Skills do OpenClaw: como instalar, criar e se proteger após 341 maliciosas encontradas

O autor de um artigo no Habr publicou uma análise do sistema de skills (habilidades) do OpenClaw depois que uma verificação de 2857 skills encontrou 341 maliciosas. Como o texto ressalta, são apenas os casos que se conseguiu encontrar. A publicação explica que as skills do OpenClaw não são conteúdo passivo nem plugins comuns, mas instruções com as quais um agente autônomo lê arquivos, executa comandos e acessa a rede. Na prática, elas ganham acesso privilegiado ao sistema do usuário.

Por que as skills do OpenClaw não são simples plugins

• Skills verificadas: 2857
• Skills maliciosas encontradas: 341
• Fonte do risco: a plataforma ClawHub, de onde os usuários instalam skills de terceiros
• Natureza de uma skill: não é conteúdo, e sim instruções que dão ao agente acesso a arquivos, comandos e rede
• Consequência de uma instalação ruim: executar o código de um desconhecido no ambiente privilegiado do agente

Segundo a explicação, uma skill do OpenClaw é, na arquitetura, um conjunto de instruções que o agente interpreta e executa com os mesmos direitos que ele tem no sistema: ler e gravar arquivos, rodar comandos de shell e fazer requisições de rede. Um plugin clássico costuma ficar restrito a uma API estritamente definida e a um sandbox. Já uma skill pode usar qualquer recurso disponível ao agente como um todo.

Como os agentes autônomos atuais costumam rodar com permissões amplas pela conveniência do usuário, essa diferença é fundamental. Por isso, uma instalação ruim de skill do catálogo aberto ClawHub equivale a entregar a um autor desconhecido a execução de código em um ambiente privilegiado, com as mesmas consequências de rodar um script não verificado em nome do usuário, na própria máquina dele.

Como funciona o sistema de prioridades e por que a ordem importa?

O texto analisa onde as skills ficam armazenadas, como criá-las por conta própria e por que a ordem de prioridade entre várias skills instaladas importa mais do que parece à primeira vista. Se duas skills trazem instruções conflitantes ou sobrepostas, o comportamento do sistema pode variar radicalmente conforme qual delas o agente aplicar primeiro. Isso inclui casos em que uma skill maliciosa posterior pode sobrescrever instruções seguras instaladas antes e, assim, mudar sem que o usuário perceba a lógica de todo o agente.

O que fazer para que a conveniência não vire incidente

O autor formula recomendações práticas de proteção: verificar com atenção a origem da skill antes de instalar, dar preferência a skills com código de instruções aberto e verificável, limitar as permissões do próprio agente sempre que possível, e entender que um catálogo como o ClawHub, por mais útil que seja para ampliar rapidamente os recursos do agente, é por natureza um vetor de ataque como qualquer outro repositório público de código de terceiros. A diferença é que uma skill comprometida acessa não um contêiner isolado, mas diretamente o ambiente de trabalho do agente e, muitas vezes, os dados e as credenciais do usuário. Isso torna o custo de um erro na escolha de uma skill bem maior do que na instalação de um pacote comum de terceiros.

Uma parte à parte do texto trata de como escrever skills próprias e seguras. O autor aconselha limitar explicitamente, na descrição da skill, a lista de ações que ela deve executar; evitar formulações amplas demais, como "faça tudo o que for necessário"; e documentar quais arquivos, comandos e endereços de rede a skill usa de forma legítima. Assim, numa auditoria ou diante da suspeita de conflito com outra skill, dá para entender rápido qual comportamento é esperado e qual indica comprometimento.

O número de 341 skills maliciosas entre 2857 verificadas importa não por si só, mas como indicador de escala. Ele reflete apenas os casos encontrados, então a proporção real de skills comprometidas ou claramente maliciosas na plataforma pode ser maior. Para a comunidade de usuários do OpenClaw, isso significa que não se pode confiar apenas no fato de uma skill estar publicada no catálogo ClawHub como prova de sua segurança. A moderação do catálogo reduz o risco, mas não o elimina por completo, e a responsabilidade final por verificar a skill instalada continua com o usuário.