Исследователи не нашли вредоносных навыков OpenClaw в проверенной выборке

Сканирование оставшегося устанавливаемого контента реестра ClawHub после кампании ClawHavoc выявило совпадения с правилами обнаружения угроз, но не подтвердило наличие вредоносных навыков. При ручной проверке 69 навыков сочли рискованными по своей конструкции, 1 167 признали безопасными, ещё шесть отнесли к неопределённым. Заблокированные, помещённые в карантин или скрытые версии в выгрузку не попали, поэтому результаты не подтверждают безопасность всего контента ClawHub.

Что показала проверка навыков

Исследователи просканировали 81 535 навыков OpenClaw. Из анализа исключили 1 307 инструментов безопасности, а для 80 228 остальных применили 785 стабильных и тестовых правил обнаружения угроз в цепочке поставок для агентов. Как минимум одному правилу соответствовали 1 242 навыка, или 1,55 % проверенной выборки. В 615 случаях совпадение было критическим.

Среди соответствий MITRE ATLAS чаще всего встречались компрометация цепочки поставок ИИ, затронувшая 699 навыков, и внедрение промптов в большие языковые модели, затронувшее 180 навыков. В классификации OWASP чаще всего отмечались перехват целей агента, уязвимости цепочки поставок агентных систем, злоупотребление идентификацией и привилегиями, а также неожиданное выполнение кода.

Доступ к данным и выполнение кода

OpenClaw загружает файл SKILL.md как инструкции и выполняет их с правами пользователя. Навык может получать доступ к локальным файлам, оболочкам, переменным окружения, ключам API, сессиям браузера, подключённым аккаунтам и сетевым ресурсам. Исследователи обнаружили, что 2 379 навыков, или 2,97 % от общего числа подсчитанных навыков, передают загружаемые данные напрямую в оболочки, такие как sh, bash, zsh или PowerShell. В таких случаях удалённый код может выполниться до проверки.

Пятнадцать навыков предлагали пользователям ослабить средства защиты операционной системы: снять карантин macOS, добавить исключения в Microsoft Defender или отключить антивирус. Семнадцать навыков перенаправляли параметр ANTHROPIC_BASE_URL на сторонних поставщиков или ретрансляторы. Это потенциально могло привести к раскрытию промптов, встроенного кода и ключей API. Ещё три навыка отправляли ключи OpenAI напрямую на IP-адреса по незашифрованному HTTP.

Пять навыков открывали через публичные туннели доступ к терминалам, рабочим столам, сессиям браузера или локальным файлам. Отдельный риск связан с версиями: у 35 226 навыков было опубликовано несколько версий, а операции обновления могут устанавливать более новое содержимое, если версии не зафиксированы.

Рекомендации по проверке навыков

Авторы отчёта рекомендуют:

• читать файл SKILL.md и проводить его аудит;
• проверять загружаемые скрипты и внешние конечные точки;
• отклонять инструкции по обходу средств защиты;
• оценивать степень экспозиции публичных туннелей;
• фиксировать проверенные версии.

Авторы также отмечают, что средствам безопасности требуется сопоставимый уровень внимания, поскольку они выполняются с теми же привилегиями агента, что и другие компоненты.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.