Der IT-Sicherheitsanbieter Oasis Security hat in Nvidias KI-Agenten-Software NemoClaw eine Schwachstelle offengelegt, durch die ein einziger Besuch einer präparierten Webseite zur Übernahme eines lokal laufenden KI-Agenten reicht. Die Lücke nutzt eine Fehlkonfiguration der Anbindung an das Sprachmodell-Werkzeug Ollama aus; für macOS und Linux gibt es bereits einen Patch, für Windows und WSL bislang nur eine Warnung.
Fehlkonfiguration öffnet die Ollama-Schnittstelle nach außen
NemoClaw ist Nvidias quelloffener Referenz-Stack, mit dem sich der KI-Agent OpenClaw dauerhaft lokal betreiben lässt; das Werkzeug wurde im März 2026 auf der Entwicklerkonferenz GTC vorgestellt. Es bindet dafür standardmäßig das Sprachmodell-Werkzeug Ollama ein und startet dieses mit der Einstellung OLLAMA_HOST auf 0.0.0.0:11434 statt ausschließlich auf die lokale Loopback-Adresse. Dadurch ist die eigentlich nur für den eigenen Rechner gedachte Programmierschnittstelle über jede Netzwerkschnittstelle erreichbar.
Ollama blockiert unautorisierte Zugriffe seit einer 2024 von der NCC Group entdeckten Sicherheitslücke normalerweise über eine Prüfung des sogenannten Host-Headers. Diese Schutzfunktion greife laut Oasis Security jedoch nicht, sobald der Dienst nicht ausschließlich an localhost gebunden ist – genau der Zustand, den NemoClaw durch seine Voreinstellung erzeugt.
Nvidia bietet NemoClaw kostenlos als Open-Source-Software für Entwicklerinnen und Entwickler an, die einen KI-Agenten auf dem eigenen Rechner statt in der Cloud betreiben möchten. Der Bezug erfolgt über das öffentliche GitHub-Repository; eine Registrierung oder ein Abonnement ist dafür nicht nötig.
Angreifer schleusen über eine Browsertechnik dauerhafte Befehle ein
Um die verbleibende Browser-Schutzschicht zu umgehen, nutzen Angreifer laut den Forschenden von Oasis Security, inzwischen Teil des Sicherheitsanbieters Cyera, eine als DNS-Rebinding bekannte Technik: Eine bösartige Domain löst zunächst auf einen fremden Server auf, wechselt dann aber innerhalb kurzer Zeit auf die Adresse 127.0.0.1. Der Browser behandelt beide Aufrufe weiterhin als denselben Ursprung.
So lässt sich JavaScript-Code auf der besuchten Seite direkt mit der lokalen Ollama-Schnittstelle verbinden – ganz ohne Zugangsdaten oder einen weiteren Klick der Nutzerin. Über den Endpunkt /api/create verändert der Angriffscode anschließend die Chat-Vorlage des Modells und hinterlegt darin versteckte Anweisungen.
Weil diese Vorlage auf Modellebene liegt, überdauert sie jeden neuen Systemprompt: Das Modell erhält die eigentliche Anweisung des KI-Agenten und die eingeschleuste Anweisung des Angreifers bei jeder folgenden Unterhaltung gemeinsam. Betroffene Systeme geben dadurch potenziell Zugriff auf Quellcode-Verwaltungen, Cloud-Konten und weitere Werkzeuge preis, die der KI-Agent nutzt.
Patch schließt die Lücke nur auf zwei Betriebssystemen
Oasis Security meldete den Fund vor der Veröffentlichung an Nvidias Sicherheitsteam PSIRT, wie The Hacker News berichtet. Mit Version 0.0.35 hat Nvidia die Bindung an 0.0.0.0 für macOS und Linux inzwischen korrigiert; unter Windows und im Windows-Subsystem für Linux (WSL) fehlt eine vollständige Korrektur bislang.
Version 0.0.34 fügte für die beiden Systeme lediglich einen Warnhinweis bei der Installation hinzu. Wer NemoClaw unter Windows oder WSL betreibt, bleibt damit weiterhin verwundbar, bis Nvidia einen vollständigen Patch nachliefert.
Es ist nicht der erste Fall dieser Art: Erst im Sommer hatte eine vergleichbar offene Netzwerkschnittstelle bei der Open-Source-Plattform Ruflo Angreifern erlaubt, fremde KI-Agenten zu übernehmen und Zugangsschlüssel zu stehlen. Auch ein aktueller Bericht des Sicherheitsanbieters Netskope verzeichnet einen deutlichen Anstieg von Datenlecks durch KI-Agenten in Unternehmen. Die Häufung deutet darauf hin, dass Standard-Konfigurationen agentenfähiger Werkzeuge bislang zu selten auf unautorisierten Netzwerkzugriff geprüft werden.
Der Fall verschiebt den Blick auf KI-Sicherheit von der Modell-Ebene zur Netzwerk-Konfiguration der Werkzeuge drumherum: Nicht das Sprachmodell selbst versagt hier, sondern eine Standardeinstellung in der Software, die es einbettet. Entscheidend wird, ob Nvidia die Windows- und WSL-Lücke schließt, bevor die Technik in größerem Stil ausgenutzt wird – bis dahin hilft nur, den Port 11434 nicht ungeschützt ins Netz zu lassen.
