Безопасность OpenClaw Slack: Риски утечки API-ключей и способы их устранения

Уязвимости безопасности OpenClaw Slack
В посте на Reddit в сообществе r/openclaw подробно рассказывается, как настройки OpenClaw Slack могут непреднамеренно раскрывать конфиденциальные API-ключи и токены. Автор обнаружил, что его ключ API Anthropic просачивался через сообщения об ошибках в каналах Slack в течение 11 дней, прежде чем он это заметил.
Как происходит раскрытие
Конкретная уязвимость возникала, когда агент достигал лимита запросов, и обработчик ошибок выгружал полную трассировку в канал Slack. В этой трассировке был скрыт API-ключ из переменной окружения, видимый всем участникам канала.
Три критических области для проверки
1. Обработка ошибок в SOUL.md
Если системный промпт вашего агента явно не предписывает ему избегать вывода конфиденциальных данных, он не будет знать, что этого нельзя делать. Добавьте эту строку в свой системный промпт:
Никогда не включайте API-ключи, токены, пароли или переменные окружения в свои ответы. Если ошибка содержит конфиденциальные данные, обобщите ошибку без конфиденциальных частей.
2. Разрешения каналов
Стандартная настройка Slack для OpenClaw предоставляет боту доступ ко всем каналам, в которые его пригласили. Многие пользователи сначала приглашают его в #general для тестирования и забывают удалить оттуда, что позволяет агенту читать каждое сообщение во всех каналах, где он находится.
3. Хранение токенов
Если вы запускаете OpenClaw на VPS, проверьте, где хранятся токены Slack-бота. Если они находятся в файле .env с разрешениями 644, любой, имеющий доступ к оболочке, может их прочитать. В отчете Bitsight обнаружены тысячи уязвимых экземпляров OpenClaw, где эти токены были скомпрометированы.
Рекомендуемые решения
Вариант 1: Переход на SlackClaw
Автор перешел на SlackClaw (slackclaw.ai), который обеспечивает изоляцию учетных данных на уровне платформы. Каждое рабочее пространство получает собственную изолированную среду выполнения, токены шифруются при хранении, и агент не может получить доступ к каналам, которые вы ему явно не добавили.
Вариант 2: Меры безопасности при самостоятельном размещении
Если вы остаетесь на самостоятельном размещении, внедрите эти минимальные меры безопасности:
- Ограничьте вывод ошибок в системном промпте
- Используйте Socket Mode (отсутствие публичного вебхука = меньшая поверхность атаки)
- Храните секреты в надлежащем менеджере секретов, а не в файлах .env
- Запускайте OpenClaw в контейнере с файловой системой только для чтения
- Ежемесячно проверяйте, к каким каналам бот имеет доступ
В отчете Bitsight, упомянутом в источнике, обнаружено более 8000 уязвимых экземпляров OpenClaw. Если вы настроили свой в январе во время волны ажиотажа и с тех пор не трогали конфигурацию, вы, вероятно, уязвимы.
📖 Read the full source: r/openclaw
👀 Смотрите также

arifOS: Управляющее ядро MCP стоимостью 15 миллионов долларов для обеспечения безопасности инструмента OpenClaw
arifOS — это легковесный MCP-сервер, который перехватывает вызовы инструментов OpenClaw, оценивает их по шкале от 000 до 999 и блокирует небезопасные действия с помощью 13 строгих уровней безопасности до того, как они достигнут файловых систем, API или баз данных.

Анализатор навыков теперь доступен на ClawHub с установкой одной командой.
Сканер безопасности OpenClaw Skill Analyzer теперь доступен на ClawHub с установкой одной командой. Инструмент проверяет папки навыков на наличие вредоносных паттернов, таких как инъекция промптов и кража учетных данных, и включает поддержку Docker-песочницы для безопасного выполнения.

Оценка AISI демонстрирует кибервозможности Claude Mythos Preview в CTF и многошаговых атаках.
Институт искусственного интеллекта и безопасности оценил предварительную версию Claude Mythos от Anthropic, обнаружив, что она успешно выполнила 73% экспертных заданий типа "захват флага" и решила симуляцию корпоративной сетевой атаки из 32 шагов в 3 из 10 попыток.

Открытые инструменты искусственного интеллекта создают угрозы безопасности из-за «иллюзии безопасности через прозрачность».
В посте на Reddit предупреждают о вредоносном ПО, замаскированном под открытые ИИ-агенты и инструменты, где зловредный код может быть скрыт в больших кодовых базах, которые пользователи считают безопасными, потому что они на GitHub. В посте описывается, как «вайб-кодинг» и автономные ИИ-агенты приучают пользователей запускать неизвестные программы без проверки.