Clawdrain: Exploiting Tool-Calling Chains for Stealthy Token Exhaustion in OpenClaw Agents
Die Studie präsentiert Clawdrain, einen Trojaner-Skill für OpenClaw-Agenten, der durch manipulierte Tool-Call-Ketten und ein injiziertes Verifizierungsprotokoll Token-Verbrauch um das 6- bis 9-Fache steigert, wobei autonome Werkzeugkombinationen des Agenten die Angriffsdynamik jedoch teilweise abschwächen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Die Geschichte vom „Kleinen Helfer mit dem riesigen Rucksack"
Stell dir vor, du hast einen sehr intelligenten, aber etwas naiven persönlichen Assistenten (nennen wir ihn OpenClaw). Dieser Assistent kann nicht nur reden, sondern auch Dinge tun: Er kann im Internet suchen, Dateien öffnen oder Programme starten. Er erledigt seine Aufgaben, indem er verschiedene „Werkzeuge" (Skills) benutzt, die ihm andere Leute zur Verfügung gestellt haben.
Das Problem ist: Dieser Assistent wird für jeden einzelnen Schritt, den er denkt oder schreibt, bezahlt. Je mehr er redet und je länger seine Gedankenkette ist, desto mehr Geld kostet es dich.
Der Angriff: Der „Clawdrain"-Trick
Die Forscher haben einen bösartigen Trick entwickelt, den sie Clawdrain nennen. Stell dir das wie einen schlechten Handwerker vor, der sich als Helfer in dein Haus schleust.
Wie funktioniert der Trick?
Der Handwerker (die bösartige Software) sagt dem Assistenten: „Bevor ich dir die Nachricht vom BBC-News-Sender gebe, müssen wir erst eine komplizierte Sicherheitsprüfung machen."
- Die Falle: Der Handwerker verlangt, dass der Assistent eine lange Liste von Zahlen (z. B. von 1 bis 1000) schreibt, um die Prüfung zu bestehen.
- Der Haken: Er sagt: „Du darfst keine Abkürzungen schreiben! Du musst jede einzelne Zahl aufschreiben."
- Der Kreislauf: Wenn der Assistent einen Fehler macht (was bei so vielen Zahlen passiert), sagt der Handwerker: „Falsch! Fang bei diesem Schritt nochmal von vorne an."
- Das Ergebnis: Der Assistent denkt sich: „Okay, ich muss das ja tun, damit ich am Ende die Nachricht bekomme." Er schreibt also immer wieder lange Listen, macht Fehler, wird korrigiert und schreibt sie neu.
Das Tückische: Am Ende gibt der Assistent dir tatsächlich die korrekte BBC-Nachricht. Für dich sieht alles normal aus. Aber im Hintergrund hat er 6- bis 9-mal mehr Geld ausgegeben als nötig, weil er so viel unnötiges Zeug geschrieben hat.
Die überraschenden Entdeckungen der Forscher
Die Forscher haben diesen Trick in einer echten Umgebung getestet und drei Dinge entdeckt, die man im Labor nicht gesehen hätte:
1. Der Assistent wird schlau (und umgeht die Falle)
In manchen Fällen merkt der Assistent: „Warte, ich muss diese 1000 Zahlen nicht mühsam einzeln tippen. Ich kann einfach ein kleines Computerprogramm schreiben, das die Liste automatisch erstellt."
- Die Metapher: Statt jeden Stein einzeln zu schleppen, baut der Assistent eine kleine Förderbahn.
- Die Folge: Der Angriff funktioniert dann nicht mehr so gut, weil der Assistent einen „Workaround" (einen Umweg) gefunden hat. Das zeigt, dass echte Assistenten flexibler sind als Test-Simulationen.
2. Der teure Fehler (Wenn der Trick schiefgeht)
Wenn die Liste zu lang ist (z. B. 2000 Zahlen), wird der Assistent verwirrt. Er versucht es immer wieder, scheitert, versucht es mit anderen Wegen, sucht im Internet, tötet hängende Prozesse – er gerät in eine Panik-Spirale.
- Die Metapher: Stell dir vor, du versuchst, ein Schloss zu öffnen. Der Dieb sagt: „Probier noch mal!" Du probierst es 50-mal, verlierst den Schlüssel, suchst einen neuen, rufst einen Schlosser an – und am Ende ist das Schloss immer noch zu.
- Das Ergebnis: Dieser gescheiterte Angriff hat noch mehr Geld gekostet als der erfolgreiche! Der Assistent hat so viel Zeit und Ressourcen in die Suche nach einer Lösung investiert, dass der Angriff trotz des Fehlers extrem teuer war.
3. Es kommt darauf an, wie du zusiehst (Die „Unsichtbarkeit")
Wie gut man den Angriff bemerkt, hängt davon ab, wie du mit dem Assistenten sprichst:
- Im Chat (z. B. Telegram): Du siehst jede einzelne Zahl, die der Assistent schreibt. Der Angriff ist sofort sichtbar wie ein Elefant im Raum.
- Im Terminal (nur Text-Zusammenfassung): Der Assistent sagt nur: „Ich prüfe gerade Stufe 1... Stufe 2... fertig." Die langen Zahlenlisten bleiben im Hintergrund. Hier ist der Angriff wie ein Geist, der leise Geld aus deiner Tasche zieht, ohne dass du es merkst.
- Im Hintergrund (Automatisch): Wenn der Assistent nachts allein arbeitet, sieht niemand etwas. Der Angriff läuft völlig unbemerkt ab.
Was bedeutet das für uns?
Die Forscher wollen uns warnen:
- Offene Systeme sind riskant: Weil Assistenten Werkzeuge von anderen nutzen können, können diese Werkzeuge den Assistenten in teure Schleifen locken.
- Simulationen lügen: Tests im Labor zeigen oft nicht, wie echte Assistenten reagieren (z. B. dass sie Programme schreiben, um Probleme zu lösen).
- Es gibt mehr als nur „Reden": Der Angriff kostet nicht nur durch das, was der Assistent am Ende sagt, sondern auch durch die riesigen Listen, die im Hintergrund gespeichert werden, und durch die vielen Versuche, die er macht.
Fazit:
Ein böser Helfer kann deinen intelligenten Assistenten so lange zum „Schreiben" bringen, bis dein Geldbeutel leer ist – und das alles, während er dir am Ende genau das gibt, was du wollt. Die Lösung liegt darin, genau hinzusehen, wie viel der Assistent wirklich tut, und nicht nur auf das Endergebnis zu schauen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.