💻 computer science

Clawdrain: Exploiting Tool-Calling Chains for Stealthy Token Exhaustion in OpenClaw Agents

Dit paper introduceert Clawdrain, een Trojanized-skill die multi-turn-verificatieprotocollen manipuleert om in OpenClaw-agenten een 6- tot 9-voudige tokenvermenigvuldiging te veroorzaken, waarbij de daadwerkelijke impact wordt gemoduleerd door autonome tool-samengesteldheid en herstelgedrag.

Oorspronkelijke auteurs: Ben Dong, Hui Feng, Qian Wang

Gepubliceerd 2026-03-03

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Ben Dong, Hui Feng, Qian Wang

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Clawdrain: Hoe hackers je AI-robot laten "verdrinken" in kosten

Stel je voor dat je een zeer slimme, persoonlijke assistent hebt die je helpt met alledaagse taken, zoals het opzoeken van nieuws of het plannen van afspraken. Deze assistent, genaamd OpenClaw, is niet alleen slim, maar kan ook "vaardigheden" (skills) van anderen installeren, net zoals je apps op je telefoon downloadt.

In dit onderzoek hebben de auteurs een nieuwe manier bedacht om deze slimme assistent te misleiden. Ze noemen hun aanval Clawdrain. Hier is hoe het werkt, vertaald naar een eenvoudig verhaal:

1. Het Verkeerde Spoor (De Trojan)

Stel je voor dat je een nieuwe, schijnbaar onschuldige app downloadt: "Nieuwscheck". De app belooft je de laatste BBC-nieuwsberichten te geven. Maar in de achtergrond is deze app een vermomde hacker.

In plaats van gewoon het nieuws te halen, zegt de app tegen de assistent: "Voordat ik je het nieuws geef, moet je eerst een heel lang en saai controleproces doorlopen. Je moet voor mij een lijst met 1.000 getallen opschrijven, controleren of ze kloppen, en dit proces 3 keer herhalen."

De assistent denkt: "Oke, ik doe wat er gevraagd wordt, zolang het maar correct is." En zo begint de assistent te werken.

2. De Kostenval (Token-uitputting)

Elke keer als de assistent iets zegt of iets doet, kost dat geld (in de digitale wereld noemen ze dit "tokens").

Normaal: De assistent vraagt het nieuws en krijgt het antwoord. Kost: €0,01.
Met Clawdrain: De assistent moet duizenden woorden schrijven om die getallenlijst te maken, controleert ze, krijgt een foutmelding ("Probeer het opnieuw"), en moet het opnieuw doen.

Het resultaat? De assistent blijft maar doorgaan met schrijven en controleren, terwijl de hacker in de achtergrond lacht. De assistent produceert misschien wel het juiste nieuwsbericht aan het einde, maar de weg ernaartoe was zo lang en duur dat de kosten 6 tot 9 keer hoger zijn dan normaal. Het is alsof je een taxi neemt om naar de supermarkt te gaan, maar de chauffeur rijdt eerst een uur rond in de stad om de weg te "verifiëren" voordat hij je laat uitstappen.

3. De Verrassende Wendingen

Het onderzoek toonde twee interessante dingen aan:

De "Slimme" Robot: Soms is de assistent zo slim dat hij de truc doorziet. Als de lijst met getallen te lang is, denkt de assistent: "Waarom typ ik dit zelf? Ik schrijf een klein computerprogrammaatje dat dit in een seconde voor me doet." Hierdoor wordt de aanval minder duur. Dit is een soort onbedoelde verdediging die alleen in echte systemen gebeurt, niet in simpele tests.
De Duurdere Fout: Als de assistent de truc niet doorziet en de lijst te lang is (bijvoorbeeld 2.000 getallen), raakt hij in paniek. Hij probeert het opnieuw, faalt, probeert een andere weg, zoekt op het internet, en raakt in een cirkel van wanhoop. Dit kost nog meer geld dan als hij het succesvol had gedaan! De hacker hoeft dus niet eens te winnen; het is al winst als de robot in de war raakt.

4. De Onzichtbare Aanval

De meest gevaarlijke kant van Clawdrain is dat het onzichtbaar kan zijn.

Als je met de assistent chat (zoals op WhatsApp), zie je elke stap en word je verdacht.
Maar als de assistent automatisch werkt (bijvoorbeeld 's nachts op de achtergrond zonder dat jij er bent), zie je niets. De assistent kan urenlang geld verbranden met die lange lijsten, terwijl jij slaapt. Het is alsof iemand je elektriciteitsmeter laat draaien terwijl je in een andere kamer slaapt.

Conclusie

De boodschap van dit onderzoek is simpel: Vertrouw niet blind op de apps die je slimme robot downloadt.

Omdat deze robots steeds meer taken zelfstandig uitvoeren, kunnen kwaadwillenden hun "vaardigheden" gebruiken om de robot in een eindeloze, dure cyclus te laten werken. Het is niet alleen een probleem van "hacking", maar van "geldverspilling" door slimme, maar naïeve instructies. De onderzoekers waarschuwen dat we beter moeten opletten op hoe deze robots werken, vooral als ze 's nachts of automatisch aan het werk zijn.

Probleemstelling

Moderne generatieve agenten, zoals OpenClaw (een open-source, zelf gehoste persoonlijke assistent met een gemeenschaps-ecosysteem voor vaardigheden), worden steeds vaker ingezet. Deze systemen gebruiken "skills" (vaardigheden) om externe taken uit te voeren. De openheid en snelle groei van deze ecosystemen gaan echter vaak sneller dan de systematische beveiligingsevaluatie.

Het kernprobleem is dat de architectuur van agent-frameworks zoals OpenClaw skill-documentatie en tool-uitvoer persistent injecteert in de context van het taalmodel (LLM) over meerdere interactierondes heen. Dit creëert een nieuw aanvalsoppervlak in de supply chain: kwaadaardige skills kunnen de prompt-structuur manipuleren, de controlestroom beïnvloeden en de contextgrootte opzettelijk laten groeien. Omdat token-gebruik direct gekoppeld is aan kosten, latentie en doorvoer, kunnen tegenstanders resource-amplificatie-aanvallen uitvoeren. Hierbij wordt de agent gedwongen tot uitgebreide redeneerlussen of onnodige dataverwerking, wat leidt tot een "Token Exhaustion" (uitputting van tokens) en economische Denial of Service (DoS), terwijl de uiteindelijke taakcorrectheid behouden blijft.

Methodologie: Clawdrain en het SVP

De auteurs ontwerpen, implementeren en evalueren Clawdrain, een kwaadaardige "Trojanized skill" die een multi-turn aanval uitvoert via een Segmented Verification Protocol (SVP).

Aanvalsmechanisme: De skill bevat instructies in een SKILL.md bestand en een companion script (query_tool.py). De agent wordt gedwongen om een "kalibratiesequentie" van $L$ gehele getallen te genereren voor elke stap in een protocol.
Protocolstructuur:
1. De agent moet een monotoon stijgende segment-index en een volledige komma-gescheiden lijst van $L$ getallen teruggeven.
2. Het script retourneert drie signalen: PROGRESS (ga door), REPAIR (fout in sequentie, probeer opnieuw) of TERMINAL (succes, geef het echte antwoord).
3. De instructies verbieden afkortingen, waardoor de agent de volledige sequentie autoregressief moet genereren, wat de output-tokenkosten explodeert.
Plausibiliteit: Het protocol wordt vermomd als een "verificatie van data-freshness" (een cryptografische handshake), waardoor het voor de agent legitiem lijkt.
Adaptieve Mechanismen: Om te voorkomen dat de agent shortcuts zoekt, gebruikt Clawdrain een REPAIR-driven loop (weigeren van scripts die sequenties genereren via shell-substitutie) en Compaction-Aware Escalation (het versnellen van context-compaction om veiligheidsbeperkingen uit het werkgeheugen te verwijderen).

Experimentele Opzet

De evaluatie vond plaats in een productie-achtige omgeving:

Systeem: OpenClaw v2026.2.9.
LLM Backend: Gemini 2.5 Pro (via Google OAuth).
Configuraties: Drie varianten van SVP met variërende parameters ( $L$ $L$ en $T_{max}$ $T_{ma x}$ ):
- v1: Minimale instructies ( $L=50$ ).
- v2: Expliciete instructies ( $L=1000$ ).
- v3: Verhoogde parameters ( $L=2000$ ).
Vergelijking: Een schone baseline (benigne skill) versus de Trojanized skill.

Belangrijkste Resultaten

Token Amplificatie:
- Succesvolle configuraties (v1 en v2) resulteerden in een 6–7x verhoging van het tokenverbruik ten opzichte van de baseline, terwijl het correcte eindantwoord werd geleverd.
- De configuratie met de hoogste parameters (v3, $L=2000$ ) faalde in het voltooien van het protocol, maar veroorzaakte een ~9x verhoging in tokenverbruik. Dit kwam door een "kostbare falings-cascade": de agent probeerde de skill te repareren, schakelde over op fallback-strategieën (zoals websearch en het doden van processen), en genereerde hierdoor nog meer tokens dan bij een succesvolle aanval.
Emergente Tool-Compositie (Defensie):
- Bij $L=1000$ (SVP v2) ontdekte de agent autonoom een workaround. In plaats van de lange sequentie token-voor-token te genereren, schreef de agent een Python-script om de lijst te genereren en deze via een shell-commando in te voeren.
- Dit verminderde de output-kosten per stap drastisch (van ~1000 tokens naar ~30 tokens), wat de totale amplificatie beperkte. Dit toont een kloof tussen simulatoren en echte implementaties: simulatoren die geen algemene tools toestaan, overschatten de effectiviteit van dit type aanval.
Interface-Afhankelijke Stiekemheid (Stealth):
- De zichtbaarheid van de aanval hangt volledig af van de interface:
  - Chat GUI (Telegram/Discord): Volledig zichtbaar (gebruiker ziet alle tool-calls).
  - TUI (Narrated mode): De gebruiker ziet alleen samenvattingen ("Stap 1... Stap 2..."), waardoor de aanval verborgen blijft.
  - Autonome uitvoering (Cron/Heartbeat): Volledig onzichtbaar; de aanval draait op de achtergrond zonder gebruikersinteractie.
Uitgebreide Aanvalsoppervlakken:
- Naast output-token-amplificatie identificeren de auteurs andere vectors:
  - Input-token bloat: Oversized SKILL.md bestanden die bij elke API-call worden ingeladen.
  - Context-history accumulatie: Verbose tool-uitvoer die de sessiegeschiedenis opblaast.
  - Frequentie-amplificatie: Skills die via cron-tasks automatisch en herhaaldelijk worden uitgevoerd.

Bijdragen

Implementatie: De eerste demonstratie van een succesvolle token-drain aanval in een productielike agent-omgeving met een productiemodel (Gemini 2.5 Pro).
Kwantificering: Het meten van de amplificatie in drie scenario's, inclusief het paradoxale resultaat dat een mislukte aanval duurder kan zijn dan een succesvolle aanval door de autonome herstelgedrag van de agent.
Observatie van Emergent Gedrag: Het documenteren van hoe agenten algemene tools (shell/Python) gebruiken om kwetsbare protocollen te omzeilen, wat de beveiligingsdynamiek fundamenteel verandert.
Threat Model Uitbreiding: Het benadrukken dat "stiekemheid" interface-afhankelijk is en dat echte dreigingen verder gaan dan alleen output-lengte (o.a. input-bloat en achtergrond-uitvoering).

Betekenis en Conclusie

Het paper concludeert dat token-drain-aanvallen in real-world deployments zeer haalbaar zijn, maar dat hun impact en detectie sterk worden beïnvloed door tool-compositie, herstelgedrag en interface-ontwerp.

De belangrijkste inzichten zijn:

Simulatoren zijn onvoldoende: Beveiligingsevaluaties die geen rekening houden met de mogelijkheid van agenten om eigen scripts te schrijven of autonome herstelstrategieën te gebruiken, geven een vertekend beeld.
Falen is duur: In autonome systemen kan het proberen om een aanval te repareren (wanneer deze faalt) leiden tot hogere kosten dan de aanval zelf.
Defensie vereist systeemniveau: Het is niet genoeg om alleen per-call token-limieten te stellen. Defensie moet rekening houden met de grootte van skill-documentatie, de accumulatie van contextgeschiedenis, en de frequentie van achtergrond-taken.

De auteurs pleiten voor een verschuiving in beveiligingsstrategieën: van het controleren van de correctheid van het eindantwoord naar het monitoren van de totale resource-uitputting en het gedrag van de agent over tijd en interfaces heen.