OpenClaw (eski adıyla Clawdbot): Kendi sunucunda çalışan kişisel ajan ve güvenlik dersleri

Kişisel ajan ne demek?

Sohbet botuna bir şey sorarsın, cevap verir. Kişisel ajan ise senin yerine iş yapar: e-postanı okur, takvimine toplantı koyar, bir dosyayı indirip düzenler. Üstelik bunu sen ona yazınca değil, 7/24 kendi başına da yapabilir.

Clawdbot tam olarak buydu. Peter Steinberger’in Kasım 2025’te hafta sonu projesi olarak başlattığı açık kaynak (MIT) bir program. Kendi bilgisayarında ya da kiraladığın bir sunucuda (VPS) bir gateway süreci çalışıyor. Sen ona WhatsApp, Telegram, Discord ya da Slack’ten yazıyorsun. O da seçtiğin modelle (Claude, GPT ya da yerel bir model) düşünüp araçları çalıştırıyor. Kalıcı bir hafızası, kişiliğini anlatan bir dosyası ve yeteneklerini genişleten skill’leri var.

Neden bu kadar patladı?

Ajanı ayrı bir uygulamada değil, zaten kullandığın mesajlaşma uygulamasında buluyorsun. Bu küçük fark onu bir asistana çeviriyor. Proje Ocak sonunda 100 binden fazla GitHub yıldızına ulaştı, sitesi bir haftada 2 milyon ziyaretçi aldı. Videoya göre insanlar sırf bunu çalıştırmak için Mac mini aldı.

İsim de bu sırada iki kez değişti. Anthropic, “Claude”a fazla benzediği için itiraz etti. 27 Ocak’ta Moltbot oldu, 30 Ocak’ta OpenClaw.

İlk haftanın güvenlik dersleri

1. Paneli internete açma. Güvenlik araştırmacıları Shodan’da internete açık binden fazla gateway buldu. Bazı kurulumlar localhost’tan gelen bağlantıya otomatik güveniyordu. Gateway aynı makinede bir reverse proxy arkasındaysa, dışarıdan gelen istek de localhost’tan geliyor gibi görünüyordu. Sonuç: API anahtarları, bot token’ları, aylarca sohbet geçmişi açıkta. Videodaki sunucuya da kurulumdan hemen sonra kaba kuvvet (brute force) denemesi geldi. Çözüm, gateway’i sadece loopback’te tutmak ve uzaktan erişimi Tailscale ya da SSH tüneliyle yapmak.

2. Localhost bir duvar değil. CVE-2026-25253 açığında kontrol paneli, adresteki gatewayUrl değerine sorgusuz güveniyordu. Hazırlanmış bir bağlantıya tıklamak, giriş token’ını saldırgana göndermeye yetiyordu. Saldırgan bununla ayarları değiştirip komut çalıştırabiliyordu. Gateway sadece localhost’ta dinlese bile. Açık, 30 Ocak’taki 2026.1.29 sürümünde kapandı.

3. İstem enjeksiyonu çözülmedi. Ajan e-posta ve web sayfası okuyor. O metnin içine yazılmış bir talimatı, senin talimatından ayırt etmesi zor. OpenClaw’ın kendi duyurusu da bunun sektörün çözülmemiş sorunu olduğunu kabul ediyor.

4. Skill mağazası bir tedarik zinciri. Koi Security, ClawHub’daki 2.857 skill’den 341’ini zararlı buldu. Çoğu aynı kampanyadan geliyordu: Kurulum belgesi önce bir “ön koşul” yüklemeni istiyor, macOS’ta bu adım bir bilgi hırsızı (stealer) kuruyordu. OpenClaw 7 Şubat’ta her skill’i VirusTotal ile taramaya başladı ama bunun her şeyi yakalamayacağını kendisi de yazıyor.

5. Anahtarlar düz dosyada. Model anahtarları, OAuth token’ları ve sohbet kayıtları ajanın klasöründe duruyor. Ajan için ayrı ve kısıtlı anahtarlar açmak, sızınca tek tek iptal edebilmek demek. Şifreyi ajanın hiç görmediği bir düzeni Claw Patrol yazımızda anlattık.

Alternatifler de hızla çıktı. NanoClaw, her ajanı ayrı bir konteynerde çalıştıran, okunabilecek kadar küçük bir sürüm. Cloudflare’in Moltworker’ı ise OpenClaw’ı kendi Sandbox ve R2 servislerinde çalıştıran bir kavram kanıtı, resmî bir ürün değil.

Sonra ne oldu?

• Steinberger 14 Şubat’ta OpenAI’a katıldığını duyurdu. Proje bugün bağımsız, kâr amacı gütmeyen OpenClaw Foundation’da. README’ye göre vakıf çekirdek ekibi istihdam ediyor ve OpenAI sahip değil, bağışçı.
• Aynı günlerde açılan ajanlara özel sosyal ağ Moltbook’ta Wiz, herkese açık bir veritabanı ve yaklaşık 1,5 milyon API token’ı buldu.
• Haziranda ClawHub, üç ayrı tarayıcıyı birleştiren ClawScan’e geçti. İlginç bulgu: Tarayıcılar nadiren aynı fikirde. Taranan skill’lerin sadece yüzde 0,7’sini üçü birden işaretledi.
• 31 Ağustos’taki OpenClaw 2.0, korunan şifreleri modelin gördüğü metnin dışında tutuyor ve onayları belirli bir isteğe bağlıyor. Ama README’ye göre ana oturumda araçlar hâlâ varsayılan olarak doğrudan makinende çalışıyor, korumalı alanı (sandbox) kendin açman gerekiyor. Ekim itibarıyla sürüm 2026.10.5, yıldız sayısı 390 bini geçti.
• NanoClaw Mart’ta Docker ile anlaştı ve konteyner tarafında Docker Sandboxes’a geçti.
• Videoya göre OpenClaw’ın ajan çekirdeği o dönem Pi’ydi. Bugün README, Claude ya da Codex gibi harness’leri değiştirilebilir eklentiler olarak sunuyor. Pi’nin bugünkü hâlini Pi 1.0 yazımızda anlattık.

Düşün

• Bir ajana e-postanı okuma izni verirsen, sana e-posta atan herkes ajana bir şey söyleyebilir mi?
• Ajanın çalıştığı makinede, sızsa en çok canını yakacak dosya hangisi?

Kendi cümlelerimizle yazılmış bir özettir, çeviri değildir. Tüm kaynaklar yukarıda.