Дослідники Hudson Rock виявили перший у світі випадок атаки інфостілера на користувачів OpenClaw — популярного open source AI-асистента. Зловмисники викрали конфігураційні файли програми, отримавши доступ до API-ключів та токенів автентифікації, які надають контроль над підключеними додатками.

Експерти попереджають: це лише початок нової хвилі кіберзагроз, спрямованих на AI-агентів у професійних робочих процесах.

Що таке OpenClaw

OpenClaw (раніше відомий як ClawdBot і MoltBot) — локальний фреймворк AI-агента, який зберігає постійне конфігураційне середовище та пам’ять на комп’ютері користувача. Інструмент здатен отримувати доступ до локальних файлів, входити до поштових і комунікаційних застосунків на хості, а також взаємодіяти з онлайн-сервісами.

З моменту виходу OpenClaw здобув широке поширення у світі — користувачі залучають його для керування повсякденними завданнями та роботи як AI-асистента. Однак для роботи OpenClaw потребує чутливих даних: API-ключів та токенів автентифікації, які зберігаються в конфігураційних файлах програми. Саме ці файли і стали ціллю кіберзлочинців.

Перший задокументований випадок крадіжки

Компанія Hudson Rock повідомила про перший зафіксований у реальних умовах випадок, коли інфостилер успішно викрав файли середовища конфігурації OpenClaw.

«Це відкриття є важливою віхою в еволюції поведінки інфостилерів: перехід від крадіжки облікових даних браузера до “збирання душ” і цифрових ідентичностей персональних AI-агентів», — йдеться у звіті компанії.

Ще наприкінці минулого місяця Hudson Rock передбачала цей розвиток подій, називаючи OpenClaw «новою основною ціллю для інфостилерів» — через особливо чутливі дані, з якими працюють агенти, та відносно низький рівень їхнього захисту.

Алон Гал, співзасновник і технічний директор Hudson Rock, повідомив, що йдеться про варіант стилера Vidar, а крадіжка даних відбулась 13 лютого 2026 року. За його словами, зловмисне ПЗ не цілилося в OpenClaw спеціально, натомість виконувало широку процедуру сканування файлів і директорій за ключовими словами на кшталт «token» і «private key». Оскільки файли в директорії конфігурації «.openclaw» містили ці та інші ключові слова, вони й були викрадені.

Які саме файли було викрадено

Шкідливе ПЗ отримало доступ до таких файлів OpenClaw:

openclaw.json — містив зашифровану електронну адресу жертви, шлях до робочого простору та токен автентифікації шлюзу з високою ентропією. Це потенційно уможливлює віддалене підключення до локального екземпляра OpenClaw або підробку клієнта в автентифікованих запитах.

device.json — містив publicKeyPem і privateKeyPem, що використовуються для спарення та підпису. Маючи приватний ключ, зловмисник може підписувати повідомлення від імені пристрою жертви, обходити перевірки «Safe Device» і отримувати доступ до зашифрованих журналів або хмарних сервісів.

soul.md та файли пам’яті (AGENTS.md, MEMORY.md) — визначають поведінку агента та зберігають постійні контекстні дані: щоденні журнали активності, приватні повідомлення й події календаря.

За висновком AI-аналітичного інструменту Hudson Rock, викрадених даних достатньо для потенційно повного компрометування цифрової ідентичності жертви. Дослідники прогнозують, що в міру глибшої інтеграції OpenClaw у професійні робочі процеси інфостилери все активніше фокусуватимуться на ньому, впроваджуючи цілеспрямованіші механізми атаки на AI-агенти.

Суміжна вразливість у nanobot

Паралельно компанія Tenable виявила критичну вразливість у nanobot — надлегкому персональному AI-асистенті, натхненному OpenClaw. Вона потенційно дозволяє зловмисникам повністю захопити WhatsApp-сесії через відкриті екземпляри. Nanobot, який вийшов лише два тижні тому, вже набрав понад 20 тис. зірок і понад 3 тис. форків на GitHub. Команда розробників випустила виправлення для цієї вразливості (CVE-2026-2577) у версії 0.13.post7.

Що буде далі: прогнози експертів

Hudson Rock очікує, що ситуація зміниться «стрімко». Коли більше кіберзлочинців усвідомлять цінність конфігураційних даних OpenClaw, розробники інфостілерів випустять спеціалізовані модулі для дешифрування та парсингу цих файлів — так само, як вони це зробили для Chrome або Telegram.

«Оскільки AI-агенти на кшталт OpenClaw стають більш інтегрованими в професійні робочі процеси, розробники інфостілерів, ймовірно, створять спеціальні модулі для роботи з цими даними», — попереджають дослідники.

Цей інцидент демонструє нові ризики, пов’язані з масовим впровадженням AI-асистентів у повсякденну роботу. Компаніям та користувачам варто посилити захист конфігураційних файлів та регулярно оновлювати антивірусне програмне забезпечення. Наприклад, Meta та інші великі технологічні компанії вже забороняють OpenClaw через загрози безпеці.

Ця стаття Шкідливе ПЗ для крадіжки даних вперше атакує файли OpenClaw раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Технологічні компанії почали масово блокувати використання OpenClaw — експериментального агентного AI-інструмента, який викликає серйозне занепокоєння у фахівців з кібербезпеки. Серед тих, хто запровадив заборону, — Meta та десятки інших tech-компаній.

Керівники компаній попереджають співробітників: використання OpenClaw на робочих пристроях може призвести до втрати конфіденційних даних та навіть звільнення, – повідомляє WIRED.

Що таке OpenClaw та чому він став популярним

OpenClaw — це open source інструмент, який створив Пітер Штайнбергер у листопаді минулого року. Спочатку проєкт називався ClawdBot, потім MoltBot, а зараз — OpenClaw. Минулого тижня Штайнбергер приєднався до OpenAI, яка пообіцяла підтримувати розробку через окремий фонд та зберегти відкритий код.

Інструмент потребує базових знань програмування для налаштування, але після цього може самостійно контролювати комп’ютер користувача та взаємодіяти з іншими додатками. OpenClaw допомагає організовувати файли, проводити веб-дослідження та навіть робити покупки онлайн.

Популярність OpenClaw різко зросла минулого місяця, коли розробники почали активно ділитися досвідом використання в соціальних мережах та додавати нові функції.

Чому компанії забороняють OpenClaw

Джейсон Гред, співзасновник та CEO компанії Massive, яка надає інтернет-проксі сервіси мільйонам користувачів, надіслав попередження 20 співробітникам 26 січня. “Ви, ймовірно, бачили, як Clawdbot став трендовим у X/LinkedIn. Хоч це і круто, наразі він неперевірений та високоризиковий для нашого середовища”, — написав він у Slack з емодзі червоної сирени.

Один з керівників Meta, який виступив анонімно, повідомив журналістам, що наказав команді тримати OpenClaw подалі від робочих ноутбуків під загрозою звільнення. За його словами, програма непередбачувана і може призвести до витоку конфіденційних даних у захищених середовищах.

Гай Пістоун, CEO компанії Valere, яка розробляє програмне забезпечення для організацій, включно з Johns Hopkins University, пояснює: “Якщо OpenClaw отримає доступ до машини одного з наших розробників, він зможе отримати доступ до наших хмарних сервісів та конфіденційної інформації клієнтів, включно з даними кредитних карток та кодовими базами GitHub”.

29 січня один зі співробітників Valere опублікував пост про OpenClaw у внутрішньому Slack-каналі. Президент компанії миттєво відповів, що використання OpenClaw суворо заборонено.

Ризики безпеки: як можна обманути AI

Через тиждень після заборони Пістоун дозволив дослідницькій команді Valere запустити OpenClaw на старому комп’ютері співробітника, відокремленому від корпоративних систем. Мета — виявити вразливості та розробити можливі виправлення.

Дослідники Valere попереджають, що користувачі повинні “прийняти той факт, що бота можна обдурити”. Наприклад, якщо OpenClaw налаштований для резюмування електронної пошти, хакер може надіслати шкідливий лист з інструкціями для AI поділитися копіями файлів з комп’ютера користувача.

Команда запропонувала кілька заходів безпеки: обмежити коло осіб, які можуть давати команди OpenClaw, та захищати панель керування паролем, якщо інструмент має доступ до інтернету. Пістоун дав команді 60 днів на дослідження: “Якщо не зможемо зробити це за розумний час, відмовимось від нього”.

Як компанії реагують на загрозу

Деякі компанії покладаються на наявні засоби кібербезпеки замість запровадження офіційних заборон. CEO однієї великої софтверної компанії зазначив, що на корпоративних пристроях дозволено лише близько 15 програм — все інше автоматично блокується.

Ян-Йост ден Брінкер, технічний директор празької компанії Dubrink, яка розробляє compliance-рішення, придбав окремий комп’ютер, не підключений до корпоративних систем, щоб співробітники могли експериментувати з OpenClaw. “Наразі ми не вирішуємо бізнес-завдання за допомогою OpenClaw”, — каже він.

Massive обережно досліджує комерційні можливості OpenClaw. Джейсон Гред повідомляє, що компанія протестувала AI-інструмент на ізольованих хмарних машинах, а минулого тижня випустила ClawPod — спосіб для агентів OpenClaw використовувати сервіси Massive для веб-перегляду. “Це може бути проблиском майбутнього. Тому ми будуємо для нього”, — каже Гред.

Поки OpenClaw залишається забороненим на системах Massive без належного захисту, але потенціал нової технології та можливості заробітку виявились занадто привабливими, щоб їх ігнорувати.

Ця стаття Meta та інші tech-компанії забороняють OpenClaw через загрози безпеці раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар