Habilidades OpenClaw: instalação, criação e proteção contra 341 conjuntos maliciosos

O autor de um material no Habr publicou uma análise do sistema de habilidades em OpenClaw depois de revisar 2857 habilidades revelou 341 maliciosas — e, conforme enfatizado no artigo, estes são apenas os casos que foram encontrados. A publicação explica que habilidades em OpenClaw — não são conteúdo passivo e nem complementos ordinários, mas instruções pelas quais um agente autônomo lê arquivos, executa comandos e acessa a rede, ou seja, efetivamente recebe acesso privilegiado ao sistema do usuário.

Por que habilidades do OpenClaw não são apenas complementos

• Habilidades verificadas — 2857
• Maliciosas identificadas — 341
• Fonte de risco — plataforma ClawHub, onde usuários instalam habilidades de terceiros
• Natureza da habilidade — não conteúdo, mas instruções dando ao agente acesso a arquivos, comandos e rede
• Consequência de instalação falhada — execução do código de um estranho no ambiente privilegiado do agente

Explica-se que arquiteturalmente, uma habilidade em OpenClaw é um conjunto de instruções que o agente interpreta e executa com os mesmos direitos que o agente tem no sistema: leitura e escrita de arquivos, execução de comandos shell, requisições de rede. Diferentemente de um complemento clássico, que geralmente é limitado a uma API estritamente definida e sandbox, uma habilidade pode usar qualquer capacidade disponível para o agente como um todo — e uma vez que agentes autônomos modernos frequentemente trabalham com direitos amplos para conveniência do usuário, essa diferença se mostra ser fundamental. É precisamente por isso que uma única falha na instalação de habilidade do catálogo aberto ClawHub é equivalente a dar a um estranho a cujas instruções você confiará a execução de código em um ambiente privilegiado — com as mesmas consequências que executar um script não verificado como usuário em sua própria máquina.

Como o sistema de prioridades funciona e por que a ordem importa?

O material analisa onde as habilidades são armazenadas, como criá-las independentemente, e por que a ordem de prioridade entre várias habilidades instaladas importa mais do que poderia parecer à primeira vista: se duas habilidades oferecem instruções conflitantes ou sobrepostas, então dependendo de qual agente aplicar primeiro, o comportamento do sistema pode diferir radicalmente — incluindo situações onde uma habilidade posterior maliciosa é capaz de redefinir instruções seguras estabelecidas anteriormente, e assim imperceptivelmente ao usuário mudar a lógica de funcionamento de todo o agente.

O que fazer para não transformar conveniência em incidente

O autor formula recomendações práticas para proteção: verificar cuidadosamente a fonte da habilidade antes de instalar, dar preferência a habilidades com código aberto e verificável de instruções, limitar os direitos do próprio agente onde possível, e entender que um catálogo como ClawHub, por toda sua utilidade para expansão rápida de capacidades do agente, é por sua natureza tal vetor de ataque como qualquer outro repositório público de código de terceiros — com a diferença que uma habilidade comprometida obtém acesso não a um contêiner isolado, mas diretamente ao ambiente de trabalho do agente e, frequentemente, aos dados e credenciais do usuário, o que torna o preço do erro ao escolher uma habilidade significativamente maior do que ao instalar um pacote de terceiros ordinário.

Um lugar separado no material é ocupado por uma análise de como escrever suas próprias habilidades seguras: o autor aconselha a limitar explicitamente na descrição da habilidade o intervalo de ações que deve executar, evitar formulações excessivamente amplas como "faça tudo o necessário" e documentar quais arquivos, comandos e endereços de rede a habilidade usa legitimamente — para que durante uma auditoria ou suspeita de conflito com outra habilidade, você possa entender rapidamente qual comportamento é esperado e qual sinaliza uma compromissão.

O número de 341 habilidades maliciosas de 2857 verificadas, que o autor cita, é importante não em si, mas como indicador de escala: estes são dados apenas de casos encontrados, o que significa a proporção real de habilidades comprometidas ou abertamente maliciosas na plataforma pode ser maior. Para a comunidade de usuários OpenClaw, isto significa que confiar apenas no fato de que uma habilidade é publicada no catálogo ClawHub como confirmação de sua segurança não pode ser feito — moderação de plataforma reduz risco mas não o elimina completamente, e responsabilidade final pela verificação da habilidade instalada permanece com o próprio usuário.