Kategoria: Security News

Wprowadzenie do problemu / definicja luki

Ekosystemy „agentów AI” (agentic AI) wnoszą nową klasę ryzyka: kod i instrukcje (skills / narzędzia / integracje) uruchamiane w imieniu użytkownika mają często dostęp do plików, sieci, tokenów API, komunikatorów i automatyzacji systemowych. W praktyce oznacza to, że „skill” potrafi stać się wektorem ataku typu supply chain – dokładnie jak wtyczka do przeglądarki, paczka NPM czy rozszerzenie VS Code, tylko nierzadko z jeszcze większym zakresem uprawnień.

W odpowiedzi na falę nadużyć w marketplace ClawHub, OpenClaw ogłosił integrację skanowania publikowanych skills z Google’owym VirusTotal, wykorzystując m.in. funkcję Code Insight do analizy paczek skills.

W skrócie

• Wszystkie skills publikowane w ClawHub mają być skanowane w VirusTotal (w tym z użyciem Code Insight).
• Mechanizm obejmuje deterministyczne paczkowanie ZIP, wyliczenie SHA-256, sprawdzenie w bazie VT, a gdy brak wyniku – upload i analiza przez VT v3 API.
• Verdykt „benign” → auto-akceptacja, „suspicious” → ostrzeżenie, „malicious” → blokada pobrania; dodatkowo codzienne re-skanowanie aktywnych skills.
• Zarówno OpenClaw, jak i badacze podkreślają: to nie jest „silver bullet” – prompt injection i „malicious workflow” mogą ominąć klasyczne detekcje.

Kontekst / historia / powiązania

Problem nie wziął się znikąd: analizy branżowe wskazały, że w marketplace pojawiają się setki skills podszywających się pod narzędzia „produktywności”, „krypto”, „automatyzacji” czy „updaterów”, które pod spodem realizują eksfiltrację danych, instalację payloadów, backdoory lub kradzież kluczy.

• Bitdefender opisał, że w pierwszym tygodniu lutego 2026 ok. 17% analizowanych skills wykazywało zachowania złośliwe, a często spotykany był schemat klonowania nazw + staging payloadów w serwisach typu paste (np. glot.io) i repozytoriach GitHuba.
• VirusTotal wskazał, że Code Insight przeanalizował już ponad 3 tys. skills, z czego „setki” miały cechy złośliwe; pokazano też przypadki, gdzie ZIP wygląda „czysto”, ale złośliwa jest procedura instalacyjna/workflow (np. nakłanianie do pobrania i uruchomienia zewnętrznego EXE/skryptu).
• Cisco ujęło to szerzej: agent uruchamiający komendy, czytający i zapisujący pliki oraz działający przez komunikatory to z perspektywy obrony „koszmar”, bo łatwo o prompt injection, cichy exfil i „shadow AI” w firmach.

Analiza techniczna / szczegóły luki

1) Jak działa skanowanie w ClawHub (krok po kroku)

Z opisu OpenClaw wynika, że pipeline ma być możliwie powtarzalny i „reprodukowalny”:

1. Deterministyczne paczkowanie plików skill do ZIP (stała kompresja i timestampy) + _meta.json z informacją o wydawcy i wersjach.
2. Wyliczenie SHA-256 jako „odcisku palca” całej paczki.
3. Lookup w VirusTotal po hashu: jeśli paczka istnieje i ma werdykt – wynik wraca od razu.
4. Jeśli brak wyniku/brak analizy – upload paczki do VT (API v3) i analiza.
5. Code Insight: analiza „security-first” całej paczki, startując od SKILL.md i śledząc referencje do skryptów/zasobów; to ma opisywać realne zachowania (sieć, pobieranie kodu, dostęp do sekretów), a nie marketingowy opis.
6. Polityka decyzji: benign → auto-approve, suspicious → ostrzeżenie, malicious → blokada pobrania.
7. Codzienne re-skanowanie aktywnych skills (ważne, bo reputacja IOC/artefaktów zmienia się w czasie).

2) Dlaczego „hash + VT” nie wystarcza

To dobra warstwa „higieny” (zwłaszcza na znane sample, zależności, bundlowane binarki), ale problemy agentów AI często są semantyczne:

• „The malware is the workflow”: paczka może nie zawierać malware’u, ale może instruować do pobrania EXE/skryptu z zewnątrz lub realizować exfil przez „niewinne” żądania sieciowe.
• Prompt injection / ukryte instrukcje mogą wymknąć się sygnaturom, a część detekcji to analiza heurystyczna i ryzyko false negative. Sam OpenClaw wprost zaznacza ograniczenia i brak „silver bullet”.

3) Co pokazują przykłady z „dziczy”

• VirusTotal opisał konta publikujące dziesiątki/ setki złośliwych skills oraz wzorce: „pusta” paczka + instrukcje pobrania binarki, Base64-obfuscation, staging na zewnętrznej infrastrukturze.
• Bitdefender podkreślił skalowanie przez klonowanie i koncentrację na „krypto-skills” (szybka monetyzacja) oraz staging przez glot.io/GitHub.
• Cisco pokazało scenariusze, gdzie skill może wymusić cichy exfil i prompt injection, a popularność w rejestrze może być manipulowana.

Praktyczne konsekwencje / ryzyko

Dla użytkowników indywidualnych

• Kradzież sekretów lokalnych (klucze krypto, tokeny, pliki workspace, zmienne środowiskowe), szczególnie gdy agent ma dostęp do katalogów roboczych i wykonuje polecenia powłoki.
• Infekcje etapowe: skill ściąga kolejne komponenty i uruchamia je w tle; użytkownik widzi „pomocny” opis i nie kojarzy skutków.

Dla organizacji

• Shadow AI: instalacje na endpointach bez zgody IT + agent z uprawnieniami = nowy kanał eksfiltracji i „execution orchestrator”, którego nie łapie klasyczne DLP/proxy w oczywisty sposób.
• Supply chain w wydaniu agentowym: jeden złośliwy skill może przejąć dostęp do usług, do których agent ma już klucze (poczta, kalendarz, komunikatory, repo).

Rekomendacje operacyjne / co zrobić teraz

Jeśli używasz OpenClaw jako użytkownik

1. Traktuj skills jak instalację oprogramowania, nie jak „snippet”. Jeśli skill prosi o uruchomienie binarki, skryptu z internetu, „setup” z curl/bash – to czerwone flagi.
2. Ogranicz sekrety: nie trzymaj kluczy/API w plikach i zmiennych, do których agent ma szeroki dostęp; rotuj tokeny, stosuj najmniejsze uprawnienia.
3. Weryfikuj wydawcę i historię wersji; zwracaj uwagę na klony z drobnymi zmianami nazwy.
4. Nie ufaj „benign” bezkrytycznie: czysty wynik skanu nie dowodzi bezpieczeństwa, szczególnie przy prompt injection i złośliwych workflow.

Jeśli odpowiadasz za bezpieczeństwo w firmie

1. Zrób inwentaryzację agentów i marketplace’ów (shadow AI discovery) i zdefiniuj politykę: co wolno, gdzie wolno, na jakich stacjach.
2. Wymuś izolację wykonania (sandbox / kontenery / ograniczenia sieci/FS) dla agentów uruchamiających narzędzia; oddziel profile i tokeny od kont produkcyjnych. (To kierunek obrony warstwowej, zgodny z tym, jak opisywane są ryzyka agentów).
3. Kontrola egress + detekcja anomalii: skills często „muszą” wykonywać ruch sieciowy; kluczowe staje się wykrywanie podejrzanych destynacji, stagingu, nietypowych webhooków i nietypowych wzorców.
4. Proces oceny skills: dopuszczaj tylko whitelisted skills, z przeglądem kodu i jasnym modelem uprawnień; marketplace to nie jest „repo zaufane” z definicji.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

• Rozszerzenia przeglądarki działają zwykle w pewnym sandboxie i mają deklaratywne uprawnienia; w agentach AI problemem jest to, że „uprawnienia” często wynikają z realnych tokenów i dostępu do systemu/plików, a logika wykonania bywa sterowana językiem naturalnym.
• W klasycznym malware często wykrywasz „artefakt” (binarka, sygnatura). W skills artefaktem bywa instrukcja: paczka jest czysta, ale nakazuje pobrać i uruchomić zewnętrzny payload – „malware jest procesem”.
• To zbliża ryzyko do supply chain + social engineering w jednym: marketplace daje dystrybucję, a naturalny język daje perswazję.

Podsumowanie / kluczowe wnioski

Integracja ClawHub z VirusTotal i Code Insight to sensowny krok w stronę „app store security” dla agentów AI: hash-based lookup, analiza paczek, automatyczne decyzje i re-skanowanie podnoszą koszt ataku i mogą wyciąć część oczywistych kampanii.

Jednocześnie publikacje VirusTotal, Bitdefendera i Cisco pokazują, że najgroźniejsze nadużycia są często semantyczne (workflow, prompt injection, persystencja i exfil), a więc skanowanie jest tylko jedną warstwą. W praktyce bezpieczeństwo agentów będzie zależeć od: izolacji wykonania, zarządzania sekretami, kontroli egress, przeglądów skills oraz polityk ograniczających „shadow AI”.

Źródła / bibliografia

1. The Hacker News – „OpenClaw Integrates VirusTotal Scanning to Detect Malicious ClawHub Skills” (8 lutego 2026). (The Hacker News)
2. OpenClaw Blog – „OpenClaw Partners with VirusTotal for Skill Security” (7 lutego 2026). (OpenClaw)
3. VirusTotal Blog – „From Automation to Infection: How OpenClaw AI Agent Skills Are Being Weaponized” (luty 2026). (VirusTotal Blog)
4. Cisco Blogs – „Personal AI Agents like OpenClaw Are a Security Nightmare” (28 stycznia 2026). (Cisco Blogs)
5. Bitdefender Labs – „Helpful Skills or Hidden Payloads? … OpenClaw Malicious Skill Trap” (luty 2026). (Bitdefender)