Skills OpenClaw : installer, créer et se protéger après la découverte de 341 skills malveillantes

L'auteur d'un article sur Habr a publié une analyse du système de skills (compétences) d'OpenClaw, après qu'une vérification de 2857 skills a révélé 341 skills malveillantes. Comme le souligne le texte, il ne s'agit que des cas qu'on a pu trouver. La publication explique que les skills d'OpenClaw ne sont ni du contenu passif ni des plugins ordinaires, mais des instructions selon lesquelles un agent autonome lit des fichiers, exécute des commandes et accède au réseau. Dans les faits, elles obtiennent un accès privilégié au système de l'utilisateur.

Pourquoi les skills OpenClaw ne sont pas de simples plugins

• Skills vérifiées : 2857
• Skills malveillantes identifiées : 341
• Source du risque : la plateforme ClawHub, d'où les utilisateurs installent des skills tierces
• Nature d'une skill : pas du contenu, mais des instructions qui donnent à l'agent accès aux fichiers, aux commandes et au réseau
• Conséquence d'une mauvaise installation : l'exécution du code d'un inconnu dans l'environnement privilégié de l'agent

L'article explique que, sur le plan architectural, une skill OpenClaw est un ensemble d'instructions que l'agent interprète et exécute avec les mêmes droits que ceux dont il dispose sur le système : lire et écrire des fichiers, lancer des commandes shell, effectuer des requêtes réseau. Un plugin classique est généralement limité à une API strictement définie et à un bac à sable. Une skill peut, elle, utiliser toutes les capacités à la disposition de l'agent dans son ensemble.

Comme les agents autonomes actuels tournent souvent avec de larges permissions pour le confort de l'utilisateur, cette différence est fondamentale. C'est pourquoi une seule mauvaise installation d'une skill du catalogue ouvert ClawHub revient à confier à un auteur inconnu l'exécution de code dans un environnement privilégié, avec les mêmes conséquences que le lancement d'un script non vérifié au nom de l'utilisateur sur sa propre machine.

Comment fonctionne le système de priorités, et pourquoi l'ordre compte-t-il ?

L'article examine où sont stockées les skills, comment les créer soi-même et pourquoi l'ordre de priorité entre plusieurs skills installées compte plus qu'il n'y paraît au premier abord. Si deux skills donnent des instructions contradictoires ou qui se recoupent, le comportement du système peut différer radicalement selon celle que l'agent applique en premier. Cela inclut les situations où une skill malveillante installée plus tard peut écraser des instructions sûres installées auparavant et ainsi modifier, à l'insu de l'utilisateur, la logique de tout l'agent.

Que faire pour que la commodité ne tourne pas à l'incident

L'auteur formule des recommandations pratiques de protection : vérifier soigneusement la source d'une skill avant de l'installer, privilégier les skills dont le code d'instructions est ouvert et vérifiable, limiter autant que possible les droits de l'agent lui-même, et comprendre qu'un catalogue comme ClawHub, malgré son utilité pour étendre rapidement les capacités de l'agent, constitue par nature un vecteur d'attaque, comme tout autre dépôt public de code tiers. La différence : une skill compromise accède non pas à un conteneur isolé, mais directement à l'environnement de travail de l'agent et, souvent, aux données et aux identifiants de l'utilisateur. Le coût d'une erreur dans le choix d'une skill est donc nettement plus élevé que lors de l'installation d'un paquet tiers ordinaire.

Une partie distincte du texte porte sur la façon d'écrire ses propres skills sûres. L'auteur conseille de limiter explicitement, dans la description de la skill, la liste des actions qu'elle doit effectuer ; d'éviter les formulations trop larges comme « fais tout le nécessaire » ; et de documenter les fichiers, commandes et adresses réseau que la skill utilise légitimement. Ainsi, lors d'un audit ou en cas de soupçon de conflit avec une autre skill, on peut vite comprendre quel comportement est attendu et lequel signale une compromission.

Le chiffre de 341 skills malveillantes sur 2857 vérifiées compte non pas en soi, mais comme indicateur d'échelle. Il ne porte que sur les cas trouvés : la part réelle de skills compromises ou franchement malveillantes sur la plateforme peut donc être plus élevée. Pour la communauté des utilisateurs d'OpenClaw, cela signifie qu'on ne peut pas se fier uniquement à la publication d'une skill dans le catalogue ClawHub comme preuve de sa sûreté. La modération du catalogue réduit le risque, mais ne l'élimine pas complètement, et la responsabilité finale de vérifier la skill installée reste à l'utilisateur.