Уязвимости безопасности OpenClaw: Критические недостатки фреймворка устранены в версии 2026.3.28.

Критические уязвимости безопасности во фреймворке OpenClaw
Лаборатория безопасности Ant AI провела 3-дневный аудит базового фреймворка OpenClaw и предоставила 33 отчета об уязвимостях. Восемь из этих уязвимостей были исправлены в релизе 2026.3.28, что выявило серьезные проблемы архитектурной безопасности, выходящие за рамки широко обсуждаемых рисков инъекции промптов и вредоносных навыков.
Выявленные конкретные уязвимости
- Обход песочницы через параметры инструментов: В версиях <= 2026.3.24 инструмент
messageпринимает псевдонимыmediaUrlиfileUrl, которые обходят проверку песочницы. Это позволяет агентам, ограниченным песочницей, читать произвольные локальные файлы через эти псевдонимы параметров, фактически нарушая изоляцию. - Повышение привилегий через сопряжение устройств: Путь команды
/pair approveвызывал подтверждение устройства без передачи прав доступа вызывающего в основную проверку. Пользователи с базовыми правами на сопряжение могли подтверждать ожидающие запросы устройств, запрашивающих расширенные права, включая полный административный доступ, предоставляя себе разрешения, которых у них не было. - Сохранение сессии после отзыва токена: При отзыве токенов шлюз только обновляет сохраненные учетные данные, не разрывая уже аутентифицированные WebSocket-сессии. Отозванные устройства могут продолжать использовать свои активные сессии, пока соединения не разорвутся естественным образом.
- Уязвимость SSRF в провайдере изображений: Провайдер
falдля генерации изображений использует прямые запросы как для API-трафика, так и для загрузки изображений, пропуская защищенные от SSRF пути запросов. Вредоносные ретрансляторы могут заставить шлюз запрашивать внутренние URL-адреса и раскрывать ответы внутренних служб через конвейер изображений. - Деградация списка разрешений: Групповые списки разрешений на уровне маршрутов (например, для Google Chat или Zalo) тихо понижались с
allowlistдоopenвместо сохранения групповых политик. Любой член пространства из списка разрешений мог взаимодействовать с ботом, игнорируя ограничения на уровне отправителя.
Необходимые немедленные действия
- Проверьте свою версию OpenClaw. Если она < 2026.3.28, немедленно обновитесь.
- Просмотрите логи сопряжения на предмет неожиданных предоставлений прав администратора.
- Если вы недавно отозвали токен, принудительно перезапустите шлюз, чтобы завершить оставшиеся WebSocket-сессии.
Аудит Лаборатории безопасности Ant AI подчеркивает, что, хотя много внимания уделяется поведению LLM, границы доверия базового фреймворка и проверка параметров не менее критичны для безопасности. Все 8 рекомендаций по результатам аудита общедоступны на вкладке безопасности OpenClaw на GitHub.
📖 Read the full source: r/openclaw
👀 Смотрите также
Попытка инъекции промптов в OpenClaw 2026.9.2: как это произошло и какие выводы сделать
Злоумышленник отправил payload для prompt-инъекции в WhatsApp-канал OpenClaw, но собственный детектор агента раскрыл его. Никакого ущерба не было — кроме пары greps в режиме чтения. Что мы можем узнать о структурных границах доверия?

Безопасность API-ключа OpenClaw: что нужно знать об управляемом хостинге и TEE
Пост на Reddit разбирает риски передачи ключа API Anthropic управляемому хостингу OpenClaw и объясняет, как TEE (Intel TDX) может изолировать ключи на уровне оборудования.

Проблема униформированной охраны: Почему агентские песочницы нуждаются в идентичности, а не просто в политике
Проблема sandbox-ов AI-агентов, таких как openshell от Nemoclaw, заключается в применении политик безопасности к бинарным файлам, а не к агентам. Это позволяет вредоносному ПО жить за счет использования тех же бинарных файлов, что и агент. ZeroID, открытый слой идентификации агентов, применяет политики безопасности к агентам, подкрепленным безопасными идентификаторами.

В маркетплейсе ClawHub от OpenClaw обнаружено 820 вредоносных навыков
Исследователи безопасности обнаружили 820 навыков на маркетплейсе OpenClaw ClawHub, содержащих подтверждённое вредоносное ПО, включая кейлоггеры, скрипты для извлечения данных и скрытые shell-команды. Эти навыки могут выполнять код и взаимодействовать с локальной средой, создавая риски безопасности цепочки поставок.