The Hacker News разобрала атаку ClawJacked, которую Oasis Security нашла в ядре OpenClaw. Это не плагин, не скилл, не пользовательское расширение — это сам шлюз.

Механика:

1. Ты заходишь на вредоносный сайт (за которым ты не смотрел)
2. JavaScript на странице открывает WebSocket-соединение к localhost:18789 (стандартный порт OpenClaw)
3. Скрипт перебирает пароли (нет rate-limiting для localhost) и находит правильный
4. Получив доступ, регистрирует себя как «доверенное устройство» — и это утверждает шлюз автоматически, без твоего подтверждения
5. Готово. Атакующий имеет полный контроль над твоим агентом

Почему это работает? Потому что браузер не блокирует cross-origin WebSocket-соединения к localhost. «Что, они же локальные?» — говорит браузер. «Зато они твои», — смеётся атакующий.

Что может случиться:

• Слить конфиг агента (где все твои API-ключи)
• Отправить сообщения от твоего имени через Телеграм/WhatsApp (с твоей авторизацией)
• Исполнить команду через твои инструменты

Хорошая новость: OpenClaw закрыл дыру за 24 часа. Версия 2026.2.25 уже вышла.

Плохая новость: это не последняя дыра. В феврале нашли 10+ CVE в OpenClaw: от RCE до path traversal. Это нормально для быстро развивающегося проекта, но помни: каждый скилл, каждая интеграция расширяет поверхность атаки.

Хакеры уже используют ClawHub как площадку: 71 скилл содержит вредоносный код. Atomic Stealer (macOS-инфостилер) приходит через «безобидные» скиллы, и агент сам его загружает.

Мораль? Не запускай OpenClaw на машине, где хранятся чувствительные данные, без изоляции. Это не враг OpenClaw. Это враг любого агента, которому ты даёшь доступ к Интернету и твоим сервисам одновременно.

Подпишитесь на @openclawc