OpenClaw / Moltbot / ClawBot : l’agent IA qui fait rêver… et qui peut coûter très cher

Il y a des outils qui débarquent discrètement, puis s’installent tranquillement dans le paysage. Et il y a ceux qui surgissent comme une comète : une démo qui tourne, un thread qui explose, des captures d’écran partout, et en quelques jours tout le monde veut “l’essayer chez soi”.

OpenClaw, aussi croisé sous les noms Moltbot ou ClawBot — fait clairement partie de cette deuxième catégorie. L’objet du désir ? Un agent IA open source qui ne se contente pas de discuter : il prend la main sur votre machine et exécute. Le fantasme ultime du “collaborateur numérique”, celui qui gère les tâches pénibles pendant que vous faites le reste.

Sauf qu’en sécurité, le rêve de contrôle total se transforme souvent en cauchemar d’exposition totale.

Un agent qui ne “répond” plus : il opère

Là où un chatbot reste cantonné à une interface, OpenClaw change de registre. Il s’installe dans votre environnement et agit comme un utilisateur :

• il envoie des e-mails

• manipule un agenda

• transcrit des mémos audio

• installe des outils depuis des dépôts

• discute via WhatsApp, Telegram, Discord, Slack ou Microsoft Teams

Le tout souvent en local, avec un moteur au choix : Claude (Anthropic) ou ChatGPT (OpenAI).

Sur le plan techno, c’est la vitrine parfaite de l’IA “agentique” : observer → décider → exécuter. Et forcément, ça hypnotise.

Pourquoi ça impressionne autant

OpenClaw coche toutes les cases du moment : automatisation, orchestration, intégration multi-apps, actions en chaîne. On n’est plus dans “je te propose un brouillon d’e-mail”, mais dans “j’envoie l’e-mail, j’ajoute la réunion, je prépare le compte-rendu”.

Le journaliste Federico Viticci (MacStories) a résumé ce sentiment : l’expérience est à la fois ludique et redoutablement efficace.

Et c’est précisément là que l’alerte commence : plus c’est fluide, plus on oublie ce que l’on délègue.

La règle d’or : un agent IA, par nature, élargit la surface d’attaque

Un agent comme OpenClaw doit pouvoir :

• lire vos fichiers

• accéder à des identifiants

• exécuter des commandes système

• interpréter des contenus entrants (messages, mails, documents)

• interagir avec des services externes

Autrement dit : pour être utile, il a besoin d’un niveau d’accès qui dépasse largement celui d’une app “classique”.

Comme l’explique Jamieson O’Reilly, ce type d’agent fait sauter des garde-fous de sécurité “par conception”. Pas parce qu’il est mal codé. Parce que son job, c’est justement de traverser les couches.

Quand la viralité dépasse les garde-fous

Le cœur du problème n’est pas “OpenClaw est ambitieux”. Le cœur du problème, c’est : les déploiements se multiplient plus vite que les pratiques de sécurité.

Dans les informations que vous avez partagées, plusieurs signaux sont particulièrement inquiétants :

• plus de 1 800 instances exposées publiquement

• 62 % accessibles sans authentification

• plus de 1 400 instances qui laissent fuiter des métadonnées via mDNS mal configuré

Ce qui revient à dire : un nombre non négligeable d’installations se retrouvent visibles — parfois même pilotables — sans que l’utilisateur ait réellement mesuré les conséquences.

Et on quitte alors l’IA futuriste pour retomber dans un classique de la cybersécurité : un service exposé + une config faible = une invitation.

L’attaque la plus simple est aussi la plus efficace : le piège par contenu

Les chercheurs l’ont montré : il peut suffire de :

1. envoyer un e-mail “piégé”

2. laisser l’agent le lire

3. le voir interpréter le contenu comme une instruction

4. et obtenir une compromission rapide

Pourquoi ça marche ? Parce qu’un agent ne “comprend” pas l’intention comme un humain. Il absorbe un flux d’informations, et il cherche la meilleure action à exécuter… parfois au bénéfice d’un attaquant.

Dans la même veine, Cisco a déjà pointé des problèmes tels que des clés API exposées, des identifiants stockés en clairet des historiques de conversation accessibles (selon les éléments mentionnés dans votre texte). Ce ne sont pas des détails : ce sont des indices d’un écosystème qui court plus vite que sa sécurité.

“Open source” ne veut pas dire “blindé”

Il faut marteler ce point :
open source = vérifiable, pas vérifié.

Oui, le code est visible. Mais l’audit, la modélisation des menaces, le durcissement par défaut, la gestion des secrets, les bonnes pratiques DevSecOps… tout ça ne se matérialise pas parce qu’un dépôt est public.

Le décalage est encore plus dangereux quand l’outil est séduisant : des utilisateurs peu aguerris installent un agent qui a accès à leurs sessions, leurs services, parfois leurs clés, et souvent à bien plus qu’ils ne l’imaginent.

Un écosystème confus : terrain idéal pour les dérives

Autre point relevé dans vos infos : la valse des noms (ClawBot → Moltbot → OpenClaw), les tensions autour des marques, les détournements de comptes sociaux, et même une arnaque crypto opportuniste estimée à 16 M$ exploitant la confusion.

Même si le projet n’est pas directement responsable, ça illustre une réalité : quand tout bouge trop vite autour d’un outil, les utilisateurs paient la facture. Faux dépôts, faux guides, install scripts douteux… c’est le genre de contexte où les incidents se fabriquent tout seuls.

Le piège final : l’illusion “c’est local donc c’est sous contrôle”

Beaucoup se rassurent avec trois phrases :

• “c’est sur ma machine”

• “c’est en local”

• “je garde la main”

Sauf qu’en pratique, vous déléguez la lecture, l’interprétation, la décision et l’exécution à un système probabiliste optimisé pour accomplir la tâche. Il ne “tique” pas comme vous. Il ne lève pas forcément un sourcil quand une instruction est ambiguë. Et c’est là que la productivité peut se transformer en compromission automatisée.

Si vous voulez tester quand même : faites-le comme un pro

OpenClaw peut être un super labo — à condition de l’utiliser comme tel :

• ne l’exposez pas sur Internet

• authentification forte obligatoire

• machine isolée (réseau séparé / VM / segmentation)

• zéro privilège admin par défaut

• clés et secrets hors du code (et rotation régulière)

• désactivation des fuites réseau (mDNS, annonces, accès non nécessaires)

• validation humaine pour les actions sensibles (install, suppression, paiement, accès fichiers critiques)

• logs + monitoring : traquez les actions inattendues

En clair

OpenClaw est fascinant parce qu’il matérialise la promesse de l’IA agentique : une IA qui fait vraiment les choses. Mais aujourd’hui, son adoption ultra-rapide et ses déploiements parfois “à l’arrache” en font aussi un objet à manipuler avec des gants.

La techno est excitante. Les usages aussi.
Mais si vous automatisez votre ordinateur, assurez-vous de ne pas automatiser votre propre faille.