OpenClaw можно было атаковать через самого ИИ-агента

Исследователи Cyera нашли четыре уязвимости в OpenClaw - open-source-платформе для автономных ИИ-агентов. В связке они позволяли выйти за пределы песочницы, получить секреты, повысить привилегии и закрепиться в среде выполнения агента. Все проблемы были переданы разработчикам в апреле 2026 года и уже закрыты патчами от 23 апреля.

Самая опасная уязвимость, CVE-2026-44112, получила 9,6 балла CVSS. Она связана с race condition в файловых операциях OpenShell: атакующий мог перенаправлять запись за пределы песочницы, менять конфигурацию, размещать бэкдоры и сохранять контроль над хостом. Еще одна похожая проблема, CVE-2026-44113, позволяла читать файлы вне разрешенного каталога через подмену пути на символическую ссылку.

Две другие уязвимости били по секретам и привилегиям. CVE-2026-44115 позволяла раскрывать переменные окружения, включая API-ключи, токены и учетные данные, через разрыв между проверкой команды и ее выполнением в shell. CVE-2026-44118 была связана с тем, что OpenClaw доверял клиентскому флагу senderIsOwner без проверки по сессии, из-за чего локальный процесс с bearer-токеном мог поднять права до уровня владельца.

Опасность именно в цепочке. Точкой входа мог быть вредоносный плагин, prompt injection или скомпрометированный внешний ввод. После этого атакующий получал выполнение кода внутри песочницы, вытаскивал секреты и файлы за ее пределами, повышал права до владельца runtime и мог менять поведение агента или его конфигурацию. Для традиционных средств контроля это выглядело бы как обычная активность самого ИИ-агента.

По оценке специалистов, в мае 2026 года в интернете было доступно около 65 тыс. публичных OpenClaw-инстансов по данным Shodan и около 180 тыс. по данным Zoomeye. В зоне риска - компании, которые используют OpenClaw для IT-автоматизации, клиентского сервиса, интеграций с Telegram, Discord, Slack, SaaS-системами и корпоративными workflow. Исследователи рекомендуют срочно установить апрельские патчи, найти публично доступные инстансы, закрыть их за аутентификацией или firewall, а также ротировать секреты, к которым могли иметь доступ процессы OpenClaw.