Не спешите устанавливать Clawdbot. В хайповом нейропомощнике нашли пачку критичных опасностей

Что за Clawdbot

Clawdbot (также известный как Moltbot или OpenClaw) — самоуправляемый ИИ-ассистент с открытым исходным кодом, который можно привязать к любой модели, которую выберет пользователь (ChatGPT, Anthropic, DeepSeek, Qwen и др.).

С его помощью можно в фоновом режиме выполнять действия на компьютере пользователя — просто дать ему задачу, а дальше умный бот сам разберется.

Clawdbot можно привязать к любому мессенджеру, где вам удобнее с ним общаться, дать доступ к почте, аккаунтам, приложениям, чтобы он по вашей команде в чате действовал там от вашего имени. Разобрать накопившиеся письма, напомнить о записи в календаре, написать код, запустить команды, бронировать за вас столики в ресторане и туры в отпуск — все это он умеет.

Но не торопитесь восторгаться и бежать устанавливать этого ассистента с хрестоматийным криком «просто возьми мои деньги». Он, кстати, бесплатный — если и нужно будет платить, то за API-доступ к платным моделям.

Как известно, если что-то бесплатно и подозрительно хорошо — оглянитесь, возможно, вы уже в мышеловке.

Чтобы ассистент действительно работал, ему приходится дать доступ к почте, мессенджерам, телефонному номеру, а иногда и к банковским или корпоративным системам. И именно здесь начинаются проблемы.

Опасность Clawdbot: что скрывает ассистент

Одним из первых тревогу забил Джеймсон О'Райли, основатель компании Dvuln, занимающейся тестированием на проникновение.

Он обнаружил сотни публично доступных экземпляров Clawdbot (еще до переименования), которые были выложены в интернет из-за ошибок настройки. По его словам, речь шла о неправильной конфигурации прокси и локальных соединений, из-за чего система могла автоматически аутентифицироваться без дополнительной проверки.

Уязвимость уже закрыли, но в случае реальной атаки злоумышленники могли бы получить доступ к переписке за месяцы, учетным данным, API-ключам и всему, к чему пользователи сами дали доступ ассистенту.

Сканирование через Shodan (поисковая система, которая индексирует устройства и сервисы, подключенные к интернету) показало: часть инстансов была полностью открыта, без какой-либо аутентификации. Другие имели частичную защиту или тестовые настройки, которые снижали риск, но не устраняли его.

Подрыв доверия

На этом история не закончилась. О'Райли опубликовал еще один разбор — на этот раз о библиотеке навыков ClawdHub, из которой Moltbot/Clawdbot загружает дополнительные модули.

Он загрузил туда «безобидный» навык, искусственно накрутил количество скачиваний и увидел, как разработчики из семи стран установили этот пакет.

Эксперимент показал, что при желании через такой модуль можно выполнять команды на машине пользователя.

По словам исследователя, в реальной атаке это могло бы привести к утечке SSH-ключей, облачных учетных данных и целых репозиториев — еще до того, как пользователь понял бы, что происходит.

Проблема усугубляется тем, что ClawdHub прямо указывает: весь код из библиотеки считается доверенным. Модерации сейчас нет, и проверка модулей полностью ложится на разработчиков.

Clawdbot как мишень для киберпреступников и дыра в кошельке

На словах прекрасное будущее с ИИ-агентами выглядит типичной сказкой «вкалывают роботы — счастлив человек». На практике реальное применение таких агентов очень быстро приводит к необходимости контролировать каждый шаг своих слишком умных помощников и буквально за ручку проводить по опасным водам мирового интернета.

Показательный кейс: один пользователь из соцсети X (бывший Twitter) дал ИИ-агенту Clawdbot полный доступ к своему компьютеру и банковским счетам, чтобы тот зарабатывал деньги за него.

Спустя несколько дней он внезапно обнаружил списание со своего счета $3 тыс. Оказалось, что нейронка начиталась каналов инфоцыган, купилась как ребенок на их сладкие посулы и потратила деньги пользователя… на покупку курса по заработку.

Но вынудить бота потратить все ваши деньги можно не только завлекательной рекламой. Многие пользователи просто не отслеживают, какие личные и корпоративные учетные данные они передали системе. В результате один неверный шаг может превратить удобный инструмент в открытую дверь для атак, например, с использованием вредоносных промптов.

Это новый вид атак на ИИ-помощников — когда на страницы, куда заходит ваш бот по вашему запросу, встраивают невидимый текст, считывающийся нейросетью как новый промпт. И во многих случаях этого оказывается достаточно, чтобы он начал служить другому хозяину. Например, переслал все ваши деньги и данные по указанному в промпте адресу.

Долгая память — большая проблема

IT-эксперт Игорь Бедеров заметил, что одна из расхваленных особенностей Clawdbot — постоянная память и способность долго хранить контекст и историю взаимодействия с пользователем — легко может обернуться против клиентов бота.

Хотя это, несомненно, очень удобно, когда вам не приходится заново обучать своего ассистента с каждой новой задачей, с такими помощниками как никогда важно, чтобы эти данные не попали не в те руки.

Простой пример. Зловредная инструкция, внедренная через фишинговое сообщение или веб-страницу, может не сработать сразу. Но если агент запоминает все, что в него попадает, она сохраняется в памяти агента и активируется спустя дни или недели, когда контекст будет подходящим.

Даже при «правильной» настройке вопросы остаются. Исследователи компании Hudson Rock изучили код Moltbot и обнаружили, что часть чувствительных данных хранится локально — в обычных Markdown- и JSON-файлах, без шифрования.

Это значит, что заражение компьютера инфостилером-вредоносом автоматически открывает доступ ко всем секретам ассистента. Некоторые виды вредоносного ПО уже умеют охотиться за подобными локальными структурами.

И оборотная сторона медали: при доступе такого агента к вашим данным без их резервной копии достаточно одного глюка в нейронных мозгах — и вы лишитесь всего.

Самая радикальная позиция прозвучала от Хизер Адкинс, вице-президента по инженерии безопасности Google Cloud. Она прямо призвала не устанавливать Clawdbot, сославшись на оценку других исследователей, которые назвали его «инфостилером, замаскированным под ИИ-ассистента».

Поэтому задайте себе простой вопрос: как вообще можно доверить такой системе полный доступ к компьютеру?

Так стоит ли устанавливать Clawdbot

Рассмотрев эту историю внимательно, понимаешь, что покупка отдельного компьютера для теста этой модели не просто каприз людей, которым деньги некуда девать, а реальная необходимость, если вы в принципе хотите освоить подобные инструменты.

По словам Бедерова, это не просто сырой проект с багами. Это концептуально рискованная модель, которая ставит удобство и автономность выше базовой безопасности.

Но такие проблемы типичны не только для ИИ-агентов, указал Владислав Тушканов: это касается любых сервисов (например, файловых хранилищ), которые пользователи могут разворачивать в интернете для личных целей.

Проблема, конечно, касается не только частных энтузиастов. Агентные ИИ-системы все чаще получают автономию и высокий уровень доверия в организациях. А значит, становятся привлекательной целью для атак. То, как это работает, мы описывали здесь.