--- title: "OpenClaw en entreprise : les risques réels et la liste de contrôle" description: "Faille CVE-2026-25253, compétences malveillantes, instances exposées : ce qui est documenté sur OpenClaw, et les huit vérifications à faire avant de l'autoriser dans une PME." image: https://www.neuracloudconsulting.com/hubfs/alternativa-clawdbot-moltbot-agente-ia-neuracloud.webp --- [Aller au contenu principal](https://www.neuracloudconsulting.com/fr/blog/openclaw-entreprise-risques#main-content) [![Logo NeuraCloud Consulting - Agence d'automatisation IA et Agents Vocaux PME](https://www.neuracloudconsulting.com/hs-fs/hubfs/neuracloud-consulting-automatisation-ia-agents-vocaux.webp?width=160&height=60&name=neuracloud-consulting-automatisation-ia-agents-vocaux.webp) ![](https://www.neuracloudconsulting.com/hs-fs/hubfs/logo-neuracloud-consulting-automatisation-ia-mode-sombre.png?width=160&height=60&name=logo-neuracloud-consulting-automatisation-ia-mode-sombre.png)](https://www.neuracloudconsulting.com/) - [Accueil](https://www.neuracloudconsulting.com) - [Solutions](https://www.neuracloudconsulting.com/#solutions) - [Réalisations](https://www.neuracloudconsulting.com/fr/projets-clients) - [Offres](https://www.neuracloudconsulting.com/#offres) - [Blog](https://www.neuracloudconsulting.com/fr/blog) [📅 Réserver mon diagnostic](https://www.neuracloudconsulting.com/fr/audit-automatisation-ia) [📅 Réserver mon diagnostic](https://www.neuracloudconsulting.com/fr/audit-automatisation-ia) [📅 Réserver mon diagnostic](https://www.neuracloudconsulting.com/fr/audit-automatisation-ia) # OpenClaw en entreprise : les risques réels et la liste de contrôle Faille CVE-2026-25253, compétences malveillantes, instances exposées : ce qui est documenté sur OpenClaw, et les huit vérifications à faire avant de l'autoriser dans une PME. [Jonathan Giordano](https://www.neuracloudconsulting.com/fr/blog/author/jonathan-giordano) oct. 19, 2026 --- Un salarié a peut-être déjà installé OpenClaw sur son poste. C'est un agent IA libre, très populaire depuis le début de l'année 2026. Il lit des fichiers, lance des commandes et répond depuis une messagerie. Ces accès font sa force, et son risque. Voici ce qui est **documenté**, puis ce que je vérifierais avant de l'autoriser. ## Trois risques documentés ### Une faille qui volait l'accès en un clic Fin janvier 2026, une faille a été publiée sous le nom CVE-2026-25253. Elle est notée 8,8 sur 10. Un lien piégé suffisait à envoyer le jeton d'accès de l'agent à un attaquant. Avec ce jeton, l'attaquant pouvait changer les réglages et exécuter des commandes. La faille touchait même les installations limitées à l'ordinateur local. C'est le navigateur de la victime qui ouvrait la connexion. Elle est corrigée depuis la version **2026.1.29**, publiée le 30 janvier 2026. Toute version plus ancienne est à mettre à jour sans attendre. ### Des compétences malveillantes sur la place de marché OpenClaw s'enrichit de « compétences » publiées par la communauté sur ClawHub. Koi Security en a recensé 341 malveillantes, liées pour la plupart à une même campagne. Snyk a analysé 3 984 compétences début février 2026. Ses chercheurs ont confirmé 76 charges malveillantes. ClawHub a ensuite ajouté une analyse automatique des publications. Elle ne suffit pas. Entre février et mai 2026, Unit 42 a encore trouvé cinq compétences malveillantes non bloquées. Deux installaient un logiciel qui vole les identifiants sur Mac. Une autre gonflait sa documentation de 22 Mo pour échapper aux analyseurs. ### Des installations ouvertes sur Internet Plusieurs relevés publics ont compté des dizaines de milliers d'instances joignables depuis Internet. Les chiffres varient selon la méthode, mais l'ordre de grandeur est constant. J'ai fait partie du lot. En auditant mon serveur, j'ai trouvé mon installation plus exposée qu'elle n'aurait dû l'être. Je l'ai arrêtée. ## Le risque qu'on oublie : l'agent hérite de vos droits Un agent agit avec les accès qu'on lui donne. S'il lit votre boîte mail, un mail piégé peut lui donner des instructions. S'il a vos identifiants, une compétence malveillante les a aussi. Ce risque ne se corrige pas par une mise à jour. Il se réduit en donnant **le moins d'accès possible**. ## La liste de contrôle Avant d'autoriser OpenClaw, ou n'importe quel agent généraliste, je vérifierais ces huit points. - Inventaire : savoir qui l'a installé, sur quel poste ou quel serveur. - Version : 2026.1.29 au minimum, et idéalement la dernière publiée. - Exposition : l'interface de contrôle n'écoute que la machine locale. L'accès distant passe par un réseau privé ou un tunnel. - Authentification : activée, avec un jeton long, changé si l'agent a tourné sur une version vulnérable. - Compétences : aucune installation depuis ClawHub sans lire le code et vérifier l'éditeur. - Isolement : l'agent tourne dans un conteneur ou une machine dédiée, sous un compte sans privilèges. - Accès : des jetons propres à l'agent, limités au strict nécessaire. Jamais vos identifiants personnels. - Surveillance : les connexions sortantes de l'agent sont journalisées et relues. Si personne chez vous ne peut tenir **ces huit points dans la durée**, n'utilisez pas d'agent généraliste. Le plus dur, c'est le temps qu'ils demandent, chaque semaine. ## Que faire à la place Pour une tâche précise, un agent étroit suffit souvent. Il travaille dans vos outils actuels, avec les seuls accès de sa tâche. J'ai comparé cinq options dans [Alternatives à OpenClaw : 5 options pour une PME](https://www.neuracloudconsulting.com/fr/alternative-clawdbot-openclaw). Si vous voulez un regard extérieur sur un agent déjà installé chez vous, [l'audit est gratuit](https://www.neuracloudconsulting.com/fr/audit-automatisation-ia). ## Sources - [Avis de sécurité CVE-2026-25253 (GHSA-g8p2-7wf7-98mq), base OSV](https://api.osv.dev/v1/vulns/CVE-2026-25253) - [The Hacker News, février 2026](https://thehackernews.com/2026/02/openclaw-bug-enables-one-click-remote.html) - [Snyk, étude ToxicSkills, 5 février 2026](https://snyk.io/blog/toxicskills-malicious-ai-agent-skills-clawhub/) - [Unit 42 (Palo Alto Networks), 23 juin 2026, avec le décompte de Koi Security](https://unit42.paloaltonetworks.com/openclaw-ai-supply-chain-risk/) - [Relevés d'instances exposées, synthèse](https://blog.cyberdesserts.com/openclaw-exposure-numbers-explained.md) ## Articles similaires ### [Comment automatiser les relances clients dans une PME](https://www.neuracloudconsulting.com/fr/blog/automatiser-relances-clients-pme) Jonathan Giordano août 4, 2026 Automatisation ### [Automatisation & IA PME : Productivité boostée sans coder](https://www.neuracloudconsulting.com/fr/blog/automatisation-pme-ia-cloud) Jonathan Giordano déc. 29, 2025 Conseil pratique ### [IA & Ventes : Automatisez votre prospection sans perdre le coté humain](https://www.neuracloudconsulting.com/fr/blog/automatisation-ia-ventes-pme) Jonathan Giordano janv. 8, 2026 [![Logo NeuraCloud Consulting - Agence d'automatisation IA et Agents Vocaux PME](https://www.neuracloudconsulting.com/hs-fs/hubfs/logo-neuracloud-consulting-automatisation-ia-mode-sombre.png?width=160&height=60&name=logo-neuracloud-consulting-automatisation-ia-mode-sombre.png)](https://www.neuracloudconsulting.com/) Automatisation et optimisation des processus par l’IA pour les PME. Moins de tâches répétitives. Moins d’erreurs. Plus de temps pour votre croissance. ### INFO - [contact@neuracloudconsulting.com](mailto:contact@neuracloudconsulting.com) - [+33 6 73 94 19 34](tel:+33673941934) - [WhatsApp](https://wa.me/33673941934?text=Je%20souhaite%20en%20savoir%20plus%20sur%20vos%20offres) - Benalmádena (Málaga), Espagne ### NAVIGATION - [Accueil](https://www.neuracloudconsulting.com/) - [Solutions](https://www.neuracloudconsulting.com/#solutions) - [Offres](https://www.neuracloudconsulting.com/#offres) - [Cas clients](https://www.neuracloudconsulting.com/fr/projets-clients) - [À propos](https://www.neuracloudconsulting.com/fr/a-propos) - [Contact](https://www.neuracloudconsulting.com/fr/contact) ### SOLUTIONS - [Audit d'automatisation](https://www.neuracloudconsulting.com/fr/audit-automatisation-ia) - [Standard téléphonique IA](https://www.neuracloudconsulting.com/fr/agent-vocal-ia-standard) - [Automatisation service client](https://www.neuracloudconsulting.com/fr/automatisation-service-client) - [Automatisation recouvrement](https://www.neuracloudconsulting.com/fr/automatisation-recouvrement-creances) - [Secrétariat médical IA](https://www.neuracloudconsulting.com/fr/secretariat-medical-ia-hds) - [Alternative à Clawdbot](https://www.neuracloudconsulting.com/fr/alternative-clawdbot-openclaw) ### RESSOURCES - [Blog / Insights](https://www.neuracloudconsulting.com/fr/blog) - [Calculette ROI](https://www.neuracloudconsulting.com/fr/calculette-roi-automatisation) - [FAQ](https://www.neuracloudconsulting.com/#faq-home-trigger--1) - [Réserver un diagnostic](https://www.neuracloudconsulting.com/fr/audit-automatisation-ia) ### INTÉGRATIONS - [Pennylane](https://www.neuracloudconsulting.com/fr/automatisation-pennylane) - [HubSpot](https://www.neuracloudconsulting.com/fr/automatisation-hubspot) - [OfficeRnD](https://www.neuracloudconsulting.com/fr/automatisation-officernd) - [Google Workspace](https://www.neuracloudconsulting.com/fr/automatisation-google-workspace) ### Restez informé Recevez ponctuellement nos conseils pratiques sur l’automatisation, l’IA et les outils pour les PME. Adresse e-mail pour la newsletter S’inscrire J’accepte de recevoir la newsletter de NeuraCloud Consulting. © 2026 NeuraCloud Consulting. Tous droits réservés. Un site web conçu par un humain, assisté par l’IA, et affiné avec beaucoup de patience 😉. [Mentions Légales](https://www.neuracloudconsulting.com/fr/mentions-legales)| [Politique de Confidentialité](https://www.neuracloudconsulting.com/fr/politique-de-confidentialite)| [Conditions Générales (CGV)](https://www.neuracloudconsulting.com/fr/conditions-generales-vente)| Paramètres des cookies ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Jonathan Giordano", "url" : "https://www.neuracloudconsulting.com/fr/blog/author/jonathan-giordano" }, "dateModified" : "2026-10-19T10:11:00.483Z", "datePublished" : "2026-10-19T10:11:00.000Z", "headline" : "OpenClaw en entreprise : les risques réels et la liste de contrôle", "image" : [ "https://www.neuracloudconsulting.com/hubfs/alternativa-clawdbot-moltbot-agente-ia-neuracloud.webp" ], "mainEntityOfPage" : { "@id" : "https://www.neuracloudconsulting.com/fr/blog/openclaw-entreprise-risques", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://www.neuracloudconsulting.com/hubfs/neuracloud-consulting-automatisation-ia-agents-vocaux.webp" }, "name" : "NeuraCloud Consulting" } } ``` ```json { "@context" : "https://schema.org", "@id" : "https://www.neuracloudconsulting.com/#website", "@type" : "WebSite", "description" : "Agence d'automatisation, Cloud et Intelligence Artificielle pour les PME.", "inLanguage" : "fr-FR", "name" : "NeuraCloud", "potentialAction" : { "@type" : "SearchAction", "query-input" : "required name=search_term_string", "target" : "https://www.neuracloudconsulting.com/?s={search_term_string}" }, "publisher" : { "@id" : "https://www.neuracloudconsulting.com/#organization" }, "url" : "https://www.neuracloudconsulting.com/" } ``` ```json { "@context" : "https://schema.org", "@id" : "https://www.neuracloudconsulting.com/#organization", "@type" : [ "LocalBusiness", "Organization" ], "address" : { "@type" : "PostalAddress", "addressCountry" : "ES", "addressLocality" : "Benalmádena", "postalCode" : "29630", "streetAddress" : "Calle Florencia 1, B2, 2A" }, "alternateName" : "NeuraCloud Consulting", "areaServed" : [ "FR", "ES", "CH", "BE", "CA" ], "contactPoint" : [ { "@type" : "ContactPoint", "areaServed" : "FR", "availableLanguage" : [ "French", "Spanish" ], "contactType" : "sales", "telephone" : "+33673941934" }, { "@type" : "ContactPoint", "areaServed" : "ES", "availableLanguage" : [ "Spanish", "French" ], "contactType" : "sales", "telephone" : "+34672359500" } ], "description" : "Expert en automatisation, digitalisation et IA pour les PME du marché français.", "founder" : { "@id" : "https://www.neuracloudconsulting.com/#jonathan-giordano" }, "geo" : { "@type" : "GeoCoordinates", "latitude" : 36.587883, "longitude" : -4.536066 }, "hasOfferCatalog" : { "@type" : "OfferCatalog", "itemListElement" : [ { "@type" : "Offer", "itemOffered" : { "@type" : "Service", "description" : "Diagnostic gratuit puis audit des processus métier à automatiser, avec plan d'action priorisé.", "name" : "Audit d'Automatisation des Processus" }, "url" : "https://www.neuracloudconsulting.com/fr/audit-automatisation-ia" }, { "@type" : "Offer", "availability" : "https://schema.org/InStock", "itemOffered" : { "@type" : "Service", "description" : "Assistant vocal IA pour la gestion des appels entrants.", "name" : "Déploiement Agent IA Vocal" } } ], "name" : "Services d'Automatisation & IA" }, "image" : "https://www.neuracloudconsulting.com/hs-fs/hubfs/neuracloud-consulting-automatisation-ia-agents-vocaux.webp", "knowsAbout" : [ "Automatisation", "IA", "n8n", "Make", "HubSpot", "CRM", "Cloud Computing", "Agent Vocal" ], "legalName" : "NEURACLOUD CONSULTING S.L.", "logo" : "https://www.neuracloudconsulting.com/hs-fs/hubfs/neuracloud-consulting-automatisation-ia-agents-vocaux.webp", "name" : "NeuraCloud", "openingHoursSpecification" : [ { "@type" : "OpeningHoursSpecification", "closes" : "18:30", "dayOfWeek" : [ "Monday", "Tuesday", "Wednesday", "Thursday" ], "opens" : "09:30" }, { "@type" : "OpeningHoursSpecification", "closes" : "17:00", "dayOfWeek" : "Friday", "opens" : "09:30" } ], "potentialAction" : { "@type" : "ReserveAction", "result" : { "@type" : "Reservation", "name" : "Réserver un Audit" }, "target" : { "@type" : "EntryPoint", "actionPlatform" : [ "http://schema.org/DesktopWebPlatform", "http://schema.org/MobileWebPlatform" ], "urlTemplate" : "https://www.neuracloudconsulting.com/meetings/jgiordano" } }, "priceRange" : "$$", "sameAs" : [ "https://www.linkedin.com/company/neuracloudconsulting", "https://www.instagram.com/neura.cloud/", "https://www.facebook.com/neuracloudconsulting" ], "telephone" : "+33673941934", "url" : "https://www.neuracloudconsulting.com" } ``` ```json { "@context" : "https://schema.org", "@id" : "https://www.neuracloudconsulting.com/#jonathan-giordano", "@type" : "Person", "jobTitle" : "Fondateur", "name" : "Jonathan Giordano", "sameAs" : [ "https://www.linkedin.com/in/jonathangiordano" ], "worksFor" : { "@id" : "https://www.neuracloudconsulting.com/#organization" } } ``` ```json { "@context" : "https://schema.org", "@id" : "https://www.neuracloudconsulting.com/fr/blog/openclaw-entreprise-risques#webpage", "@type" : "WebPage", "dateModified" : "2026-10-19", "datePublished" : "2026-10-19", "inLanguage" : "fr-FR", "isPartOf" : { "@id" : "https://www.neuracloudconsulting.com/#website" }, "name" : "OpenClaw en entreprise : les risques réels et la liste de contrôle", "url" : "https://www.neuracloudconsulting.com/fr/blog/openclaw-entreprise-risques" } ``` ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://www.neuracloudconsulting.com/", "name" : "Accueil", "position" : 1 }, { "@type" : "ListItem", "item" : "https://www.neuracloudconsulting.com/fr/blog", "name" : "Blog", "position" : 2 }, { "@type" : "ListItem", "item" : "https://www.neuracloudconsulting.com/fr/blog/openclaw-entreprise-risques", "name" : "OpenClaw en entreprise : les risques réels et la liste de contrôle", "position" : 3 } ] } ```