ИБ-исследователь veganmosfet обнаружил критическую уязвимость в OpenClaw, позволяющую получить полный контроль над системой агента всего лишь через одно электронное письмо, отправленное на Gmail жертвы, без каких-либо действий со стороны пользователя. Атака эксплуатирует три дефолтные особенности конфигурации OpenClaw: автоматическую передачу содержимого писем в языковую модель с ролью пользователя, отключенную песочницу и автоматическое выполнение кода из плагинов, находящихся в рабочей директории, без проверки подлинности. В письме используется prompt injection, обходящий встроенные механизмы защиты OpenClaw благодаря опечатке в закрывающем теге. Языковая модель GPT-5.2 интерпретирует некорректный тег как завершение внешнего контента и выполняет последующие инструкции как доверенные. Это приводит к клонированию вредоносного плагина и получению reverse shell. Автор отмечает, что OpenClaw функционирует в соответствии с документацией, и предлагает решения для усиления защиты, такие как