Сервис VirusTotal обнаружил массовое распространение вредоносных расширений для AI-агента OpenClaw (ранее Clawdbot). Речь идёт о сотнях вредоносных «скиллов», размещённых на платформе ClawHub.
OpenClaw — это локальный AI-агент, который запускается на компьютере пользователя и может выполнять реальные действия: выполнять команды в терминале, работать с файлами и отправлять сетевые запросы. Функциональность агента расширяется через устанавливаемые пользователем модули‑скиллы, разрабатываемые сообществом.
По данным VirusTotal, атакующие загружали на ClawHub модули с троянами и инструментами для кражи данных, маскируя их под легитимные скиллы. Код таких скиллов часто выглядел безобидно, но содержал инструкции для агента скачать и запустить внешние вредоносные файлы, включая известный троян для macOS Atomic Stealer. Один из пользователей загрузил более 300 заражённых скиллов.
Основатель OpenClaw Петер Штайнбергер объявил о партнёрстве с VirusTotal в ответ на атаку. Теперь каждый скилл, публикуемый на ClawHub, автоматически проверяется с помощью функции VirusTotal Code Insight на базе модели Google Gemini и других инструментов. Система анализирует реальные действия модуля с точки зрения безопасности: загружает ли он внешние файлы, обращается ли к конфиденциальным данным или пытается склонить агента к небезопасному поведению.
Скиллы, которые система считает безопасными, одобряются автоматически. Подозрительные получают предупреждающую метку, а явно вредоносные блокируются сразу. Уже активные модули проходят повторное ежедневное сканирование.
Инцидент показывает, насколько уязвимыми остаются AI-агенты для кибератак. Языковые модели работают с вероятностями и обрабатывают естественный язык, что даёт злоумышленникам много вариантов для атак. OpenClaw, который выступает оболочкой для агентных AI‑моделей, таких как Claude Opus и GPT‑5.2, ранее уже фигурировал в сообщениях о серьёзных уязвимостях.
Сейчас у индустрии почти нет эффективной защиты от подобных атак. По сути, единственной действенной мерой остаётся изоляция моделей в строго контролируемых средах, что противоречит открытому архитектурному подходу OpenClaw.
Партнёрство с VirusTotal снижает риск, но не решает базовую проблему. Программные проверки не способны надёжно определять целевые атаки через естественный язык, так называемые prompt-инъекции, которые остаются главным слабым местом современных AI‑систем. Штайнбергер честно говорит об ограничениях: «Безопасность — это эшелонированная защита. Это один уровень. Будут и другие».
Он также заявляет о более амбициозных целях: «AI-агенты, которые выполняют действия в физическом мире, заслуживают полноценных процессов безопасности. Мы создаём такие процессы. […] Мы нацелены сделать OpenClaw самой безопасной платформой AI‑агентов». Компания привлекла основателя компании Dvuln Джеймисона О’Рейли на позицию старшего консультанта по безопасности.
Источник: публикация VirusTotal, материалы The Decoder.
