Claw Hub 및 Hugging Face, 575개의 악성 스킬 패키지에 적발

r/openclaw의 새로운 보고서에 따르면, Claw Hub와 Hugging Face가 모두 공격을 받았습니다. 이 침해로 인해 두 플랫폼에 575개의 악성 스킬 패키지가 업로드되었습니다. 사용자의 원본 트윗은 다음과 같습니다: "분명히 두 사이트가 해킹되었고, 사이트에 575개의 악성 스킬이 있습니다. 거기서 가져온 것을 사용할 때 조심하세요."

악성 스킬은 임의의 명령을 실행하거나, 환경 변수(예: API 키 또는 토큰)를 유출하거나, 사용자의 Claw 에이전트 작업 공간에서 로컬 파일을 수정할 수 있습니다. Claw 에이전트는 종종 셸 명령을 실행하거나 클라우드 자격 증명에 접근하기 위해 상승된 권한으로 작동하므로, 그 영향은 심각할 수 있습니다.

소스 스레드는 공격이 공급망 취약점(예: 손상된 관리자 계정)을 악용했는지 아니면 직접적인 플랫폼 결함을 악용했는지 명시하지 않습니다. 그러나 이 사건은 이전의 PyPI 및 npm의 패키지 공급망 공격을 반영합니다. 정확한 스킬 식별자나 패키지 이름은 아직 공개되지 않았습니다.

Claw Hub 또는 Hugging Face의 스킬 레지스트리를 사용하는 개발자는 즉시 설치된 스킬을 감사해야 합니다. 주요 조치 사항은 다음과 같습니다:

• claw skills list로 설치된 모든 스킬 나열
• 스킬 소스 코드에서 의심스러운 네트워크 호출, os.system, exec, 또는 base64 인코딩 문자열 검토
• 스킬 버전 고정 및 프로덕션에서 사용되는 모든 스킬에 대해 코드 검토 활성화
• 최소한의 네트워크 및 파일 시스템 권한으로 샌드박스 환경(예: Docker 컨테이너)에서 Claw 에이전트 실행 고려

현재까지 Claw나 Hugging Face에서 공식 권고가 발표되지 않았습니다. 커뮤니티는 원본 Reddit 스레드에서 상황을 추적 중입니다. 외부 스킬을 로드하는 AI 코딩 에이전트에 의존하는 모든 사람에게 중요한 보안 이벤트입니다.