Kui „oskustest” saab tarneahel: OpenClawi turuplatsi pahavara äratuskell

/Üldine/ Autor

Viimase paari aasta jooksul on „tehisintellekti agent” lakanud olemast turundusfraas ja hakanud olema tõeline töövoog: assistent, mis saab lugeda teie faile, avada teie brauseri, käivitada käske ja ühendada toiminguid teenuste vahel. See on lubadus.

Probleem on selles, etVõimudel on jaotuskanalJa seda kanalit nimetatakse üha enamoskus: väike ja jagatav õppematerjal, mis õpetab agendile (ja sageli ka kasutajale), kuidas ülesannet täita. See on agentide jaoks rakenduste poe hetk – välja arvatud see, et rakendused on sagelihinnaalanduse juhised.

Selle nädala teated pahatahtlike OpenClawi oskuste kohta on varajane ja väga vali signaal, et me oleme kordamas avatud lähtekoodiga tarneahela ajalugu – aga omapärase keerdkäiguga: kompileeritud sõltuvuse mürgitamise asemel saavad ründajad mürgitada...dokumentatsioonja kasutage agendi abivalmidust määrdeainena.

Allpool on praktiline selgitus selle kohta, mis juhtus, miks see nii hästi toimib ja mida saate sellega ette võtta.

Mis on OpenClawi oskused (ja miks need on olulised)

OpenClaw populariseeris lihtsa laiendusmudeli: sisestage „oskus“, mis selgitab, kuidas teha kitsast ülesannet – postitada sotsiaalmeedias, puhastada kaustu, teha kokkuvõte aruandest, automatiseerida töövoogu – ja agent saab uue võimekuse.

Laiemas „agentide oskuste” ökosüsteemis on oskus tavaliselt kaust, mis on üles ehitatudSKILL.mdfail. See fail sisaldab:

  • Metaandmed(nimi / kirjeldus)
  • Juhised(tegelikud sammud)
  • Valikuliselt:skriptidja muud komplekteeritud varad

See kõlab heatahtlikult, sest see näeb välja nagu dokumentatsioon. Aga dokumentatsioon on just see, mida inimesed kiiresti järgivad, eriti kui see näeb välja nagu eeltingimuste loend või paigaldusjuhend.

Oskuste puhul on oluline ka „võitja võtab kõik” dünaamika: inimesed eelistavad seda, mis on populaarne, uus ja mis näib aja kokkuhoidvat. See teeb avalikust oskuste turust väärtusliku sihtmärgi: kompromissi leidmine mõne populaarseima allalaadimisega annab võimaluse jõuda kontsentreeritud hulga võimaste kasutajateni – arendajateni, operaatoriteni ja kõigini, kellel on oma arvutis väärtuslikud volitused.

Põhinipp: Markdown pole enam "sisu" – see on installiprogramm

Traditsioonilised tarkvara tarneahela rünnakud nõuavad sageli tehnilisi investeeringuid: sõltuvuste segadus, trükiviga, pahatahtlikud installijärgsed skriptid, paketi nime üle kontrolli säilitamine ja skannerite vältimine.

Oskuste turg langetab lati.

Pahatahtlik oskus võib teha midagi nii lihtsat nagu see:

  1. Esitage usutav tööriist („Twitteri oskus“, „krüptojälgija“, „automaatika abimees“).
  2. Lisage jaotis „Eeltingimused” koos „nõutava sõltuvusega”.
  3. Paku mugavat linki ja üherealist käsku.
  4. Selle teostamisel lootke inimesele (või agendile).

See pole uus sotsiaalse manipuleerimise idee – seda on kasutatud aastaid –, vaid agentide töövoodvõimendamasee:

  • Agendid võtavad dokumente enesekindlalt kokku („Käivita see lihtsalt sõltuvuse installimiseks“).
  • Agendid vähendavad hõõrdumist, genereerides teie eest käsu.
  • Mõnes seadistuses saavad agendid ise shellikäsklusi käivitada.

Sel hetkel muutub „dokumentatsioon” kaugteostuse teeks.

Mida aruanded OpenClawi ökosüsteemis juhtusid

Mitmed artiklid kirjeldavad kampaaniat, mille käigus ründajad laadisid ClawHubi turuplatsile üles suure hulga pahatahtlikke oskusi ja kasutasid infot varastava pahavara edastamiseks „seadistussamme“.

1Passwordi Jason Melleri sõnul hõlmas üks enim allalaaditud oskus juhiseid, mis suunasid kasutajad etapiviisilisse edastusahelasse: link „sõltuvusele“, hägustatud käsk ja seejärel kasulik koormus, mis lõpuks installis infovarastaja, mis oli loodud masinast väärtuslike saladuste röövimiseks.

CyberInsider kirjeldab Koi Security uuringule viidates sarnast mustrit laiemas plaanis: troojalaste nakatatud oskused koos „eeltingimustega“, mis juhendavad kasutajaid käivitama hägustatud shelliskripte või laadima alla parooliga kaitstud arhiive, mille tulemuseks on sellised kasulikud programmid nagu Atomic macOS Stealer (AMOS) – pahavara perekond, mida seostatakse volituste varguse ja rahakoti sihtimisega.

Olenemata sellest, kas täpsed arvud aruannete vahel erinevad,kujuon järjepidev:

  • Oskused, mida kasutatakse levitamiseks
  • Veenmiseks kasutatud „eeltingimuslikud” juhised
  • Infovaraste kasutamine lõppeesmärgina

See lõppeesmärk on oluline: tänapäevased infovarastajad ei jahi ühte parooli – nad jahivadseansi märgid,brauseri profiilid,SSH-võtmed,pilvepõhised mandaadidjakrüptorahakotidTeisisõnu: asjad, mis muudavad ühe ohustatud sülearvuti laiemaks ohuks.

Kui oled kunagi mõelnud: „Mina selle õnge ei langeks,“ on sul ilmselt õigus, kui oled rahulik ja skeptiline.

Kuid agentide töövood muudavad konteksti:

  • Kiirus saab vaikimisi.Sa kasutad agenti, sest soovid kiiresti tegutseda.
  • Kognitiivne koormus on tellitud alltöövõtjalt.Agent muudab segase juhiste lehe enesekindlaks kontrollnimekirjaks.
  • Autoriteet on laenatud.Kui agent ütleb: „See on standardne sõltuvus”, tundub see olevat kontrollitud.

Teisisõnu: agenti ei pea tehnilises mõttes "petta". Ta peab lihtsalt kohal olema, kui sind riskantse asja tegema sunditakse. Sellest piisab käitumise mõjutamiseks.

Ja kui sinateelubades agendil käske otse käivitada, võib pahatahtlik oskus muutuda „käed-vabad kompromiteerimiseks“.

„Aga kuidas on lood MCP-ga? Kas see ei peaks tööriistu ohutumaks muutma?“

Model Context Protocol (MCP) on tööriistadele juurdepääsu struktureerimisel suur samm edasi. See standardiseerib, kuidas hostid tööriistu, ressursse ja juhiseid avaldavad, ning rõhutab kasutaja nõusolekut ja kontrolli.

Kuid MCP ei muuda "oskusi" maagiliselt ohutuks.

Miks?

  • Oskused saavad anda kasutajatele juhiseid käskude käivitamiseks väljaspool MCP piire.
  • Oskused võivad olla seotud skriptide või allalaadimistega, mis ei puutu kunagi kokku MCP-ga.
  • Mitte iga oskus ei kasuta MCP-d üldse.

MCP-st saab abi, kui host rakendab tugevat lubade küsimist, selgeid nõusoleku küsimisi, logimist ja turvalisi vaikesätteid. Kuid markdown-põhine levitamismehhanism saab sellest ikkagi mööda hiilida tavalise sotsiaalse manipuleerimise abil.

See on tarneahela turvalisuse agendi versioon (ja me oleme siin varem olnud)

Tarkvaramaailm õppis seda valusalt:

  • Populaarseid registreid kuritarvitatakse.
  • Typosquatting toimib.
  • „Installi see abimees” on tavaline sisenemispunkt.
  • Kõige väärtuslikumad ohvrid on need, kes asju ehitavad.

Oskuste turuplatsid ühendavad need õppetunnid kahe uue kiirendiga:

  1. „Pakett” võib olla juhis, mitte kood – ja juhiseid on raskem usaldusväärselt skannida.
  2. Käituskeskkond on mandaatiderikaskavandatud: brauserid logivad sisse kõigesse, terminalid SSH-võtmetega, pilvepõhised CLI-d, paroolihaldurid ja kohalikud failid.

Teatud mõttes on oskuste turg rakenduste pood, kus parimad rakendused saavad öelda: „Kopeeri ja kleebi see Terminali, et funktsioon lubada.“ See pole ühe märkeruuduga lahendatav probleem.

Praktilised kaitsemeetmed (tavakasutajatele)

Kui katsetate agendiga, millel on lokaalne juurdepääs, peate seda kohtlema nagu uut operatsioonisüsteemi kasutajat, kellel on supervõimed.

Siin on pragmaatiline lähtepunkt:

  1. Kasutage spetsiaalset masinat või virtuaalmasinatAgendi katsete jaoks. Salvestatud ettevõtte sisselogimisi pole. Tootmiskeskkonna SSH-võtmeid pole. Pilveadministraatori seansse pole.
  2. Üherealiste installijate puhul on vaikesäte „ei“.Eriti kõik, mis suunab skripti sh-sse, kasutab base64-d või palub eemaldada operatsioonisüsteemi kaitsed.
  3. Ära usalda „kõige populaarsemaid allalaaditud versioone”.Populaarsus on kasvuhäkk, mitte turvamudel.
  4. Kui oled juba midagi käivitanud, siis pööra esmalt olulist.Brauserisessioonid, SSH-võtmed, API-tokenid, pilvevõtmed.
  5. Eelistatakse oskusi, mis on allikakontrolli all ja mida saab üle vaadata(Giti repositooriumid ajalooga, teadaolevate hooldajatega, selge päritoluga).

Mida peaksid turuplatsid tegema (kui nad tahavad ellu jääda)

Kui haldate avalikku oskuste registrit, haldate rünnakupinda.

Mõned praktilised sammud, mis rünnaku kulusid märkimisväärselt suurendavad:

  • Kirjastaja maine ja päritolu(kinnitatud isikud, ajalugu, allkirjastamine).
  • Automatiseeritud skaneeriminekahtlaste mustrite puhul (kodeeritud kasulikud koormused, hägustatud üherealised laused, karantiini eemaldamine, parooliga kaitstud arhiivid, „installi põhisõltuvus” koos väljaspool saiti asuvate linkidega).
  • Hoiatus kasutajaliidese hõõrdumisestväliste linkide ja shellikäskude jaoks.
  • Kiire eemaldamine ja nähtav intsidendile reageerimine(käitu selle all nagu rakenduste poodi, mitte prügikasti).

Ükski neist pole täiuslik, aga need võidavad aega – ja just seda kaitsjad vajavadki.

Mida peaksid agendiehitajad edaspidi eeldama

Kui sa ise agendi käituskeskkonda lood, siis eelda, et oskused relvastatakse.

See tähendab:

  • Vaikimisi keelatava käsu täitmine(nõuab käsupõhist nõusolekut, mitte ühekordseid lülitusi).
  • Tugev liivakastfailisüsteemi ja brauseri juurdepääsuks.
  • Piiratud ulatusega ja ajaliselt piiratud õigusedlihtsa tagasivõtmisega.
  • Auditeeritavad logidsellest, mida agent luges ja mida ta ellu viis.

Lõppseisund on sama suund, kuhu pilv aastaid tagasi liikus: identiteet, poliitika, vähimad privileegid ja auditeerimisjäljed – aga taandatud tööjaama tasemele.

Lõpptulemus

OpenClawi oskuste lugu ei ole lihtsalt "mõned inimesed laadisid üles pahavara". See on eelvaade järgmisest tarneahela lahinguväljast:oskused levitamisena, allahindlus teostusviisina ja agendid kiirendina.

Kui agendid hakkavad elama meie isiklikel ja töömasinatel, vajab ökosüsteem usalduskihti, mis käsitleb oskuste turge nagu rakenduste poode, dokumentatsiooni nagu koodi ja „kasulikku automatiseerimist” privilegeeritud toiminguna, mitte juhusliku mugavusena.

Allikad

Document Title
When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call
Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.
Title Attribute
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected
Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means
Page Content
When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call
Nature
Climate
/
General
/ By
Admin
In the last couple of years, “AI agent” stopped being a marketing phrase and started being a real workflow: an assistant that can read your files, open your browser, run commands, and stitch together actions across services. That’s the promise.
The problem is that
power has a distribution channel
. And that channel is increasingly called a
skill
: a small, shareable “how-to” package that teaches an agent (and often the user) how to accomplish a task. It’s the app store moment for agents — except the “apps” are frequently
markdown instructions
.
This week’s reports about malicious OpenClaw skills are an early, very loud signal that we’re about to repeat open-source supply‑chain history — but with a twist: instead of poisoning a compiled dependency, attackers can poison
documentation
and use the agent’s helpfulness as the lubricant.
Below is a practical explainer of what happened, why it works so well, and what you can do about it.
What OpenClaw skills are (and why they matter)
OpenClaw popularized a simple extension model: drop in a “skill” that explains how to do a narrow task — post on social media, clean folders, summarize a report, automate a workflow — and the agent gains a new capability.
In the broader “agent skills” ecosystem, a skill is typically a folder built around a
SKILL.md
file. That file contains:
Metadata
(name / description)
Instructions
(the actual steps)
Optionally:
scripts
and other bundled assets
That sounds benign because it looks like documentation. But documentation is exactly what people follow quickly, especially when it looks like a prerequisite list or installation guide.
Skills also have a “winner takes all” dynamic: people gravitate to what’s popular, what’s new, and what looks like it will save time. That makes a public skills marketplace a high-value target: compromise a few top downloads, and you can reach a concentrated set of power users — developers, operators, and anyone who has valuable credentials sitting on their machine.
The core trick: markdown isn’t “content” anymore — it’s an installer
Traditional software supply chain attacks often require technical investment: dependency confusion, typosquatting, malicious post-install scripts, maintaining control over a package name, and dodging scanners.
A skills marketplace lowers the bar.
A malicious skill can do something as simple as this:
Present a plausible tool (“Twitter skill,” “crypto tracker,” “automation helper”).
Add a “Prerequisites” section with a “required dependency.”
Provide a convenient link and a one‑liner command.
Rely on the human (or the agent) to execute it.
That’s not a new social engineering idea — it’s been used for years — but agent workflows
amplify
it:
Agents summarize docs confidently (“Just run this to install the dependency”).
Agents reduce friction by generating the command for you.
In some setups, agents can run shell commands themselves.
At that point, “documentation” becomes a remote execution path.
What the reports say happened in the OpenClaw ecosystem
Multiple write-ups describe a campaign in which attackers uploaded large numbers of malicious skills to the ClawHub marketplace and used “setup steps” to deliver infostealing malware.
According to 1Password’s Jason Meller, a top-downloaded skill included instructions that funneled users into a staged delivery chain: a link to a “dependency,” an obfuscated command, and then a payload that ultimately installed an infostealer designed to raid the machine for valuable secrets.
CyberInsider, citing research from Koi Security, describes a similar pattern at scale: trojanized skills with “Prerequisites” instructing users to run obfuscated shell scripts or download password-protected archives, culminating in payloads such as Atomic macOS Stealer (AMOS) — a malware family associated with credential theft and wallet targeting.
Whether the exact counts differ between reports, the
shape
is consistent:
Skills used as distribution
“Prerequisite” instructions used as persuasion
Infostealers used as the end goal
That end goal matters: modern infostealers aren’t after one password — they’re after
session tokens
,
browser profiles
SSH keys
cloud credentials
, and
crypto wallets
. In other words: the stuff that turns one compromised laptop into a broader compromise.
Why agents make this worse than a normal scammy download link
If you’ve ever thought, “I wouldn’t fall for that,” you’re probably right when you’re calm and skeptical.
But agent workflows change the context:
Speed becomes the default.
You’re using an agent because you want to move quickly.
Cognitive load is outsourced.
The agent turns a messy instruction page into a confident checklist.
Authority is borrowed.
If the agent says “This is the standard dependency,” it feels vetted.
In other words: the agent doesn’t need to be “tricked” in a technical sense. It just needs to be present while you’re being nudged to do a risky thing. That’s enough to tip behavior.
And if you
do
allow the agent to run commands directly, a malicious skill can become “hands-free compromise.”
‘But what about MCP? Isn’t that supposed to make tools safer?’
Model Context Protocol (MCP) is a real step forward for structuring tool access. It standardizes how hosts expose tools, resources, and prompts, and it emphasizes user consent and control.
However, MCP doesn’t magically make “skills” safe.
Why?
Skills can instruct users to run commands outside the MCP boundary.
Skills can link to scripts or downloads that never touch MCP.
Not every skill uses MCP at all.
MCP can help when the host implements strong permissioning, clear consent prompts, logging, and safe defaults. But a markdown-based distribution mechanism can still route around it through plain old social engineering.
This is the agent version of supply-chain security (and we’ve been here before)
The software world learned the hard way that:
Popular registries get abused.
Typosquatting works.
“Install this helper” is a common entry point.
The most valuable victims are the ones building things.
Skills marketplaces combine those lessons with two new accelerants:
The “package” can be instructions
, not code — and instructions are harder to scan reliably.
The runtime environment is credential-rich
by design: browsers logged into everything, terminals with SSH keys, cloud CLIs, password managers, and local files.
In a sense, a skills marketplace is an app store where the top apps are allowed to say “Copy-paste this into Terminal to enable the feature.” That’s not a solvable problem with one checkbox.
Practical defenses (for normal users)
If you’re experimenting with an agent that has local access, you need to treat it like a new operating system user with superpowers.
Here’s the pragmatic baseline:
Use a dedicated machine or VM
for agent experiments. No saved corporate logins. No production SSH keys. No cloud admin sessions.
Default to “no” on one-liner installers.
Especially anything that pipes curl into sh, uses base64, or asks you to remove OS protections.
Don’t trust “top downloaded.”
Popularity is a growth hack, not a security model.
Rotate what matters first if you already ran something.
Browser sessions, SSH keys, API tokens, cloud keys.
Prefer skills that are source-controlled and reviewable
(Git repos with history, known maintainers, clear provenance).
What marketplaces should do (if they want to survive)
If you run a public skills registry, you are running an attack surface.
A few practical steps that meaningfully raise attacker cost:
Publisher reputation and provenance
(verified identities, history, signing).
Automated scanning
for suspicious patterns (encoded payloads, obfuscated one-liners, quarantine removal, password-protected archives, “install core dependency” with offsite links).
Warning UI friction
for external links and shell commands.
Fast takedown and visible incident response
(treat it like an app store, not a pastebin).
None of these are perfect, but they buy time — and time is what defenders need.
What agent builders should assume going forward
If you’re building the agent runtime itself, assume skills will be weaponized.
That means:
Default-deny command execution
(require per-command consent, not once-and-forever toggles).
Strong sandboxing
for file system and browser access.
Scoped, time-bound permissions
with easy revocation.
Auditable logs
of what the agent read and what it executed.
The end state is the same direction the cloud took years ago: identity, policy, least privilege, and audit trails — but brought down to the workstation level.
Bottom line
The OpenClaw skills story isn’t just “some people uploaded malware.” It’s a preview of the next supply-chain battlefield:
skills as distribution, markdown as an execution path, and agents as the accelerator.
If agents are going to live on our personal and work machines, the ecosystem needs a trust layer that treats skills marketplaces like app stores, treats documentation like code, and treats “helpful automation” as a privileged operation — not a casual convenience.
Sources
https://www.theverge.com/news/874011/openclaw-ai-skill-clawhub-extensions-security-nightmare
https://1password.com/blog/from-magic-to-malware-how-openclaws-agent-skills-become-an-attack-surface
https://cyberinsider.com/341-openclaw-skills-distribute-macos-malware-via-clickfix-instructions/
https://agentskills.io/what-are-skills
https://modelcontextprotocol.io/specification/2025-06-18
←
Previous Post
Next Post
→
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected
Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means
Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.
Document Title
Page not found - Florin.blog
Image Alt
Florin.blog
Title Attribute
Florin.blog » Feed
RSD
Skip to content
Placeholder Attribute
Search...
Page Content
Page not found - Florin.blog
Skip to content
Home
Blog
Garden Decor
Indoor
Main Menu
This page doesn't seem to exist.
It looks like the link pointing here was faulty. Maybe try searching?
Search for:
Search
Quick Links
Outdoors
About
Contact
Explore
Bestsellers
Hot deals
Best of The Year
Featured
Gift Cards
Help
Privacy Policy
Disclaimer
: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.
Florin.blog
Florin.blog » Feed
RSD
Search...
e Eesti