Что произошло
30 января 2026 года OpenClaw выпустил версию 2026.1.29 с исправлением уязвимости, найденной Mav Levin из depthfirst; 2 февраля она была раскрыта как CVE-2026-25253 с оценкой CVSS 8.8. Уязвимость позволяла через вредоносную ссылку похитить токен доступа к агенту и затем выполнить команды на компьютере, где он запущен. Одновременно Koi Security проверила 2857 навыков в каталоге ClawHub и нашла 341 вредоносный. 335 из них относились к кампании ClawHavoc: под видом обязательной подготовки к установке пользователю предлагали скачать программу или выполнить команду, которые устанавливали Atomic Stealer (AMOS). Навыки маскировались под финансовые инструменты, интеграции с Google Workspace и криптовалютные утилиты.
Где нарушилась защита
В случае CVE веб-интерфейс агента принимал адрес шлюза из параметров ссылки без проверки и автоматически отправлял на него токен; атака работала даже при доступе к агенту только с локальной машины, потому что посредником становился браузер жертвы. В случае навыков граница доверия была нарушена в каталоге: для публикации хватало аккаунта GitHub старше недели, без анализа кода и подписи. Пользователи доверяли инструкциям в описании навыка как документации.
Последствия
- Возможность захвата агента с широкими правами на компьютере пользователя по одной ссылке
- 341 вредоносный навык в каталоге, около 12% проверенных
- Кража паролей браузера, ключей SSH, криптокошельков и сессий мессенджеров через AMOS
Реакция
OpenClaw исправил уязвимость в версии 2026.1.29. Создатель проекта Peter Steinberger добавил в ClawHub механизм жалоб: навык с более чем тремя уникальными жалобами скрывается автоматически.
Уроки для бизнеса
- Персональные AI-агенты с доступом к системе — полноценная цель атак, а не игрушка энтузиастов
- Каталоги навыков и плагинов без проверки повторяют проблемы ранних магазинов расширений
- Локальная привязка сервиса не защищает, если браузер пользователя может стать посредником
- Сотрудники устанавливают такие агенты самостоятельно, что создаёт теневую инфраструктуру
Меры, которые предотвратили бы инцидент
- Запретить или контролировать установку автономных AI-агентов на корпоративных устройствах
- Обновить OpenClaw до версии 2026.1.29 или новее
- Разрешать навыки только из проверенного внутреннего списка
- Отслеживать на рабочих станциях признаки AMOS и других похитителей данных
- Ограничивать права агента в ОС и изолировать его от основных учётных данных