Исследователи из Certik предупреждают: навыки искусственного интеллекта Openclaw уязвимы для злонамеренных атак

В отчете Certik отмечаются серьезные уязвимости в Openclaw, платформе искусственного интеллекта с открытым исходным кодом, в частности, её зависимость от «сканирования навыков», которое не обеспечивает надлежащую защиту пользователей от вредоносных сторонних расширений.

Ограничения конвейера модерации Clawhub

Отчет компании Certik, специализирующейся на кибербезопасности, выявил значительные пробелы в безопасности OpenClaw, платформы с открытым исходным кодом для агентов искусственного интеллекта, и предупредил, что ее зависимость от «сканирования навыков» недостаточна для защиты пользователей от вредоносных сторонних расширений.

Результаты исследования, опубликованные 16 марта 2026 года, указывают на то, что модель безопасности платформы слишком сильно зависит от обнаружения и предупреждений, а не от надежной изоляции во время выполнения, что делает пользователей уязвимыми для атак на уровне хоста.

Согласно отчету, маркетплейс Openclaw, Clawhub, в настоящее время использует многоуровневый процесс модерации для проверки «навыков» — сторонних приложений, которые предоставляют агенту ИИ такие возможности, как автоматизация систем или операции с криптовалютными кошельками. Этот конвейер включает Virustotal для сканирования известного вредоносного ПО и Static Moderation Engine — инструмент, представленный 8 марта 2026 года, для выявления подозрительных шаблонов кода. Он также включает в себя то, что в отчете названо «детектором несоответствий», предназначенным для выявления несоответствий между заявленной целью навыка и его фактическим поведением.

Однако исследователи Certik заявили, что статические правила, ищущие «красные флажки», были обойдены с помощью простого переписывания кода. Они также утверждали, что уровень проверки ИИ оказался эффективным в выявлении явных намерений, но испытывал трудности с идентификацией уязвимостей, скрытых в коде, который в остальном выглядел правдоподобно.

Пробел в статусе «Ожидание»

Одним из наиболее критических недостатков, выявленных Certik, является обработка ожидающих результатов сканирования. Исследователи обнаружили, что навык может оставаться активным и доступным для установки на платформе даже тогда, когда результаты Virustotal еще находятся в ожидании — процесс, который может занимать часы или дни. На практике эти ожидающие навыки рассматривались как безобидные, что позволяло устанавливать их без предупреждения пользователя.

Чтобы доказать наличие уязвимости, исследователи Certik создали навык «test-web-searcher» для подтверждения концепции (PoC). Скилл выглядел работоспособным и безобидным, но содержал скрытую «уязвимую» ошибку, позволяющую произвольно выполнять команды на хост-машине. При запуске через Telegram скилл успешно обошел опциональную песочницу Openclaw и «запустил калькулятор» на компьютере исследователя — классическая демонстрация полного взлома системы.

В отчете делается вывод, что обнаружение никогда не может заменить настоящую границу безопасности. Certik призывает разработчиков Openclaw по умолчанию запускать сторонние навыки в изолированных средах, а не полагаться на опциональную настройку пользователем. Разработчики также должны внедрить модель, при которой навыки должны заранее заявлять о конкретных потребностях в ресурсах, аналогично современным мобильным операционным системам.

Для пользователей Certik выступил с суровым предупреждением: метка «безопасный» на Clawhub не является доказательством безопасности. До тех пор, пока более сильная изоляция не станет стандартом, платформу следует использовать только в средах с низкой ценностью, вдали от конфиденциальных учетных данных или активов.

Часто задаваемые вопросы ❓

• Какую проблему безопасности обнаружила Certik в Openclaw? Certik сообщила, что зависимость Openclaw от «сканирования навыков» не обеспечивает адекватную защиту пользователей от вредоносных сторонних расширений.
• Как работает процесс модерации в Openclaw? Openclaw использует многоуровневый процесс модерации, включая такие инструменты, как Virustotal и детектор несоответствий, для проверки сторонних «навыков».
• В чем заключается критическая уязвимость, связанная с ожидающими результатами сканирования? Навыки могут оставаться активными и доступными для установки, пока результаты сканирования находятся в ожидании, что создает риск, поскольку пользователи могут неосознанно установить вредоносные расширения.
• Что должны делать пользователи для защиты своих данных в Openclaw? Пользователям рекомендуется использовать Openclaw только в средах с низкой ценностью данных до тех пор, пока разработчики не внедрят более надежные меры изоляции.