Sie besuchen eine Website. Nichts wird heruntergeladen. Kein Pop-up, keine Berechtigungsanfrage, keine Warnung. Und doch wurde der KI-Agent auf Ihrem Geraet gerade gekapert.
Dies ist das Szenario, das Oasis Security diese Woche demonstrierte, als es CVE-2026-65105 offenlegte, eine Schwachstelle in NVIDIAs NemoClaw-Agent-Toolkit. Der Angriff erfordert genau eine Sache vom Opfer: eine bösartige Webseite im Browser zu oeffnen. Alles andere ist automatisch.
Was ist NemoClaw?
NVIDIA lancierte NemoClaw auf seiner GTC-Konferenz im Maerz 2026 als Referenz-Stack fuer den Aufbau von KI-Agenten, die in sandgeboxten Umgebungen laufen. Die Idee ist einfach: geben Sie Ihrem Agenten eine Sandbox (OpenShell), ein Modell-Backend (Ollama fuer lokale Inferenz) und eine Reihe von Werkzeugen, und lassen Sie ihn arbeiten.
NemoClaw ist bei Entwicklern beliebt, die ihre KI-Workflows lokal halten moechten. Anstatt Prompts an eine Cloud-API zu senden, fuehrt der Agent sein Modell auf der GPU des Entwicklers ueber Ollama aus. Die Annahme ist, dass lokal gleichbedeutend mit privat und sicher ist.
Oasis Security hat gerade bewiesen, dass diese Annahme falsch ist.
Die DNS-Rebinding-Angriffskette
Die Schwachstelle besteht darin, wie NemoClaw Ollama auf Windows und WSL konfiguriert. Es startet Ollama mit der Umgebungsvariable OLLAMA_HOST=0.0.0.0:11434, die den Modellserver an jede Netzwerkschnittstelle bindet statt nur an localhost.
Ollamas API auf Port 11434 hat keine Authentifizierung. Sie verlaesst sich auf zwei Middleware-Pruefungen: eine Host-Header-Validierung und eine CORS-Erlaubnisliste. Aber wenn die Bindungsadresse nicht Loopback (127.0.0.1) ist, wird die Host-Header-Pruefung vollstaendig uebersprungen.
So funktioniert der Angriff:
- Der Angreifer stellt eine Webseite auf Port 11434 einer von ihm kontrollierten Domain bereit
- Das Opfer besucht die Seite im Browser
- Die Domain des Angreifers wird von seinem Server auf 127.0.0.1 umadressiert
- Der Browser behandelt die Anfragen als Same-Origin
- Die Anfragen erreichen die lokale Ollama-Instanz des Opfers
Der Angreifer hat jetzt vollen, unauthentifizierten API-Zugang zum Modellserver.
Modellvergiftung: das Worst-Case-Szenario
Voller API-Zugang allein ist gefaehrlich. Ein Angreifer kann installierte Modelle auflisten, System-Prompts lesen, den Hostnamen und den oeffentlichen Schluessel extrahieren oder Modelle direkt loeschen. Der wahre Preis ist jedoch die Modellvergiftung.
Forscher Elad Luz und sein Team von Oasis Security gingen tiefer als einfache Prompt-Injektion. Sie wussten, dass das Injizieren eines versteckten System-Prompts nicht ueberleben wuerde, weil OpenClaw seinen eigenen System-Prompt sendet.
Also griffen sie Ollamas /api/create-Endpunkt an, der ein Chat-Template-Feld akzeptiert. Die Angriffskette:
- Das bestehende Template des Modells ueber /api/show abrufen
- Eine versteckte Anweisung in das Template einfuegen
- Ueber /api/create zurueckschreiben
Jede Nachricht, die der Client sendet, geht jetzt durch das modifizierte Template des Angreifers. Die versteckte Anweisung erreicht das Modell nach dem legitimen Prompt und kapert effektiv jede Antwort.
Von aussen sieht nichts falsch aus. Name, Groesse und Metadaten des Modells lesen sich normal. Das Oeffnen eines neuen Chats loescht nichts. Die Nutzlast lebt in der Modelldefinition selbst.
Warum Sandboxing nicht hilft
NemoClaws gesamtes Wertversprechen ist Sandboxing: OpenShell schirmt das Dateisystem, das Netzwerk und die Prozesse ab, die der Agent beruehren kann.
Aber die Sandbox schuetzt nicht gegen diesen Angriff, weil die Schwachstelle im Modell-Backend liegt, nicht im Agenten selbst. Wie Oasis Security feststellte: Sandboxing schuetzt den Endpunkt, aber die Uebernahme des Agenten uebernimmt seinen Zugang und seine Werkzeuge.
Die Korrektur und was sie fuer Ihren Stack bedeutet
NVIDIA hat NemoClaw v0.0.35 veroeffentlicht, das das Problem auf macOS und Linux behebt. Auf Windows und WSL wurde in v0.0.34 ein Installationspfad mit Warnung hinzugefuegt.
Wenn Ihr Team KI-Agenten lokal betreibt, sollten Sie heute pruefen:
- NemoClaw aktualisieren auf v0.0.35 oder hoeher auf macOS und Linux
- Ollama-Bindung verifizieren - sicherstellen, dass es auf 127.0.0.1 laeuft, nicht auf 0.0.0.0
- Host-Header-Validierung hinzufuegen - gegen eine Erlaubnisliste autorisierter Werte pruefen
- Agenten-Stack auditieren - jeder lokale Modellserver, der exponiert ist, ist ein Ziel
- Modellintegritaet ueberwachen - Chat-Templates und Modell-Hashes gegen bekannte Baselines vergleichen
Das grosse Bild
Diese Schwachstelle ist eine Vorschau auf die Sicherheitsherausforderungen agentic KI. Waehrend Entwickler von Cloud-Only-Inferenz zu lokalen und hybriden Deployment migrieren, erweitert sich die Angriffsflaeche in Weisen, die traditionelle Sicherheitsmodelle nicht abdecken.
Die Sandbox schuetzt den Endpunkt. Das Guardrail schuetzt die Konversation. Aber keines schuetzt das Modell selbst davor, durch einen einzigen Webseitenbesuch stillschweigend umgeschrieben zu werden.
Fuer Organisationen, die auf KI-Agenten-Frameworks aufbauen, ist die Lektion klar: behandeln Sie Ihre lokale Modellinfrastruktur mit der gleichen Strenge wie Ihre Produktionsserver. Denn in einer agentic Welt ist ein kompromittiertes Modell ein kompromittiertes Alles.