Když se „dovednosti“ stanou dodavatelským řetězcem: varovný signál pro malware na trhu OpenClaw

V posledních několika letech přestal být „AI agent“ marketingovou frází a začal být skutečným pracovním postupem: asistentem, který dokáže číst vaše soubory, otevírat prohlížeč, spouštět příkazy a spojovat akce napříč službami. To je slib.

Problém je v tom, žeenergie má distribuční kanálA tento kanál se stále častěji nazývádovednost: malý, sdílitelný balíček „návodů“, který agenta (a často i uživatele) naučí, jak provést úkol. Pro agenty je to moment obchodu s aplikacemi – až na to, že „aplikace“ jsou častoinstrukce pro snižování ceny.

Zprávy z tohoto týdne o škodlivých dovednostech OpenClaw jsou včasným a velmi jasným signálem, že se chystáme zopakovat historii dodavatelského řetězce open-source – ale s jedním zvratem: místo otravy kompilované závislosti mohou útočníci otrávitdokumentacea využít ochotu agenta jako lubrikant.

Níže je uveden praktický návod, co se stalo, proč to funguje tak dobře a co s tím můžete dělat.

Co jsou dovednosti OpenClaw (a proč jsou důležité)

OpenClaw zpopularizoval jednoduchý rozšiřující model: přidáním „dovednosti“, která vysvětluje, jak provést úzký úkol – publikovat příspěvky na sociálních sítích, čistit složky, shrnout zprávu, automatizovat pracovní postup – agent získá novou schopnost.

V širším ekosystému „dovedností agentů“ je dovednost obvykle složkou vytvořenou kolemSKILL.mdsoubor. Tento soubor obsahuje:

Metadata(název / popis)
Instrukce(skutečné kroky)
Volitelně:skriptya další sdružená aktiva

To zní neškodně, protože to vypadá jako dokumentace. Ale dokumentace je přesně to, co lidé rychle sledují, zvláště když vypadá jako seznam předpokladů nebo instalační průvodce.

Dovednosti mají také dynamiku „vítěz bere vše“: lidé tíhnou k tomu, co je populární, co je nové a co vypadá, že ušetří čas. Díky tomu je veřejný trh s dovednostmi vysoce hodnotným cílem: snížíte počet nejčastěji stahovaných souborů a můžete oslovit koncentrovanou skupinu zkušených uživatelů – vývojáře, operátory a kohokoli, kdo má na svém počítači cenné reference.

Hlavní trik: markdown už není „obsah“ – je to instalační program

Tradiční útoky v rámci dodavatelského řetězce softwaru často vyžadují technické investice: zmatky v závislosti, překlepy, škodlivé skripty po instalaci, udržování kontroly nad názvem balíčku a vyhýbání se skenerům.

Trh s dovednostmi snižuje laťku.

Škodlivá dovednost může udělat něco tak jednoduchého, jako je toto:

Představte věrohodný nástroj („dovednost Twitteru“, „sledovač kryptoměn“, „pomocník pro automatizaci“).
Přidejte sekci „Předpoklady“ s „požadovanou závislostí“.
Uveďte praktický odkaz a jednořádkový příkaz.
Spolehněte se na to, že to provede člověk (nebo agent).

To není nová myšlenka sociálního inženýrství – používá se už léta – ale pracovní postupy agentůzesilovatto:

Agenti s jistotou shrnují dokumenty („Stačí spustit toto pro instalaci závislosti“).
Agenti snižují tření tím, že za vás vygenerují příkaz.
V některých nastaveních mohou agenti sami spouštět příkazy shellu.

V tomto okamžiku se „dokumentace“ stává cestou vzdáleného spuštění.

Co se podle zpráv stalo v ekosystému OpenClaw

Několik článků popisuje kampaň, v níž útočníci nahráli na tržiště ClawHub velké množství škodlivých dovedností a pomocí „kroků nastavení“ distribuovali malware k krádeži informací.

Podle Jasona Mellera z 1Passwordu zahrnovala nejčastěji stahovaná dovednost instrukce, které nasměrovaly uživatele do postupného řetězce doručování: odkaz na „závislost“, zahalený příkaz a poté náklad, který nakonec nainstaloval program pro zkrádání informací určený k útoku na počítač a získání cenných tajných informací.

CyberInsider s odvoláním na výzkum společnosti Koi Security popisuje podobný vzorec ve velkém měřítku: trojské koně s „předpoklady“, které uživatelům nařizují spouštět obfusované shellové skripty nebo stahovat archivy chráněné heslem, vrcholících v podobě malwaru, jako je Atomic macOS Stealer (AMOS) – rodina malwaru spojená s krádeží přihlašovacích údajů a cílením na peněženky.

Zda se přesné počty mezi jednotlivými zprávami liší,tvarje konzistentní:

Dovednosti používané jako distribuce
„Předpokladní“ instrukce použité k přesvědčování
Zloději informací používaní jako konečný cíl

Na tomto konečném cíli záleží: moderním zlodějům informací nejde o jedno heslo – jde jim o…tokeny relace,profily prohlížeče,SSH klíče,cloudové přihlašovací údajeakrypto peněženkyJinými slovy: věci, které promění jeden kompromitovaný notebook v širší kompromis.

Proč agenti dělají tento podvodný odkaz ke stažení horším způsobem než běžný odkaz ke stažení

Pokud jste si někdy pomysleli: „Na to bych nenaletěl/a,“ pravděpodobně máte pravdu, když jste klidní a skeptičtí.

Ale pracovní postupy agentů mění kontext:

Rychlost se stává výchozím nastavením.Používáte agenta, protože chcete jednat rychle.
Kognitivní zátěž je outsourcována.Agent promění chaotickou stránku s pokyny v sebevědomý kontrolní seznam.
Autorita je vypůjčená.Pokud agent řekne „Toto je standardní závislost“, působí to jako ověřený proces.

Jinými slovy: agent nemusí být technicky „oklamán“. Stačí, aby byl přítomen, když jste pobízeni k riskantní věci. To stačí k tomu, aby se chování změnilo.

A pokud vydělatPokud agentovi umožníte spouštět příkazy přímo, může se škodlivá dovednost stát „hands-free kompromitací“.

„Ale co MCP? Nemá to snad zvýšit bezpečnost nástrojů?“

Protokol kontextu modelu (MCP) je skutečným krokem vpřed ve strukturování přístupu k nástrojům. Standardizuje způsob, jakým hostitelé zpřístupňují nástroje, zdroje a výzvy, a klade důraz na souhlas a kontrolu uživatele.

MCP však „dovednosti“ magicky nedělá bezpečnými.

Proč?

Dovednosti mohou uživatelům nařídit spouštění příkazů mimo hranice MCP.
Dovednosti mohou odkazovat na skripty nebo soubory ke stažení, které se nikdy nedotýkají MCP.
Ne každá dovednost vůbec používá MCP.

MCP může pomoci, když hostitel implementuje silné oprávnění, jasné výzvy k souhlasu, protokolování a bezpečné výchozí hodnoty. Distribuční mechanismus založený na snižování cen jej však stále může obejít pomocí obyčejného sociálního inženýrství.

Toto je agentská verze zabezpečení dodavatelského řetězce (a už jsme o tom byli)

Svět softwaru se tvrdě naučil, že:

Populární registry jsou zneužívány.
Typosquatting funguje.
„Nainstalovat tohoto pomocníka“ je běžný vstupní bod.
Nejcennějšími oběťmi jsou ti, kteří věci staví.

Tržiště dovedností kombinuje tyto poznatky se dvěma novými akcelerátory:

„Balíček“ může být instrukce, nikoli kód – a instrukce se hůře spolehlivě skenují.
Běhové prostředí je bohaté na přihlašovací údajezáměrně: prohlížeče přihlašované do všeho, terminály s SSH klíči, cloudové CLI, správci hesel a lokální soubory.

V jistém smyslu je tržiště dovedností obchod s aplikacemi, kde si nejlepší aplikace mohou říct: „Zkopírujte a vložte toto do Terminálu, abyste funkci povolili.“ To není problém řešitelný jedním zaškrtávacím políčkem.

Praktická obrana (pro běžné uživatele)

Pokud experimentujete s agentem, který má lokální přístup, musíte s ním zacházet jako s novým uživatelem operačního systému se superschopnostmi.

Zde je pragmatický základ:

Použijte vyhrazený počítač nebo virtuální počítačpro experimenty s agenty. Žádné uložené firemní přihlašovací údaje. Žádné produkční SSH klíče. Žádné relace cloudové administrace.
U jednořádkových instalačních programů je výchozí nastavení „ne“.Zvláště cokoli, co se zkracuje do sh, používá base64 nebo vás žádá o odstranění ochran operačního systému.
Nevěřte „nejstahovanějším“.Popularita je růstový hack, nikoli bezpečnostní model.
Pokud jste už něco spustili, střídejte to, co je důležité, jako první.Relace prohlížeče, SSH klíče, API tokeny, cloudové klíče.
Preferujte dovednosti, které jsou kontrolovatelné a ověřitelné(Git repozitáře s historií, známými správci, jasným původem).

Co by měly tržiště dělat (pokud chtějí přežít)

Pokud provozujete veřejný registr dovedností, provozujete útočnou plochu.

Několik praktických kroků, které smysluplně zvýší náklady útočníka:

Reputace a původ vydavatele(ověřené identity, historie, podepisování).
Automatizované skenovánípro podezřelé vzorce (kódované datové části, zahalené jednořádkové hlášky, odstranění z karantény, archivy chráněné heslem, „závislost na instalaci jádra“ s odkazy mimo web).
Varování Tření uživatelského rozhranípro externí odkazy a příkazy shellu.
Rychlé odstranění a viditelná reakce na incident(zacházejte s tím jako s obchodem s aplikacemi, ne jako s Pastebinem).

Nic z toho není dokonalé, ale kupují čas – a čas je přesně to, co obránci potřebují.

Co by měli tvůrci agentů předpokládat do budoucna

Pokud vytváříte samotné běhové prostředí agenta, předpokládejte, že dovednosti budou vyzbrojeny.

To znamená:

Spuštění příkazu Default-Den(vyžaduje souhlas s každým příkazem, nikoli jednorázové přepínání).
Silné sandboxovánípro přístup k souborovému systému a prohlížeči.
Omezená, časově omezená oprávněnís jednoduchým odvoláním.
Auditovatelné protokolytoho, co agent přečetl a co provedl.

Konečný stav je stejným směrem, jakým se cloud ubíral před lety: identita, zásady, minimální oprávnění a auditní záznamy – ale omezený na úroveň pracovních stanic.

Sečteno a podtrženo

Příběh o dovednostech v OpenClaw není jen o tom, že „někteří lidé nahráli malware“. Je to ukázka dalšího bojiště dodavatelského řetězce:dovednosti jako distribuce, markdown jako realizační cesta a agenti jako akcelerátor.

Pokud mají agenti žít na našich osobních i pracovních strojích, ekosystém potřebuje vrstvu důvěryhodnosti, která bude s tržišti dovedností zacházet jako s obchody s aplikacemi, s dokumentací jako s kódem a s „užitečnou automatizací“ bude zacházet jako s privilegovanou operací – nikoli jako s běžnou pohodlností.

Zdroje

Document Title
When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call	Když se „dovednosti“ stanou dodavatelským řetězcem: varovný signál pro malware na trhu OpenClaw

Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.	Škodlivé „dovednosti“ agentů umělé inteligence proměňují dokumentaci v distribuční kanál pro zloděje informací. Zde je návod, jak to funguje – a jak se proti tomu bránit.
Title Attribute
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin	Zobrazit všechny příspěvky od uživatele Admin
Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected	Ikea nabízí cenově výhodné zařízení Matter-over-Thread, která se potýkají s nejtěžším krokem: připojením.
Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means	Měli by chatboti s umělou inteligencí mít reklamy? Co doopravdy znamená postoj Anthropic „žádné reklamy“
Page Content
When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call	Když se „dovednosti“ stanou dodavatelským řetězcem: varovný signál pro malware na trhu OpenClaw
Nature
Climate
/
General
/ By
Admin
In the last couple of years, “AI agent” stopped being a marketing phrase and started being a real workflow: an assistant that can read your files, open your browser, run commands, and stitch together actions across services. That’s the promise.	V posledních několika letech přestal být „AI agent“ marketingovou frází a začal být skutečným pracovním postupem: asistentem, který dokáže číst vaše soubory, otevírat prohlížeč, spouštět příkazy a spojovat akce napříč službami. To je slib.
The problem is that
power has a distribution channel	energie má distribuční kanál
. And that channel is increasingly called a	A tento kanál se stále častěji nazývá
skill
: a small, shareable “how-to” package that teaches an agent (and often the user) how to accomplish a task. It’s the app store moment for agents — except the “apps” are frequently	: malý, sdílitelný balíček „návodů“, který agenta (a často i uživatele) naučí, jak provést úkol. Pro agenty je to moment obchodu s aplikacemi – až na to, že „aplikace“ jsou často
markdown instructions	instrukce pro snižování ceny
.
This week’s reports about malicious OpenClaw skills are an early, very loud signal that we’re about to repeat open-source supply‑chain history — but with a twist: instead of poisoning a compiled dependency, attackers can poison	Zprávy z tohoto týdne o škodlivých dovednostech OpenClaw jsou včasným a velmi jasným signálem, že se chystáme zopakovat historii dodavatelského řetězce open-source – ale s jedním zvratem: místo otravy kompilované závislosti mohou útočníci otrávit
documentation
and use the agent’s helpfulness as the lubricant.	a využít ochotu agenta jako lubrikant.
Below is a practical explainer of what happened, why it works so well, and what you can do about it.	Níže je uveden praktický návod, co se stalo, proč to funguje tak dobře a co s tím můžete dělat.
What OpenClaw skills are (and why they matter)	Co jsou dovednosti OpenClaw (a proč jsou důležité)
OpenClaw popularized a simple extension model: drop in a “skill” that explains how to do a narrow task — post on social media, clean folders, summarize a report, automate a workflow — and the agent gains a new capability.	OpenClaw zpopularizoval jednoduchý rozšiřující model: přidáním „dovednosti“, která vysvětluje, jak provést úzký úkol – publikovat příspěvky na sociálních sítích, čistit složky, shrnout zprávu, automatizovat pracovní postup – agent získá novou schopnost.
In the broader “agent skills” ecosystem, a skill is typically a folder built around a	V širším ekosystému „dovedností agentů“ je dovednost obvykle složkou vytvořenou kolem
SKILL.md
file. That file contains:
Metadata
(name / description)
Instructions
(the actual steps)
Optionally:
scripts
and other bundled assets
That sounds benign because it looks like documentation. But documentation is exactly what people follow quickly, especially when it looks like a prerequisite list or installation guide.	To zní neškodně, protože to vypadá jako dokumentace. Ale dokumentace je přesně to, co lidé rychle sledují, zvláště když vypadá jako seznam předpokladů nebo instalační průvodce.
Skills also have a “winner takes all” dynamic: people gravitate to what’s popular, what’s new, and what looks like it will save time. That makes a public skills marketplace a high-value target: compromise a few top downloads, and you can reach a concentrated set of power users — developers, operators, and anyone who has valuable credentials sitting on their machine.	Dovednosti mají také dynamiku „vítěz bere vše“: lidé tíhnou k tomu, co je populární, co je nové a co vypadá, že ušetří čas. Díky tomu je veřejný trh s dovednostmi vysoce hodnotným cílem: snížíte počet nejčastěji stahovaných souborů a můžete oslovit koncentrovanou skupinu zkušených uživatelů – vývojáře, operátory a kohokoli, kdo má na svém počítači cenné reference.
The core trick: markdown isn’t “content” anymore — it’s an installer	Hlavní trik: markdown už není „obsah“ – je to instalační program
Traditional software supply chain attacks often require technical investment: dependency confusion, typosquatting, malicious post-install scripts, maintaining control over a package name, and dodging scanners.	Tradiční útoky v rámci dodavatelského řetězce softwaru často vyžadují technické investice: zmatky v závislosti, překlepy, škodlivé skripty po instalaci, udržování kontroly nad názvem balíčku a vyhýbání se skenerům.
A skills marketplace lowers the bar.	Trh s dovednostmi snižuje laťku.
A malicious skill can do something as simple as this:	Škodlivá dovednost může udělat něco tak jednoduchého, jako je toto:
Present a plausible tool (“Twitter skill,” “crypto tracker,” “automation helper”).	Představte věrohodný nástroj („dovednost Twitteru“, „sledovač kryptoměn“, „pomocník pro automatizaci“).
Add a “Prerequisites” section with a “required dependency.”	Přidejte sekci „Předpoklady“ s „požadovanou závislostí“.
Provide a convenient link and a one‑liner command.	Uveďte praktický odkaz a jednořádkový příkaz.
Rely on the human (or the agent) to execute it.	Spolehněte se na to, že to provede člověk (nebo agent).
That’s not a new social engineering idea — it’s been used for years — but agent workflows	To není nová myšlenka sociálního inženýrství – používá se už léta – ale pracovní postupy agentů
amplify
it:
Agents summarize docs confidently (“Just run this to install the dependency”).	Agenti s jistotou shrnují dokumenty („Stačí spustit toto pro instalaci závislosti“).
Agents reduce friction by generating the command for you.	Agenti snižují tření tím, že za vás vygenerují příkaz.
In some setups, agents can run shell commands themselves.	V některých nastaveních mohou agenti sami spouštět příkazy shellu.
At that point, “documentation” becomes a remote execution path.	V tomto okamžiku se „dokumentace“ stává cestou vzdáleného spuštění.
What the reports say happened in the OpenClaw ecosystem	Co se podle zpráv stalo v ekosystému OpenClaw
Multiple write-ups describe a campaign in which attackers uploaded large numbers of malicious skills to the ClawHub marketplace and used “setup steps” to deliver infostealing malware.	Několik článků popisuje kampaň, v níž útočníci nahráli na tržiště ClawHub velké množství škodlivých dovedností a pomocí „kroků nastavení“ distribuovali malware k krádeži informací.
According to 1Password’s Jason Meller, a top-downloaded skill included instructions that funneled users into a staged delivery chain: a link to a “dependency,” an obfuscated command, and then a payload that ultimately installed an infostealer designed to raid the machine for valuable secrets.	Podle Jasona Mellera z 1Passwordu zahrnovala nejčastěji stahovaná dovednost instrukce, které nasměrovaly uživatele do postupného řetězce doručování: odkaz na „závislost“, zahalený příkaz a poté náklad, který nakonec nainstaloval program pro zkrádání informací určený k útoku na počítač a získání cenných tajných informací.
CyberInsider, citing research from Koi Security, describes a similar pattern at scale: trojanized skills with “Prerequisites” instructing users to run obfuscated shell scripts or download password-protected archives, culminating in payloads such as Atomic macOS Stealer (AMOS) — a malware family associated with credential theft and wallet targeting.	CyberInsider s odvoláním na výzkum společnosti Koi Security popisuje podobný vzorec ve velkém měřítku: trojské koně s „předpoklady“, které uživatelům nařizují spouštět obfusované shellové skripty nebo stahovat archivy chráněné heslem, vrcholících v podobě malwaru, jako je Atomic macOS Stealer (AMOS) – rodina malwaru spojená s krádeží přihlašovacích údajů a cílením na peněženky.
Whether the exact counts differ between reports, the	Zda se přesné počty mezi jednotlivými zprávami liší,
shape
is consistent:
Skills used as distribution	Dovednosti používané jako distribuce
“Prerequisite” instructions used as persuasion	„Předpokladní“ instrukce použité k přesvědčování
Infostealers used as the end goal	Zloději informací používaní jako konečný cíl
That end goal matters: modern infostealers aren’t after one password — they’re after	Na tomto konečném cíli záleží: moderním zlodějům informací nejde o jedno heslo – jde jim o…
session tokens
,
browser profiles
SSH keys
cloud credentials	cloudové přihlašovací údaje
, and
crypto wallets
. In other words: the stuff that turns one compromised laptop into a broader compromise.	Jinými slovy: věci, které promění jeden kompromitovaný notebook v širší kompromis.
Why agents make this worse than a normal scammy download link	Proč agenti dělají tento podvodný odkaz ke stažení horším způsobem než běžný odkaz ke stažení
If you’ve ever thought, “I wouldn’t fall for that,” you’re probably right when you’re calm and skeptical.	Pokud jste si někdy pomysleli: „Na to bych nenaletěl/a,“ pravděpodobně máte pravdu, když jste klidní a skeptičtí.
But agent workflows change the context:	Ale pracovní postupy agentů mění kontext:
Speed becomes the default.	Rychlost se stává výchozím nastavením.
You’re using an agent because you want to move quickly.	Používáte agenta, protože chcete jednat rychle.
Cognitive load is outsourced.	Kognitivní zátěž je outsourcována.
The agent turns a messy instruction page into a confident checklist.	Agent promění chaotickou stránku s pokyny v sebevědomý kontrolní seznam.
Authority is borrowed.
If the agent says “This is the standard dependency,” it feels vetted.	Pokud agent řekne „Toto je standardní závislost“, působí to jako ověřený proces.
In other words: the agent doesn’t need to be “tricked” in a technical sense. It just needs to be present while you’re being nudged to do a risky thing. That’s enough to tip behavior.	Jinými slovy: agent nemusí být technicky „oklamán“. Stačí, aby byl přítomen, když jste pobízeni k riskantní věci. To stačí k tomu, aby se chování změnilo.
And if you
do
allow the agent to run commands directly, a malicious skill can become “hands-free compromise.”	Pokud agentovi umožníte spouštět příkazy přímo, může se škodlivá dovednost stát „hands-free kompromitací“.
‘But what about MCP? Isn’t that supposed to make tools safer?’	„Ale co MCP? Nemá to snad zvýšit bezpečnost nástrojů?“
Model Context Protocol (MCP) is a real step forward for structuring tool access. It standardizes how hosts expose tools, resources, and prompts, and it emphasizes user consent and control.	Protokol kontextu modelu (MCP) je skutečným krokem vpřed ve strukturování přístupu k nástrojům. Standardizuje způsob, jakým hostitelé zpřístupňují nástroje, zdroje a výzvy, a klade důraz na souhlas a kontrolu uživatele.
However, MCP doesn’t magically make “skills” safe.	MCP však „dovednosti“ magicky nedělá bezpečnými.
Why?
Skills can instruct users to run commands outside the MCP boundary.	Dovednosti mohou uživatelům nařídit spouštění příkazů mimo hranice MCP.
Skills can link to scripts or downloads that never touch MCP.	Dovednosti mohou odkazovat na skripty nebo soubory ke stažení, které se nikdy nedotýkají MCP.
Not every skill uses MCP at all.	Ne každá dovednost vůbec používá MCP.
MCP can help when the host implements strong permissioning, clear consent prompts, logging, and safe defaults. But a markdown-based distribution mechanism can still route around it through plain old social engineering.	MCP může pomoci, když hostitel implementuje silné oprávnění, jasné výzvy k souhlasu, protokolování a bezpečné výchozí hodnoty. Distribuční mechanismus založený na snižování cen jej však stále může obejít pomocí obyčejného sociálního inženýrství.
This is the agent version of supply-chain security (and we’ve been here before)	Toto je agentská verze zabezpečení dodavatelského řetězce (a už jsme o tom byli)
The software world learned the hard way that:	Svět softwaru se tvrdě naučil, že:
Popular registries get abused.	Populární registry jsou zneužívány.
Typosquatting works.
“Install this helper” is a common entry point.	„Nainstalovat tohoto pomocníka“ je běžný vstupní bod.
The most valuable victims are the ones building things.	Nejcennějšími oběťmi jsou ti, kteří věci staví.
Skills marketplaces combine those lessons with two new accelerants:	Tržiště dovedností kombinuje tyto poznatky se dvěma novými akcelerátory:
The “package” can be instructions	„Balíček“ může být instrukce
, not code — and instructions are harder to scan reliably.	, nikoli kód – a instrukce se hůře spolehlivě skenují.
The runtime environment is credential-rich	Běhové prostředí je bohaté na přihlašovací údaje
by design: browsers logged into everything, terminals with SSH keys, cloud CLIs, password managers, and local files.	záměrně: prohlížeče přihlašované do všeho, terminály s SSH klíči, cloudové CLI, správci hesel a lokální soubory.
In a sense, a skills marketplace is an app store where the top apps are allowed to say “Copy-paste this into Terminal to enable the feature.” That’s not a solvable problem with one checkbox.	V jistém smyslu je tržiště dovedností obchod s aplikacemi, kde si nejlepší aplikace mohou říct: „Zkopírujte a vložte toto do Terminálu, abyste funkci povolili.“ To není problém řešitelný jedním zaškrtávacím políčkem.
Practical defenses (for normal users)	Praktická obrana (pro běžné uživatele)
If you’re experimenting with an agent that has local access, you need to treat it like a new operating system user with superpowers.	Pokud experimentujete s agentem, který má lokální přístup, musíte s ním zacházet jako s novým uživatelem operačního systému se superschopnostmi.
Here’s the pragmatic baseline:
Use a dedicated machine or VM	Použijte vyhrazený počítač nebo virtuální počítač
for agent experiments. No saved corporate logins. No production SSH keys. No cloud admin sessions.	pro experimenty s agenty. Žádné uložené firemní přihlašovací údaje. Žádné produkční SSH klíče. Žádné relace cloudové administrace.
Default to “no” on one-liner installers.	U jednořádkových instalačních programů je výchozí nastavení „ne“.
Especially anything that pipes curl into sh, uses base64, or asks you to remove OS protections.	Zvláště cokoli, co se zkracuje do sh, používá base64 nebo vás žádá o odstranění ochran operačního systému.
Don’t trust “top downloaded.”	Nevěřte „nejstahovanějším“.
Popularity is a growth hack, not a security model.	Popularita je růstový hack, nikoli bezpečnostní model.
Rotate what matters first if you already ran something.	Pokud jste už něco spustili, střídejte to, co je důležité, jako první.
Browser sessions, SSH keys, API tokens, cloud keys.	Relace prohlížeče, SSH klíče, API tokeny, cloudové klíče.
Prefer skills that are source-controlled and reviewable	Preferujte dovednosti, které jsou kontrolovatelné a ověřitelné
(Git repos with history, known maintainers, clear provenance).	(Git repozitáře s historií, známými správci, jasným původem).
What marketplaces should do (if they want to survive)	Co by měly tržiště dělat (pokud chtějí přežít)
If you run a public skills registry, you are running an attack surface.	Pokud provozujete veřejný registr dovedností, provozujete útočnou plochu.
A few practical steps that meaningfully raise attacker cost:	Několik praktických kroků, které smysluplně zvýší náklady útočníka:
Publisher reputation and provenance
(verified identities, history, signing).	(ověřené identity, historie, podepisování).
Automated scanning
for suspicious patterns (encoded payloads, obfuscated one-liners, quarantine removal, password-protected archives, “install core dependency” with offsite links).	pro podezřelé vzorce (kódované datové části, zahalené jednořádkové hlášky, odstranění z karantény, archivy chráněné heslem, „závislost na instalaci jádra“ s odkazy mimo web).
Warning UI friction	Varování Tření uživatelského rozhraní
for external links and shell commands.	pro externí odkazy a příkazy shellu.
Fast takedown and visible incident response	Rychlé odstranění a viditelná reakce na incident
(treat it like an app store, not a pastebin).	(zacházejte s tím jako s obchodem s aplikacemi, ne jako s Pastebinem).
None of these are perfect, but they buy time — and time is what defenders need.	Nic z toho není dokonalé, ale kupují čas – a čas je přesně to, co obránci potřebují.
What agent builders should assume going forward	Co by měli tvůrci agentů předpokládat do budoucna
If you’re building the agent runtime itself, assume skills will be weaponized.	Pokud vytváříte samotné běhové prostředí agenta, předpokládejte, že dovednosti budou vyzbrojeny.
That means:
Default-deny command execution	Spuštění příkazu Default-Den
(require per-command consent, not once-and-forever toggles).	(vyžaduje souhlas s každým příkazem, nikoli jednorázové přepínání).
Strong sandboxing
for file system and browser access.	pro přístup k souborovému systému a prohlížeči.
Scoped, time-bound permissions	Omezená, časově omezená oprávnění
with easy revocation.
Auditable logs
of what the agent read and what it executed.	toho, co agent přečetl a co provedl.
The end state is the same direction the cloud took years ago: identity, policy, least privilege, and audit trails — but brought down to the workstation level.	Konečný stav je stejným směrem, jakým se cloud ubíral před lety: identita, zásady, minimální oprávnění a auditní záznamy – ale omezený na úroveň pracovních stanic.
Bottom line
The OpenClaw skills story isn’t just “some people uploaded malware.” It’s a preview of the next supply-chain battlefield:	Příběh o dovednostech v OpenClaw není jen o tom, že „někteří lidé nahráli malware“. Je to ukázka dalšího bojiště dodavatelského řetězce:
skills as distribution, markdown as an execution path, and agents as the accelerator.	dovednosti jako distribuce, markdown jako realizační cesta a agenti jako akcelerátor.
If agents are going to live on our personal and work machines, the ecosystem needs a trust layer that treats skills marketplaces like app stores, treats documentation like code, and treats “helpful automation” as a privileged operation — not a casual convenience.	Pokud mají agenti žít na našich osobních i pracovních strojích, ekosystém potřebuje vrstvu důvěryhodnosti, která bude s tržišti dovedností zacházet jako s obchody s aplikacemi, s dokumentací jako s kódem a s „užitečnou automatizací“ bude zacházet jako s privilegovanou operací – nikoli jako s běžnou pohodlností.
Sources
https://www.theverge.com/news/874011/openclaw-ai-skill-clawhub-extensions-security-nightmare	https://www.theverge.com/news/874011/openclaw-ai-skill-clawhub-extensions-security-nightmare
https://1password.com/blog/from-magic-to-malware-how-openclaws-agent-skills-become-an-attack-surface	https://1password.com/blog/from-magic-to-malware-how-openclaws-agent-skills-become-an-attack-surface
https://cyberinsider.com/341-openclaw-skills-distribute-macos-malware-via-clickfix-instructions/	https://cyberinsider.com/341-openclaw-skills-distribute-macos-malware-via-clickfix-instructions/
https://agentskills.io/what-are-skills	https://agentskills.io/what-are-skills
https://modelcontextprotocol.io/specification/2025-06-18	https://modelcontextprotocol.io/specification/2025-06-18
←
Previous Post
Next Post
→
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin	Zobrazit všechny příspěvky od uživatele Admin
Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected	Ikea nabízí cenově výhodné zařízení Matter-over-Thread, která se potýkají s nejtěžším krokem: připojením.
Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means	Měli by chatboti s umělou inteligencí mít reklamy? Co doopravdy znamená postoj Anthropic „žádné reklamy“
Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.	Škodlivé „dovednosti“ agentů umělé inteligence proměňují dokumentaci v distribuční kanál pro zloděje informací. Zde je návod, jak to funguje – a jak se proti tomu bránit.

Document Title

When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call

Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.

Title Attribute

oEmbed (JSON)

oEmbed (XML)

JSON

View all posts by Admin

Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected

Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means

Page Content

When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call

Nature

Climate

General

/ By

Admin

In the last couple of years, “AI agent” stopped being a marketing phrase and started being a real workflow: an assistant that can read your files, open your browser, run commands, and stitch together actions across services. That’s the promise.

The problem is that

power has a distribution channel

. And that channel is increasingly called a

skill

: a small, shareable “how-to” package that teaches an agent (and often the user) how to accomplish a task. It’s the app store moment for agents — except the “apps” are frequently

markdown instructions

This week’s reports about malicious OpenClaw skills are an early, very loud signal that we’re about to repeat open-source supply‑chain history — but with a twist: instead of poisoning a compiled dependency, attackers can poison

documentation

and use the agent’s helpfulness as the lubricant.

Below is a practical explainer of what happened, why it works so well, and what you can do about it.

What OpenClaw skills are (and why they matter)

OpenClaw popularized a simple extension model: drop in a “skill” that explains how to do a narrow task — post on social media, clean folders, summarize a report, automate a workflow — and the agent gains a new capability.

In the broader “agent skills” ecosystem, a skill is typically a folder built around a

SKILL.md

file. That file contains:

Metadata

(name / description)

Instructions

(the actual steps)

Optionally:

scripts

and other bundled assets

That sounds benign because it looks like documentation. But documentation is exactly what people follow quickly, especially when it looks like a prerequisite list or installation guide.

Skills also have a “winner takes all” dynamic: people gravitate to what’s popular, what’s new, and what looks like it will save time. That makes a public skills marketplace a high-value target: compromise a few top downloads, and you can reach a concentrated set of power users — developers, operators, and anyone who has valuable credentials sitting on their machine.

The core trick: markdown isn’t “content” anymore — it’s an installer

Traditional software supply chain attacks often require technical investment: dependency confusion, typosquatting, malicious post-install scripts, maintaining control over a package name, and dodging scanners.

A skills marketplace lowers the bar.

A malicious skill can do something as simple as this:

Present a plausible tool (“Twitter skill,” “crypto tracker,” “automation helper”).

Add a “Prerequisites” section with a “required dependency.”

Provide a convenient link and a one‑liner command.

Rely on the human (or the agent) to execute it.

That’s not a new social engineering idea — it’s been used for years — but agent workflows

amplify

it:

Agents summarize docs confidently (“Just run this to install the dependency”).

Agents reduce friction by generating the command for you.

In some setups, agents can run shell commands themselves.

At that point, “documentation” becomes a remote execution path.

What the reports say happened in the OpenClaw ecosystem

Multiple write-ups describe a campaign in which attackers uploaded large numbers of malicious skills to the ClawHub marketplace and used “setup steps” to deliver infostealing malware.

According to 1Password’s Jason Meller, a top-downloaded skill included instructions that funneled users into a staged delivery chain: a link to a “dependency,” an obfuscated command, and then a payload that ultimately installed an infostealer designed to raid the machine for valuable secrets.

CyberInsider, citing research from Koi Security, describes a similar pattern at scale: trojanized skills with “Prerequisites” instructing users to run obfuscated shell scripts or download password-protected archives, culminating in payloads such as Atomic macOS Stealer (AMOS) — a malware family associated with credential theft and wallet targeting.

Whether the exact counts differ between reports, the

shape

is consistent:

Skills used as distribution

“Prerequisite” instructions used as persuasion

Infostealers used as the end goal

That end goal matters: modern infostealers aren’t after one password — they’re after

session tokens

browser profiles

SSH keys

cloud credentials

, and

crypto wallets

. In other words: the stuff that turns one compromised laptop into a broader compromise.

Why agents make this worse than a normal scammy download link

If you’ve ever thought, “I wouldn’t fall for that,” you’re probably right when you’re calm and skeptical.

But agent workflows change the context:

Speed becomes the default.

You’re using an agent because you want to move quickly.

Cognitive load is outsourced.

The agent turns a messy instruction page into a confident checklist.

Authority is borrowed.

If the agent says “This is the standard dependency,” it feels vetted.

In other words: the agent doesn’t need to be “tricked” in a technical sense. It just needs to be present while you’re being nudged to do a risky thing. That’s enough to tip behavior.

And if you

allow the agent to run commands directly, a malicious skill can become “hands-free compromise.”

‘But what about MCP? Isn’t that supposed to make tools safer?’

Model Context Protocol (MCP) is a real step forward for structuring tool access. It standardizes how hosts expose tools, resources, and prompts, and it emphasizes user consent and control.

However, MCP doesn’t magically make “skills” safe.

Why?

Skills can instruct users to run commands outside the MCP boundary.

Skills can link to scripts or downloads that never touch MCP.

Not every skill uses MCP at all.

MCP can help when the host implements strong permissioning, clear consent prompts, logging, and safe defaults. But a markdown-based distribution mechanism can still route around it through plain old social engineering.

This is the agent version of supply-chain security (and we’ve been here before)

The software world learned the hard way that:

Popular registries get abused.

Typosquatting works.

“Install this helper” is a common entry point.

The most valuable victims are the ones building things.

Skills marketplaces combine those lessons with two new accelerants:

The “package” can be instructions

, not code — and instructions are harder to scan reliably.

The runtime environment is credential-rich

by design: browsers logged into everything, terminals with SSH keys, cloud CLIs, password managers, and local files.

In a sense, a skills marketplace is an app store where the top apps are allowed to say “Copy-paste this into Terminal to enable the feature.” That’s not a solvable problem with one checkbox.

Practical defenses (for normal users)

If you’re experimenting with an agent that has local access, you need to treat it like a new operating system user with superpowers.

Here’s the pragmatic baseline:

Use a dedicated machine or VM

for agent experiments. No saved corporate logins. No production SSH keys. No cloud admin sessions.

Default to “no” on one-liner installers.

Especially anything that pipes curl into sh, uses base64, or asks you to remove OS protections.

Don’t trust “top downloaded.”

Popularity is a growth hack, not a security model.

Rotate what matters first if you already ran something.

Browser sessions, SSH keys, API tokens, cloud keys.

Prefer skills that are source-controlled and reviewable

(Git repos with history, known maintainers, clear provenance).

What marketplaces should do (if they want to survive)

If you run a public skills registry, you are running an attack surface.

A few practical steps that meaningfully raise attacker cost:

Publisher reputation and provenance

(verified identities, history, signing).

Automated scanning

for suspicious patterns (encoded payloads, obfuscated one-liners, quarantine removal, password-protected archives, “install core dependency” with offsite links).

Warning UI friction

for external links and shell commands.

Fast takedown and visible incident response

(treat it like an app store, not a pastebin).

None of these are perfect, but they buy time — and time is what defenders need.

What agent builders should assume going forward

If you’re building the agent runtime itself, assume skills will be weaponized.

That means:

Default-deny command execution

(require per-command consent, not once-and-forever toggles).

Strong sandboxing

for file system and browser access.

Scoped, time-bound permissions

with easy revocation.

Auditable logs

of what the agent read and what it executed.

The end state is the same direction the cloud took years ago: identity, policy, least privilege, and audit trails — but brought down to the workstation level.

Bottom line

The OpenClaw skills story isn’t just “some people uploaded malware.” It’s a preview of the next supply-chain battlefield:

skills as distribution, markdown as an execution path, and agents as the accelerator.

If agents are going to live on our personal and work machines, the ecosystem needs a trust layer that treats skills marketplaces like app stores, treats documentation like code, and treats “helpful automation” as a privileged operation — not a casual convenience.

Sources

https://www.theverge.com/news/874011/openclaw-ai-skill-clawhub-extensions-security-nightmare

https://1password.com/blog/from-magic-to-malware-how-openclaws-agent-skills-become-an-attack-surface

https://cyberinsider.com/341-openclaw-skills-distribute-macos-malware-via-clickfix-instructions/

https://agentskills.io/what-are-skills

https://modelcontextprotocol.io/specification/2025-06-18

←

→

oEmbed (JSON)

oEmbed (XML)

JSON

View all posts by Admin

Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected

Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means

Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.

Document Title
Page not found - Florin.blog	Stránka nenalezena - Florin.blog
Image Alt
Florin.blog
Title Attribute
Florin.blog » Feed
RSD
Skip to content
Placeholder Attribute
Search...
Page Content
Page not found - Florin.blog	Stránka nenalezena - Florin.blog
Skip to content
Home
Blog
Garden Decor
Indoor
Main Menu
This page doesn't seem to exist.	Tato stránka zřejmě neexistuje.
It looks like the link pointing here was faulty. Maybe try searching?	Vypadá to, že odkaz, který sem směřoval, byl chybný. Zkuste to hledat?
Search for:
Search
Quick Links
Outdoors
About
Contact
Explore
Bestsellers
Hot deals
Best of The Year
Featured
Gift Cards
Help
Privacy Policy	Zásady ochrany osobních údajů
Disclaimer
: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.	Jakožto partner Amazon získáváme poskytujeme z kvalifikovaných nákupů – bez dalších nákladů pro vás.
Florin.blog
Florin.blog » Feed
RSD
Search...

Document Title

Page not found - Florin.blog

Image Alt

Florin.blog

Title Attribute

Florin.blog » Feed

RSD

Placeholder Attribute

Search...

Page Content

Page not found - Florin.blog

Home

Blog

Garden Decor

Indoor

Main Menu

This page doesn't seem to exist.

It looks like the link pointing here was faulty. Maybe try searching?

Search for:

Quick Links

Outdoors

About

Contact

Explore

Bestsellers

Hot deals

Best of The Year

Featured

Gift Cards

Help

Disclaimer

: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.

Florin.blog

Florin.blog » Feed

RSD

Search...