Недавно платформа с открытым исходным кодом для самоуправляемых AI-агентов OpenClaw (в народе известная как "рачок") быстро набрала популярность благодаря гибкой масштабируемости и возможности автономного развертывания, став феноменом в нише персональных AI-агентов. Её ключевая экосистема Clawhub, выступающая в роли маркетплейса приложений, собрала огромное количество сторонних плагинов Skill, которые позволяют агенту одним щелчком получить доступ к расширенным возможностям: от веб-поиска и создания контента до операций с криптокошельками, взаимодействия с блокчейном и автоматизации системы. Масштабы экосистемы и количество пользователей переживают взрывной рост.
Но где на самом деле проходят границы безопасности для таких сторонних Skills, работающих в средах с высокими привилегиями?
Недавно крупнейшая в мире Web3-компания по безопасности CertiK опубликовала новое исследование, посвященное безопасности Skills. В нем отмечается, что на рынке существует неверное представление о границах безопасности экосистем AI-агентов: индустрия普遍 считает "сканирование Skills" основной границей безопасности, в то время как этот механизм практически бесполезен перед хакерскими атаками.
Если сравнить OpenClaw с операционной системой умного устройства, то Skills — это различные приложения (APP), установленные в системе. В отличие от обычных потребительских приложений, некоторые Skills в OpenClaw работают в среде с высокими привилегиями, получая прямой доступ к локальным файлам, возможность вызова системных утилит, подключения к внешним сервисам, выполнения команд в среде хоста и даже управления криптоактивами пользователя. В случае проблем с безопасностью это напрямую приведет к серьезным последствиям: утечке конфиденциальной информации, удаленному захвату устройства, краже цифровых активов и т.д.
В настоящее время универсальным решением для безопасности сторонних Skills во всей индустрии является "сканирование и проверка перед публикацией". Clawhub от OpenClaw также создал трехуровневую систему проверки и защиты: интеграция сканирования кода VirusTotal, механизм статического анализа кода и AI-детектор логической согласованности. Система пытается обеспечить безопасность экосистемы, отправляя пользователям предупреждения на основе оценки рисков. Однако исследования и тесты концептуальных атак CertiK подтвердили, что эта система检测 имеет shortcomings в реальном противостоянии атакам и защите и не может нести основную ответственность за безопасность.
Исследование сначала разбирает inherent limitations существующих механизмов обнаружения:
Правила статического检测 легко обойти. Ядро этого движка relies on сопоставление характеристик кода для выявления рисков, например, комбинация "чтение конфиденциальной информации среды + внешний сетевой запрос" определяется как действие высокого риска. Но злоумышленникам достаточно слегка изменить синтаксис кода, полностью сохранив malicious логику, чтобы легко обойти сопоставление характеристик. Это все равно что перефразировать опасное содержание, и система проверки полностью перестает работать.
AI-проверка имеет inherent слепые зоны. Основная задача AI-проверки Clawhub — это "детектор логической согласованности", который может выявлять только явно malicious код, где "заявленная функциональность не соответствует фактическому поведению", но беспомощен перед уязвимостями, скрытыми в нормальной бизнес-логике. Это как пытаться найти смертельную ловушку, скрытую глубоко в пунктах договора, который на первый взгляд соответствует правилам.
Что еще более опасно, в процессе проверки есть фундаментальный недостаток дизайна: даже если результаты сканирования VirusTotal находятся в состоянии "ожидание обработки", Skill, не прошедший полный "медосмотр", может быть напрямую опубликован. Пользователи могут установить его без каких-либо предупреждений, что дает атакующим возможность воспользоваться этим.
Чтобы подтвердить реальный вред рисков, исследовательская группа CertiK провела полное тестирование. Команда разработала Skill под названием "test-web-searcher", который внешне является полностью соответствующим правилам инструментом для веб-поиска, с кодом, полностью соответствующим стандартным практикам разработки, но на самом деле в нормальный функциональный流程 была植入рована уязвимость удаленного выполнения кода (RCE).
Этот Skill обошел检测 статического движка и AI-проверки и был успешно установлен без каких-либо предупреждений безопасности, пока сканирование VirusTotal все еще находилось в состоянии ожидания; в конечном итоге, отправив одну команду через Telegram удаленно, удалось triggered уязвимость и добиться выполнения произвольных команд на хосте (в демонстрации это привело к появлению калькулятора системы).
CertiK в исследовании четко указал, что эти проблемы не являются уникальными багами продукта OpenClaw, а common misconception во всей индустрии AI-агентов: индустрия普遍 считает "проверку и сканирование" основной линией защиты безопасности, игнорируя тот факт, что истинной основой безопасности являются принудительная изоляция во время выполнения (runtime) и детальное управление permissions. Это похоже на экосистему Apple iOS, где ядром безопасности никогда не была строгая проверка в App Store, а принудительная песочница (sandbox) системы, детальное управление permissions, позволяющее каждому приложению работать в专属的 "изолированном отсеке", не получая随意 системные привилегии. В то время как существующий механизм песочницы в OpenClaw является опциональным, а не принудительным, и сильно зависит от ручной настройки пользователем.绝大多数 пользователей для обеспечения функциональности Skills выбирают отключение песочницы, в конечном итоге оставляя агента в "голом" состоянии. Установка Skill с уязвимостью или malicious кодом напрямую приведет к катастрофическим последствиям.
В связи с обнаруженными проблемами CertiK также дал рекомендации по безопасности:
● Для разработчиков AI-агентов, таких как OpenClaw, необходимо установить изоляцию песочницы как обязательную конфигурацию по умолчанию для сторонних Skills, детализировать модель управления permissions Skills, ни в коем случае не允许 стороннему коду по умолчанию наследовать высокие привилегии хоста.
● Для обычных пользователей: Skills на маркетплейсе с пометкой "безопасный" лишь означают, что в них не было обнаружено рисков, но это не равно абсолютной безопасности. До тех пор, пока официально не будет установлен механизм принудительной изоляции на底层 уровне как конфигурация по умолчанию, рекомендуется развертывать OpenClaw на неважных闲置 устройствах или в виртуальных машинах. Ни в коем случае не допускайте его близости к конфиденциальным файлам, учетным данным паролей и высокоценным криптоактивам.
В настоящее время ниша AI-агентов находится на пороге взрывного роста, но скорость расширения экосистемы ни в коем случае не должна опережать темпы обеспечения безопасности. Проверка и сканирование могут остановить только elementary恶意 атаки, но никогда не станут границей безопасности для высокопривилегированных агентов. Только переход от "стремления к идеальному обнаружению" к "сдерживанию ущерба при допущении существования рисков по умолчанию" и принудительное установление границ изоляции на уровне выполнения (runtime)才能真正 обеспечить底线 безопасности AI-агентов и позволить этой технологической революции развиваться稳致远.
Оригинал исследования:https://x.com/hhj4ck/status/2033527312042315816?s=20
https://mp.weixin.qq.com/s/Wxrzt7bAo86h3bOKkx6 UoA
