# OpenClaw: уязвимость CVE-2026-25253 и сотни вредоносных «навыков» в ClawHub

> В начале 2026 года популярный персональный AI-агент OpenClaw столкнулся сразу с двумя проблемами: уязвимостью, позволявшей захватить агента по одной ссылке, и массовой публикацией вредоносных «навыков» в его каталоге. Koi Security нашла 341 вредоносный навык из 2857 проверенных, большинство устанавливали программу-похититель данных для macOS.

- Канонический HTML: [/incidents/openclaw-cve-2026-25253-clawhavoc](https://ai-first.tech/incidents/openclaw-cve-2026-25253-clawhavoc)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2026-02
- Категория: AI-агенты и MCP
- Затронуто: Пользователи открытого AI-агента OpenClaw (ранее Clawdbot, Moltbot) и каталога навыков ClawHub
- Критичность: Критический
- CVE: CVE-2026-25253

## Что произошло

30 января 2026 года OpenClaw выпустил версию 2026.1.29 с исправлением уязвимости, найденной Mav Levin из depthfirst; 2 февраля она была раскрыта как CVE-2026-25253 с оценкой CVSS 8.8. Уязвимость позволяла через вредоносную ссылку похитить токен доступа к агенту и затем выполнить команды на компьютере, где он запущен. Одновременно Koi Security проверила 2857 навыков в каталоге ClawHub и нашла 341 вредоносный. 335 из них относились к кампании ClawHavoc: под видом обязательной подготовки к установке пользователю предлагали скачать программу или выполнить команду, которые устанавливали Atomic Stealer (AMOS). Навыки маскировались под финансовые инструменты, интеграции с Google Workspace и криптовалютные утилиты.

## Где нарушилась защита

В случае CVE веб-интерфейс агента принимал адрес шлюза из параметров ссылки без проверки и автоматически отправлял на него токен; атака работала даже при доступе к агенту только с локальной машины, потому что посредником становился браузер жертвы. В случае навыков граница доверия была нарушена в каталоге: для публикации хватало аккаунта GitHub старше недели, без анализа кода и подписи. Пользователи доверяли инструкциям в описании навыка как документации.

## Последствия

- Возможность захвата агента с широкими правами на компьютере пользователя по одной ссылке
- 341 вредоносный навык в каталоге, около 12% проверенных
- Кража паролей браузера, ключей SSH, криптокошельков и сессий мессенджеров через AMOS

## Реакция

OpenClaw исправил уязвимость в версии 2026.1.29. Создатель проекта Peter Steinberger добавил в ClawHub механизм жалоб: навык с более чем тремя уникальными жалобами скрывается автоматически.

## Уроки для бизнеса

- Персональные AI-агенты с доступом к системе — полноценная цель атак, а не игрушка энтузиастов
- Каталоги навыков и плагинов без проверки повторяют проблемы ранних магазинов расширений
- Локальная привязка сервиса не защищает, если браузер пользователя может стать посредником
- Сотрудники устанавливают такие агенты самостоятельно, что создаёт теневую инфраструктуру

## Меры защиты

- Запретить или контролировать установку автономных AI-агентов на корпоративных устройствах
- Обновить OpenClaw до версии 2026.1.29 или новее
- Разрешать навыки только из проверенного внутреннего списка
- Отслеживать на рабочих станциях признаки AMOS и других похитителей данных
- Ограничивать права агента в ОС и изолировать его от основных учётных данных

Связанные карточки угроз: A33, A34, A54, A59, A12

## Первоисточники

- [OpenClaw Bug Enables One-Click Remote Code Execution via Malicious Link](https://thehackernews.com/2026/02/openclaw-bug-enables-one-click-remote.html) — The Hacker News
- [Researchers Find 341 Malicious ClawHub Skills Stealing Data from OpenClaw Users](https://thehackernews.com/2026/02/researchers-find-341-malicious-clawhub.html) — The Hacker News
- [OpenClaw's Skill Marketplace and the Emerging AI Supply Chain Threat](https://unit42.paloaltonetworks.com/openclaw-ai-supply-chain-risk/) — Palo Alto Networks Unit 42