Первый большой кризис безопасности ИИ-агентов уже здесь

OpenClaw — open-source агент ИИ, который за считанные недели собрал более 135.000⭐ на GitHub — стал не только технологическим феноменом, но и эпицентром крупнейшего инцидента в сфере AI-агентов 2026 года.

«Агенты ИИ с широким доступом к системе представляют собой принципиально новую категорию риска».

🔎OpenClaw (ранее Clawdbot и Moltbot) — автономный AI-агент, который может:
▶️выполнять shell-команды
▶️читать и записывать файлы
▶️отправлять письма
▶️управлять календарями
▶️интегрироваться с Slack, Google Workspace и мессенджерами
В отличие от обычных ассистентов, он действует от вашего имени. Пользователи даже покупают отдельные устройства, чтобы держать его запущенным 24/7.

Ключевая особенность —

постоянная память

: агент запоминает контекст и со временем изучает ваши привычки.

Удобно? Безусловно. Безопасно? Уже нет.

👉Хронология кризиса OpenClaw
⏺️27–29 января 2026
Через маркетплейс ClawHub злоумышленники распространили 335 вредоносных навыков, маскируя их под легитимные инструменты с профессиональными описаниями и нейтральными названиями вроде solana-wallet-tracker.
После установки пользователям предлагалось запустить внешний код — именно он разворачивал кейлоггеры на Windows и Atomic Stealer на macOS.
Позже исследователи подтвердили: 341 из 2857 навыков (≈12%) были скомпрометированы. Это показало, насколько уязвима экосистема, где публикация расширений практически не модерируется.

Один из экспертов назвал происходящее «первым supply-chain кризисом в мире автономных AI-агентов».

⏺️30 января 2026 — «тихий» патч и CVE-2026-25253
OpenClaw выпускает версию 2026.1.29, закрывающую уязвимость, но без немедленного публичного раскрытия деталей.
Проблема позволяла выполнить удалённый код через одну вредоносную ссылку — атака эксплуатировала доверие Control UI к параметрам URL и уязвимость WebSocket-соединений.
Даже инстансы, настроенные только на localhost, могли быть захвачены через межсайтовый hijacking.

Позже исследователи подтвердили: «эксплуатация занимает миллисекунды после открытия страницы».

⏺️31 января 2026 — 21 639 открытых экземпляров
Censys выявила 21 639 публично доступных инстансов OpenClaw — всего несколькими днями ранее их было около 1000. Рост оказался взрывным. Во многих из них обнаружили утечки API-ключей, OAuth-токенов и учетных данных в открытом виде. США лидировали по числу развертываний, за ними следовал Китай, где около 30% работали на Alibaba Cloud.

Это означало, что даже без сложной эксплуатации тысячи агентов уже были доступны извне.

⏺️31 января 2026
На той же неделе обнаружили, что Moltbook — соцсеть для OpenClaw-агентов — имела незащищённую базу данных. В результате утекли 35 000 email-адресов и 1,5 млн API-токенов. При этом платформа насчитывала более 770.000 активных агентов.

Экосистема вокруг OpenClaw росла быстрее, чем выстраивалась её безопасность — классический сценарий «growth over governance».

⏺️3 февраля 2026
CVE-2026-25253 получил публичный статус с рейтингом CVSS 8.8 (High). В тот же день OpenClaw опубликовал ещё две рекомендации по безопасности, связанные с внедрением команд.
Фактически стало ясно: агент с системным доступом + постоянная память + SaaS-интеграции = новый класс атак.

Сообщество безопасности назвало OpenClaw «кошмаром для ИБ» и «пожаром в мусорном контейнере», но популярность проекта продолжала расти.

🎇Почему это критично для бизнеса
Проблема не только в багах. Проблема в том, что сотрудники подключают личных AI-агентов к корпоративным системам — без ведома ИБ. OpenClaw может получить доступ к:
▶️Slack-сообщениям
▶️Gmail
▶️календарям
▶️документам
▶️OAuth-токенам для lateral movement
А благодаря «постоянной памяти» — все данные сохраняются между сессиями.

Если агент будет скомпрометирован, злоумышленник унаследует весь этот доступ. Это уже называют:
«теневой ИИ с повышенными привилегиями».

#OpenClaw #Moltbot #Clawdbot #ClawHub #news

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером