OpenClaw współpracuje z VirusTotal w celu zwiększenia bezpieczeństwa na ClawHub

OpenClaw, wcześniej znany jako Moltbot i Clawdbot, ogłosił nawiązanie współpracy z VirusTotal, należącym do Google, w celu skanowania umiejętności przesyłanych do ClawHub, platformy handlowej dla umiejętności. To działanie stanowi część szerszych wysiłków na rzecz wzmocnienia bezpieczeństwa ekosystemu agentów.

„Wszystkie umiejętności publikowane na ClawHub są teraz skanowane przy użyciu inteligencji zagrożeń VirusTotal, w tym ich nowej funkcji Code Insight,” powiedział założyciel OpenClaw, Peter Steinberger, a także Jamieson O’Reilly i Bernardo Quintero. „Daje to dodatkową warstwę bezpieczeństwa dla społeczności OpenClaw.”

Procedura polega na utworzeniu unikalnego hasha SHA-256 dla każdej umiejętności oraz sprawdzeniu go w bazie danych VirusTotal. Jeśli nie zostanie znaleziony, przesyłany jest do narzędzia skanującego złośliwe oprogramowanie w celu dalszej analizy przy użyciu VirusTotal Code Insight.

Umiejętności, które uzyskają werdykt jako „nieszkodliwe” w ocenie Code Insight, są automatycznie zatwierdzane przez ClawHub, podczas gdy te oznaczone jako podejrzane otrzymują stosowny komunikat ostrzegawczy. Jakiekolwiek umiejętności uznane za złośliwe są blokowane przed pobraniem. OpenClaw zaznaczył również, że wszystkie aktywne umiejętności są skanowane codziennie, aby wykryć sytuacje, w których wcześniej czysta umiejętność staje się złośliwa.

Należy jednak zaznaczyć, że zarządzający OpenClaw ostrzegli, iż skanowanie przez VirusTotal „nie jest srebrnym pociskiem” i istnieje możliwość, że niektóre złośliwe umiejętności wykorzystujące sprytnie ukryte payloady do wstrzyknięcia komend mogą umknąć uwadze.

Oprócz współpracy z VirusTotal, platforma planuje opublikować kompleksowy model zagrożeń, publiczny plan bezpieczeństwa, formalny proces raportowania incydentów oraz szczegóły dotyczące audytu bezpieczeństwa całego kodu źródłowego.

Rozwój ten następuje po raportach, które ujawniły setki złośliwych umiejętności na ClawHub, co skłoniło OpenClaw do dodania opcji raportowania, umożliwiającej zalogowanym użytkownikom zgłaszanie podejrzanych umiejętności. Wiele analiz ujawniło, że te umiejętności podszywają się pod legalne narzędzia, ale w rzeczywistości zawierają złośliwą funkcjonalność, która pozwala na wykradanie danych, wstrzykiwanie tylnych drzwi do zdalnego dostępu lub instalację złośliwego oprogramowania.

„Agenci AI z dostępem do systemu mogą stać się tajnymi kanałami wycieku danych, omijającymi klasyczne zabezpieczenia przed utratą danych, proxy i monitoring końcowy,” zauważył Cisco w zeszłym tygodniu. „Kolejny problem polega na tym, że modele mogą również stać się orkiestratorami wykonania, w których sam prompt staje się instrukcją i jest trudny do wychwycenia przy użyciu tradycyjnych narzędzi zabezpieczających.”

Wzrost popularności OpenClaw, otwartoźródłowego asystenta sztucznej inteligencji (AI), oraz Moltbook, pokrewnej sieci społecznościowej, w której autonomiczne agenty AI, oparte na OpenClaw, wchodzą ze sobą w interakcje w stylu Reddita, budzi obawy o bezpieczeństwo.

OpenClaw pełni rolę silnika automatyzacji, umożliwiającego uruchamianie procesów roboczych, interakcję z usługami online oraz działanie w różnych urządzeniach. Jednak głęboki dostęp przyznawany umiejętnościom oraz fakt, że mogą przetwarzać dane z nieznanych źródeł, stwarza ryzyko, takie jak złośliwe oprogramowanie i wstrzyknięcia promptów.

Jednym słowem, integracje, choć wygodne, znacznie poszerzają powierzchnię ataku i rozszerzają zestaw nieznanych danych wejściowych, które agenci konsumują, co czyni je „trojanem agentowym” dla wykradania danych i innych złośliwych działań. Backslash Security określił OpenClaw mianem „AI z rękami.”

„W przeciwieństwie do tradycyjnego oprogramowania, które dokładnie wykonuje polecenia kodu, agenci AI interpretują naturalny język i podejmują decyzje o działaniu,” zaznaczył OpenClaw. „Zacierają granice między intencją użytkownika a wykonaniem przez maszynę. Można nimi manipulować poprzez sam język.”

OpenClaw przyznał również, że moc, jaką mają umiejętności – wykorzystywane do rozszerzania możliwości agenta AI, takich jak kontrola urządzeń inteligentnych czy zarządzanie finansami – może zostać nadużyta przez złych aktorów, którzy mogą wykorzystać dostęp agenta do narzędzi i danych w celu wykradzenia wrażliwych informacji, wykonywania nieautoryzowanych poleceń, wysyłania wiadomości w imieniu ofiary, a nawet pobierania i uruchamiania dodatkowych ładunków bez ich wiedzy lub zgody.

Co więcej, z uwagi na to, że OpenClaw jest coraz częściej wdrażany na punktach końcowych pracowników bez formalnej zgody działu IT lub bezpieczeństwa, podwyższone uprawnienia tych agentów mogą dodatkowo umożliwić dostęp do shell, ruch danych i łączność sieciową poza standardowymi zabezpieczeniami, tworząc nową klasę ryzyka Shadow AI dla przedsiębiorstw.

„OpenClaw i podobne narzędzia pojawią się w Twojej organizacji, niezależnie od tego, czy je zatwierdzisz, czy nie,” powiedział Tomer Yahalom, badacz z Astrix Security. „Pracownicy będą je instalować, ponieważ są naprawdę przydatne. Jedynym pytaniem jest, czy o tym będziesz wiedział.”

W ostatnich dniach na jaw wyszły pewne poważne problemy z bezpieczeństwem, które zostały wymienione poniżej:

• Problem, który został już naprawiony w wcześniejszych wersjach, mógł powodować błędną klasyfikację ruchu proxy jako lokalnego, omijając uwierzytelnianie dla niektórych instancji dostępnych w internecie.
• „OpenClaw przechowuje dane uwierzytelniające w postaci jawnej, wykorzystuje niesecure wzorce kodowania, w tym bezpośredni eval z danymi wejściowymi użytkownika, a także nie ma polityki prywatności ani jasnej odpowiedzialności,” zauważyli Moshe Siman Tov Bustan i Nir Zadok z OX Security. „Powszechne metody dezinstalacji pozostawiają wrażliwe dane – a całkowite cofnienie dostępu jest znacznie trudniejsze, niż większość użytkowników zdaje sobie sprawę.”
• Atak zero-click, który wykorzystuje integracje OpenClaw do umieszczenia tylnego wejścia na punkcie końcowym ofiary przy zachowaniu persistent kontrol, kiedy pozornie nieszkodliwy dokument jest przetwarzany przez agenta AI, co skutkuje wykonaniem pośredniego ładunku wstrzyknięcia promptu, który pozwala mu odpowiadać na wiadomości z kontrolowanego przez atakującego bota Telegram.
• Pośrednie wstrzyknięcie promptu osadzone na stronie internetowej, które, gdy jest przetwarzane jako część niewinnego promptu proszącego dużą sieć językową (LLM) o podsumowanie treści strony, sprawia, że OpenClaw dodaje zestaw instrukcji kontrolowanych przez atakującego do pliku ~/.openclaw/workspace/HEARTBEAT.md i cicho czeka na dalsze polecenia z zewnętrznego serwera.
• Analiza bezpieczeństwa 3 984 umiejętności na rynku ClawHub wykazała, że 283 umiejętności, około 7,1% całego rejestru, zawiera krytyczne luki w bezpieczeństwie, które narażają wrażliwe dane uwierzytelniające w postaci jawnej poprzez konteksty okna LLM oraz logi wyjściowe.
• Raport Bitdefendera ujawnił, że złośliwe umiejętności często są klonowane i publikowane masowo z małymi wariacjami nazw, a payloady są przygotowywane za pomocą usług wklejania, takich jak glot.io i publiczne repozytoria GitHub.
• Wrażliwość na jedno kliknięcie zdalnego wykonania kodu dotykająca OpenClaw, która mogłaby pozwolić atakującemu na oszukanie użytkownika, aby odwiedził złośliwą stronę, co mogłoby spowodować wyciek tokena uwierzytelniającego OpenClaw przez kanał WebSocket i następnie wykorzystać go do wykonywania dowolnych poleceń na hoście.
• Brama OpenClaw wiąże się z 0.0.0.0:18789 domyślnie, co wystawia pełne API na każdą interfejs sieciowy. Z danych Censys wynika, że w dniu 8 lutego 2026 roku istnieje ponad 30 000 odkrytych instancji dostępnych w internecie, chociaż większość wymaga podania wartości tokena, aby je wyświetlić i z nimi interagować.
• W hipotetycznym scenariuszu ataku, wstrzyknięcie promptu osadzone w specjalnie przygotowanej wiadomości WhatsApp można wykorzystać do wykradania plików „.env” i „creds.json”, które przechowują dane uwierzytelniające, klucze API i tokeny sesji dla połączonych platform messagingowych z odkrytej instancji OpenClaw.
• Nieprawidłowo skonfigurowana baza danych Supabase należąca do Moltbook, która została pozostawiona odkryta w JavaScript po stronie klienta, co umożliwiło swobodny dostęp do tajnych kluczy API każdego zarejestrowanego agenta na stronie, co pozwala na pełen dostęp do danych platformy. Według Wiz, ujawnienie obejmowało 1,5 miliona tokenów uwierzytelniających API, 35 000 adresów e-mail i prywatnych wiadomości między agentami.
• Podmioty zagrożeń wykorzystały mechanikę platformy Moltbook, aby zwiększyć zasięg i kierować inne agenty w stronę złośliwych wątków zawierających wstrzyknięcia promptów, aby manipulować ich działaniem i wydobywać wrażliwe dane lub kraść kryptowaluty.
• „Moltbook mogło niechcący stworzyć laboratorium, w którym agenci, będący cennymi celami, nieustannie przetwarzają i angażują się w zaufane dane, w którym żadne zabezpieczenia nie są wbudowane w platformę – wszystko to według projektu,” stwierdziły Zenity Labs.
• „Pierwszym, a być może najpoważniejszym problemem jest to, że OpenClaw opiera się na skonfigurowanym modelu językowym w podejmowaniu wielu decyzji krytycznych dla bezpieczeństwa,” zauważyli badacze HiddenLayer: Conor McCauley, Kasimir Schulz, Ryan Tracey i Jason Martin. „O ile użytkownik nie włączy aktywnie funkcji sandboxingu narzędzi opartych na Dockerze, pełny dostęp do systemu pozostaje domyślny.”
• Inne problemy architektoniczne i projektowe zidentyfikowane przez firmę zajmującą się bezpieczeństwem AI to: brak filtrowania niesprawdzonych treści zawierających sekwencje sterujące, nieskuteczne zabezpieczenia przed pośrednimi wstrzyknięciami promptów, modyfikowalne pamięci i systemowe prompty, które przetrwają w przyszłych sesjach czatu, przechowywanie danych uwierzytelniających API i tokenów sesji w postaci jawnej oraz brak jawnej zgody użytkownika przed wykonaniem wywołań narzędzi.

W raporcie opublikowanym w zeszłym tygodniu, Persmiso Security argumentowało, że bezpieczeństwo ekosystemu OpenClaw jest znacznie ważniejsze niż sklepy aplikacji i rynki rozszerzeń przeglądarki z uwagi na szeroki dostęp agentów do danych użytkowników. „Agenci AI otrzymują dane uwierzytelniające do całego Twojego życia cyfrowego,” zauważył badacz bezpieczeństwa Ian Ahl. „I w przeciwieństwie do rozszerzeń przeglądarki działających w piaskownicy z pewnym poziomem izolacji, ci agenci działają z pełnymi przywilejami, które im przyznajesz.”

„Rynek umiejętności zaostrza tę sytuację. Kiedy instalujesz złośliwe rozszerzenie przeglądarki, kompromitujesz jeden system. Gdy instalujesz złośliwą umiejętność agenta, potencjalnie kompromitujesz każdy system, do którego ten agent ma dane uwierzytelniające.”

Długa lista problemów bezpieczeństwa związanych z OpenClaw skłoniła chińskie Ministerstwo Przemysłu i Technologii Informacyjnej do wystosowania ostrzeżenia na temat niewłaściwie skonfigurowanych instancji, wzywając użytkowników do wdrożenia zabezpieczeń w celu ochrony przed atakami cybernetycznymi i naruszeniami danych, według Reutersa.

„Kiedy platformy agentów stają się popularne szybciej niż rozwijają się praktyki bezpieczeństwa, niewłaściwe konfiguracje stają się główną powierzchnią ataku,” powiedział Ensar Seker, CISO w SOCRadar, w e-mailu do The Hacker News. „Ryzyko nie dotyczy samego agenta; chodzi o wystawienie autonomicznych narzędzi na publiczne sieci bez wzmocnionej tożsamości, kontroli dostępu i granic egzekucji.”

„Warto zauważyć, że chiński regulator wyraźnie zwraca uwagę na ryzyko konfiguracji, a nie na zakaz technologii. To zgodne z tym, co obrońcy już wiedzą: ramy agentów wzmacniają zarówno produktywność, jak i zasięg szkód. Pojedynczy wystawiony punkt końcowy lub zbyt luźny wtyczka może zamienić agenta AI w niezamierzoną warstwę automatyzacji dla atakujących.”