Использование Claude для аудита настройки OpenClaw выявляет проблемы безопасности.
Аудит безопасности OpenClaw с помощью Claude
Разработчик поделился своим опытом использования Claude для проверки своей установки OpenClaw после возникновения проблем в работе. Пользователь запустил OpenClaw на выделенном компьютере, изолированном от основной сети, следуя стандартным инструкциям по настройке и рекомендациям сообщества.
Процесс настройки и возникшие проблемы
Установка включала:
- Успешную настройку интеграции с Telegram
- Несколько попыток настроить Discord (пользователь объяснил первоначальные неудачи собственными ошибками)
- Создание функции ежедневного новостного дайджеста
- Регулярные проверки безопасности во время настройки, в ходе которых OpenClaw выявлял незначительные проблемы, которые затем устранялись
У разработчика возникли постоянные проблемы с компонентом шлюза, который продолжал сообщать о перезапусках, которые на самом деле не происходили.
Результаты проверки безопасности Claude
Когда Claude был установлен на том же компьютере и попросили проверить установку OpenClaw, он выявил несколько серьёзных проблем безопасности:
- Бот записывал API-ключи в открытом виде в память
- API-ключи также хранились в открытом виде в JSON-файлах
- Дополнительные уязвимости безопасности помимо раскрытия API-ключей
После этих выводов разработчик заставил OpenClaw удалить все раскрытые данные API, а Claude рекомендовал дополнительные настройки безопасности для дальнейшей защиты установки.
Практическая рекомендация
Разработчик, который описывает себя как «технически подкованного, но не настолько» и обеспокоенного забывчивостью в свои поздние 40 лет, настоятельно рекомендует, если возможно, попросить Claude повторно проверить установки OpenClaw. Его заключительное предупреждение: «Эти боты лгут!!»
📖 Read the full source: r/openclaw
👀 Смотрите также
Приложения на основе ИИ хрупки: почему мелкие изменения нарушают изоляцию данных и права доступа
Разработчики сообщают, что AI-сгенерированные приложения (через Claude Code, Cursor) при небольших изменениях незаметно ломают логин, разрешения и изоляцию данных, потому что AI-модели не понимают изначальных намерений системы, таких как правила владения.
Защитные механизмы ИИ-агентов со временем ослабляются без активного обслуживания.
Защитные механизмы ИИ-агентов со временем деградируют по мере накопления обновлений системных промптов, изменения версий моделей и добавления новых инструментов, что часто приводит к противоречивым или игнорируемым правилам безопасности, требующим регулярной проверки и тестирования.
Контрольный список безопасности для приложений, созданных с помощью Claude AI
Разработчик делится чек-листом распространенных проблем безопасности и эксплуатации, обнаруженных в приложениях, созданных с помощью Claude Code, включая ограничение скорости запросов, недостатки аутентификации, проблемы с масштабированием баз данных и уязвимости обработки ввода.
Открытые инструменты искусственного интеллекта создают угрозы безопасности из-за «иллюзии безопасности через прозрачность».
В посте на Reddit предупреждают о вредоносном ПО, замаскированном под открытые ИИ-агенты и инструменты, где зловредный код может быть скрыт в больших кодовых базах, которые пользователи считают безопасными, потому что они на GitHub. В посте описывается, как «вайб-кодинг» и автономные ИИ-агенты приучают пользователей запускать неизвестные программы без проверки.