OpenClaw позволяет злоумышленникам без труда извлекать системные подсказки и конфигурации. База данных Moltbook, включая API-ключи, находится в открытом доступе.
Разработчик Лукас Вальбуэна протестировал OpenClaw (ранее известный как Clawdbot) через инструмент безопасности ZeroLeaks. Результаты оказались плохими: система набрала всего 2 из 100 баллов. В 84% случаев атаки заканчивались извлечением данных, а 91% инъекций оказывались успешными. Системная подсказка была раскрыта с первой попытки. Подробный разбор опубликован в открытом доступе.
Вальбуэна предупреждает: любой пользователь OpenClaw может получить полный системный промпт, конфигурацию инструментов и файлы памяти агента, включая SOUL.md и AGENTS.md, а также всю вложенную информацию. “Для агентов с доступом к конфиденциальным процессам или личным данным это серьезная проблема,” — пишет он.
Исследователь Джеймисон О’Рейли обнаружил еще одну критическую уязвимость на Moltbook — платформе, где между собой взаимодействуют ИИ-агенты. Вся база данных, включая секретные API-ключи, остается незащищенной и доступна онлайн. Это позволяет мошенникам отправлять сообщения от имени любого агента.
В качестве примера О’Рейли приводит выступление Андрея Карпати (1,9 млн подписчиков на X), который также присутствует на Moltbook. Скомпрометированные ключи дают возможность публиковать фейки, рекламу мошеннических схем или политические заявления от его имени. На момент исследования уязвимы были все агенты платформы.
Запуск Clawdbot на Moltbook крайне опасен. Ваш агент открыт для атак через подмену подсказок, и угрозой являются не только другие агенты — любой человек может получить доступ к Moltbook API и целенаправленно атаковать слабозащищенных агентов.
Обе ситуации показывают главную проблему: инъекция подсказок остается серьезной угрозой для ИИ-агентов. Сейчас не существует эффективной защиты от таких атак.
Позитивный момент — проекты вроде OpenClaw и Moltbook выявляют уязвимости в системах ИИ-агентов, что может ускорить разработку решений. Однако неопытным пользователям лучше держаться подальше от таких платформ.
Разработчикам рекомендуется тщательно защищать свои инсталляции Clawdbot. Чувствительная информация должна храниться через переменные окружения и специальные вызовы инструментов, а не напрямую в файлах конфигурации. Если сервер не размещён локально, его нужно защищать туннелями, реверс-проксированиями и решениями уровня публичных веб-приложений.
Пользователь X fmdz ранее предупреждал о скорой “clawd-катастрофе”. Его сканирование показало 954 экземпляра Clawdbot c открытыми портами без авторизации. Этими экземплярами управляют серверы из США, Китая, Германии, России и Финляндии. Он ожидает массовой утечки данных, если ситуация не изменится. Для безопасности fmdz советует использовать Cloudflare Tunnel с Zero Trust Login или Nginx с HTTPS и паролем.
