AI-агент "OpenClaw": Серьезные риски безопасности, предупреждение от CertiK

Основные моменты статьи:

• Работает в 135 000 экземплярах в 82 странах, из которых 15 200 имеют уязвимости.
• CertiK рекомендует пользователям, не являющимся техническими специалистами, воздержаться от использования.

Раскрыты риски безопасности AI-агентов

Компания CertiK, крупный игрок в области безопасности блокчейна, 31 марта опубликовала всесторонний отчет о безопасности открытого исходного кода, AI-агента с возможностью локального запуска "OpenClaw".

OpenClaw, получивший более 300 000 звезд на GitHub, демонстрирует стремительный рост. Однако CertiK отмечает, что за этим быстрым распространением скрываются серьезные уязвимости, которые могут привести к несанкционированному доступу, утечке данных и взлому системы. Компания предупреждает о накоплении значительных "долгов безопасности".

OpenClaw - это фреймворк для AI-агентов с открытым исходным кодом, который был запущен в ноябре 2025 года как побочный проект под названием Clawdbot. Он работает автономно на ПК и серверах, позволяя выполнять операции в браузере, запускать код и взаимодействовать с более чем 50 платформами обмена сообщениями. OpenClaw привлекает внимание как "AI-агент, способный к действию", выходящий за рамки простого чат-бота.

Однако, всего за четыре месяца после запуска (ноябрь 2025 - март 2026), на GitHub было опубликовано более 280 сообщений об уязвимостях и более 100 CVE (идентификаторов общих уязвимостей).

Компания по кибербезопасности Bitsight определила 30 000 экземпляров OpenClaw, опубликованных в интернете. Исследователи компании SecurityScorecard обнаружили 135 000 экземпляров в 82 странах, из которых 15 200 имели уязвимости, позволяющие удаленное выполнение кода.

В отчете подчеркивается, что фундаментальной проблемой является то, что первоначальный дизайн OpenClaw предполагал "доверенную локальную среду".

Анализ показал, что шлюз (gateway) полагался на доступ из локальной сети, рассматривая его как подтверждение личности, и, следовательно, необходимые проверки аутентификации были опущены. В результате, такие элементы, как localhost, параметры URL, границы операционной системы и приложений, были использованы для получения всесторонних прав управления, включая выполнение команд, доступ к файловой системе, автоматическое управление браузером и контроль над несколькими устройствами. В результате, в большинстве локальных сред эксплуатации, потенциальный ущерб может быть практически неограниченным.

Связанные материалы: На GitHub обнаружена фишинговая атака с использованием криптовалюты, нацеленная на разработчиков OpenClaw

Наиболее серьезные уязвимости

В отчете перечислены следующие наиболее серьезные уязвимости:

• Уязвимости в аутентификации при управлении шлюзом.
• Уязвимости в привязке идентификаторов между платформами обмена сообщениями.
• Несоответствие между политиками и их применением.
• Небезопасные границы файловой системы.

Кроме того, отмечено, что "навыки" - это расширения, которые могут быть добавлены извне, и они могут стать источником атак на цепочку поставок, поскольку существует риск внедрения вредоносного кода. В отличие от традиционного программного обеспечения, эти расширения влияют на поведение агентов через ввод естественного языка, что затрудняет их обнаружение с помощью стандартных средств безопасности, как отмечается в отчете.

В отчете также подчеркивается, что ошибки в настройке среды могут представлять такой же риск, как и ошибки на уровне кода. Такие ошибки, как отключение песочницы, слабые настройки разрешений и общие шлюзы, могут привести к тому, что, даже если ИИ-агент работает нормально, он может оказаться в состоянии, эквивалентном "компрометации".

Кроме того, "инъекция запросов" - это метод, с помощью которого в текст внедряются скрытые инструкции для манипулирования поведением ИИ-агента, и он остается серьезной и нерешенной угрозой.

В отчете подчеркивается, что эти проблемы нельзя решить только путем улучшения самих моделей ИИ, и необходимы комплексные механизмы, такие как многоуровневая защита на системном уровне, строгий контроль возможностей ИИ и защита постоянной памяти.

Компания CertiK призывает разработчиков рассматривать безопасность как основной требование при проектировании, а также строго придерживаться построения формальных моделей угроз, усиления плоскости управления, применения строгих границ разрешений и реализации многоуровневой защиты от инъекций запросов.

Операторы должны управлять агентами с той же строгостью, что и привилегированными пользователями, применяя ограничения доступа, активируя песочницу, регулярно проверяя настройки и тщательно проверяя сторонние интеграции.

Наконец, компания CertiK настоятельно рекомендует пользователям, не являющимся специалистами, "воздержаться от использования OpenClaw до тех пор, пока экосистема не станет более зрелой", поскольку это может быть более безопасным.

См. также: В ИИ-агентах ClawHub обнаружен вредоносный код, предупреждение о краже криптовалюты