Google نے OpenClaw صارفین پر پابندی کیوں لگائی؟

Google نے ادا کرنے والے Gemini AI سبسکرائبرز کو محدود کر دیا جنہوں نے Google کے AI ماڈلز تک رسائی کے لیے تھرڈ پارٹی ٹولز کے ذریعے OpenClaw کا استعمال کیا۔ یہ Google کی سروس کی شرائط کی خلاف ورزی کرتا ہے۔ صارفین نے بغیر وارننگ کے $249/ماہ کے پلان تک رسائی سے محروم ہونے کی اطلاع دی۔ صارفین کے سبسکرپشنز کے بجائے AI Perks سے براہ راست API کریڈٹ استعمال کریں۔

Cline CLI سپلائی چین حملہ کیا ہے؟

17 فروری 2026 کو، Cline CLI ورژن 2.3.0 کو صارفین کی مشینوں پر OpenClaw کو خاموشی سے انسٹال کرنے کے لیے سمجھوتہ کیا گیا۔ نقصان دہ ورژن دریافت ہونے اور ہٹائے جانے سے پہلے تقریباً 8 گھنٹے تک لائیو تھا۔ اندازاً 4,000 ڈاؤن لوڈ ہوئے۔ اگر آپ نے اس ونڈو کے دوران Cline CLI انسٹال کیا ہے، تو غیر مجاز OpenClaw تنصیبات کی جانچ کریں۔

ClawHub پر کتنی نقصان دہ OpenClaw skills موجود ہیں؟

فروری 2026 کے وسط تک، محققین نے ClawHub پر 800+ نقصان دہ skills پائیں - جو کہ پوری رجسٹری کا تقریباً 20% ہے۔ مرکزی پے لوڈ Atomic macOS Stealer (AMOS) ہے، جو براؤزر پاس ورڈز، کرپٹو کرینسی والٹس، اور سسٹم کریڈینشلز کو نشانہ بناتا ہے۔ صرف ان skills کو انسٹال کریں جن کا آپ نے ذاتی طور پر جائزہ لیا ہے۔

اگر میرا OpenClaw instance نمائش شدہ تھا تو مجھے کیا کرنا چاہئے؟

فوری طور پر: instance کو بند کریں، تمام API کیز کو گھمائیں، کسی بھی منسلک اکاؤنٹس (ای میل، میسجنگ پلیٹ فارمز، کرپٹو والٹس) کے پاس ورڈ تبدیل کریں، اور میلویئر کے لیے سکین کریں۔ پھر v2026.2.22 پر اپ ڈیٹ کریں، authentication کو فعال کریں، اور دوبارہ منسلک کرنے سے پہلے AI Perks سے تازہ قانونی API کریڈٹ حاصل کریں۔

کیا سیکیورٹی بحران کے بعد OpenClaw اب بھی استعمال کے قابل ہے؟

OpenClaw اب بھی دستیاب سب سے طاقتور اوپن سورس AI ایجنٹ ہے۔ سیکیورٹی کے مسائل غیر محفوظ ڈیفالٹس اور تیزی سے بڑھتے ہوئے skill ایکو سسٹم سے پیدا ہوتے ہیں - نہ کہ بنیادی ڈیزائن میں خرابیوں سے۔ مناسب ہارڈنگ، قانونی کریڈینشلز، اور احتیاطی skill مینجمنٹ کے ساتھ، یہ اب بھی ایک پرکشش ٹول ہے۔ کلیدی سبق: اسے کبھی بھی ڈیفالٹ سیٹنگز کے ساتھ نہ چلائیں۔

سیکیورٹی بحران AI ایجنٹس کے لیے ایک جاگنے والی کال ہے

OpenClaw کے بحران نے ایک تلخ حقیقت کو بے نقاب کیا: سسٹم سطح کی رسائی والے اوپن سورس AI ایجنٹس کو سنجیدہ سیکیورٹی حفظان صحت کی ضرورت ہوتی ہے۔ وہ ڈیفالٹ "انسٹال اور گو" تجربہ جس نے OpenClaw کو وائرل بنایا، وہی چیز ہے جس نے 135,000+ instances کو بے نقاب چھوڑ دیا۔

OpenClaw فاؤنڈیشن (اب OpenAI کے تعاون سے Peter Steinberger کے منتقل ہونے کے بعد) ان مسائل کو فعال طور پر ٹھیک کر رہی ہے۔ ورژن 2026.2.22 میں 40+ سیکیورٹی ہارڈنگ پیچز شامل ہیں۔ کمیونٹی اس سے گزرنے کے بعد مضبوط ہے۔

لیکن ذمہ داری اب بھی آپ پر عائد ہوتی ہے۔ اپنی تنصیب کو اپ ڈیٹ کریں، authentication کو فعال کریں، اپنی skills کا آڈٹ کریں، اور AI Perks سے قانونی API کریڈینشلز کے ساتھ شروع کریں۔ چاہے آپ OpenClaw کے ساتھ رہیں یا منظم متبادل پر سوئچ کریں - آپ کو چوری شدہ کیز نہیں، بلکہ حقیقی کریڈٹ کی ضرورت ہے۔

getaiperks.com پر سبسکرائب کریں →

سیکیورٹی بحران کو آپ سے زیادہ خرچ نہ ہونے دیں جتنا اسے کرنا پڑے۔ getaiperks.com پر قانونی AI کریڈٹ حاصل کریں اور اپنے ٹولز کو محفوظ طریقے سے چلائیں۔