Проблемы безопасности OpenClaw: ключи API и данные переписки под угрозой при стандартной самостоятельной хостинге
Пользователь на r/openclaw поднимает вопросы безопасности, связанные с самостоятельным хостингом OpenClaw, в частности, касающиеся защиты API-ключей и данных разговоров.
Оценка безопасности
Согласно отчёту Cisco, на который ссылается источник, безопасность OpenClaw описывается как «опциональная, а не встроенная». Конфигурация по умолчанию, по-видимому, способствует такой оценке.
Конкретные уязвимости
- API-ключи хранятся в файлах .env на том VPS, где работает программное обеспечение
- Доступ root к VPS обеспечивает полную видимость этих файлов
- Особую озабоченность это вызывает у нетехнических пользователей, которые могут запускать OpenClaw на дроплете за $5 с настройками по умолчанию
- API-ключи Anthropic будут храниться в открытом виде в этой конфигурации по умолчанию
Запрос сообщества
Автор исходного поста ищет решения, разработанные сообществом, в частности запрашивая:
- Руководство по развёртыванию с усиленной защитой
- Стандартизированную конфигурацию безопасности, согласованную сообществом
Пользователь отмечает, что, хотя он может принять эти риски для личных проектов, он не может рекомендовать такую настройку нетехническим людям из-за последствий для безопасности.
📖 Read the full source: r/openclaw
👀 Смотрите также
Уязвимости безопасности OpenClaw: Критические недостатки фреймворка устранены в версии 2026.3.28.
Лаборатория безопасности Ant AI выявила 33 уязвимости в базовом фреймворке OpenClaw, из которых 8 критических проблем были исправлены в релизе 2026.3.28. Уязвимости включают обход песочницы, повышение привилегий, сохранение сессии после отзыва токена, риски SSRF и деградацию списка разрешений.
Приложения на основе ИИ хрупки: почему мелкие изменения нарушают изоляцию данных и права доступа
Разработчики сообщают, что AI-сгенерированные приложения (через Claude Code, Cursor) при небольших изменениях незаметно ломают логин, разрешения и изоляцию данных, потому что AI-модели не понимают изначальных намерений системы, таких как правила владения.
Всплеск серьезности уязвимостей CVE после предварительного релиза Claude Mythos — данные Epoch AI
Согласно отчету Epoch AI, в июне 2026 года количество CVE высокой и критической степени серьезности от 21 известной организации выросло в 3,5 раза после выхода предварительной версии Claude Mythos от Anthropic и запуска Project Glasswing.
Агенты ИИ позволяют хакерам-одиночкам взламывать правительства и проводить кампании программ-вымогателей
Одиночный оператор с помощью Claude Code и ChatGPT выкрал 150 ГБ данных из правительственных учреждений Мексики, включая 195 миллионов записей налогоплательщиков. Другой злоумышленник использовал Claude Code для проведения полномасштабной кампании вымогательства против 17 организаций здравоохранения и экстренных служб.