Kiedy „umiejętności” stają się łańcuchem dostaw: sygnał ostrzegawczy przed złośliwym oprogramowaniem na rynku OpenClaw

W ciągu ostatnich kilku lat „agent AI” przestał być tylko sloganem marketingowym, a stał się prawdziwym procesem pracy: asystentem, który potrafi odczytywać pliki, otwierać przeglądarkę, uruchamiać polecenia i łączyć działania w różnych usługach. Taka jest obietnica.

Problem polega na tym, żemoc ma kanał dystrybucji. A ten kanał coraz częściej nazywany jestumiejętność: mały, udostępniany pakiet „poradnika”, który uczy agenta (a często i użytkownika), jak wykonać zadanie. To moment na sklep z aplikacjami dla agentów — z tą różnicą, że „aplikacje” częstoinstrukcje dotyczące markdownu.

Doniesienia z tego tygodnia o złośliwych umiejętnościach OpenClaw stanowią wczesny, bardzo głośny sygnał, że wkrótce powtórzymy historię łańcucha dostaw oprogramowania typu open source — ale z pewnym urozmaiceniem: zamiast zatruwać skompilowaną zależność, atakujący mogą zatrućdokumentacjai wykorzystaj pomocność agenta jako środek smarujący.

Poniżej znajdziesz praktyczne wyjaśnienie tego, co się stało, dlaczego to działa tak dobrze i co możesz z tym zrobić.

Czym są umiejętności OpenClaw (i dlaczego są ważne)

OpenClaw spopularyzował prosty model rozszerzenia: wystarczy dodać „umiejętność” wyjaśniającą, jak wykonać wąskie zadanie — opublikować wpis w mediach społecznościowych, wyczyścić foldery, podsumować raport, zautomatyzować przepływ pracy — a agent zyskuje nową możliwość.

W szerszym ekosystemie „umiejętności agentów” umiejętność to zazwyczaj folder zbudowany wokółUMIEJĘTNOŚĆ.mdplik. Ten plik zawiera:

Metadane(nazwa / opis)
Instrukcje(faktyczne kroki)
Fakultatywnie:skryptyi inne powiązane aktywa

Brzmi to niewinnie, bo wygląda jak dokumentacja. Ale dokumentacja to właśnie to, czego ludzie szybko przestrzegają, zwłaszcza gdy wygląda jak lista wymagań wstępnych lub instrukcja instalacji.

Umiejętności działają również na zasadzie „zwycięzca bierze wszystko”: ludzie lgną do tego, co jest popularne, nowe i co wydaje się oszczędzać czas. To sprawia, że publiczny rynek umiejętności jest cennym celem: wystarczy kilka najpopularniejszych pobrań, aby dotrzeć do skoncentrowanej grupy zaawansowanych użytkowników — programistów, operatorów i każdego, kto ma wartościowe uprawnienia na swoim komputerze.

Kluczowa sztuczka: Markdown nie jest już „treścią” — jest instalatorem

Tradycyjne ataki na łańcuch dostaw oprogramowania często wymagają inwestycji technicznych: niejasności co do zależności, typosquattingu, złośliwych skryptów po instalacji, utrzymywania kontroli nad nazwą pakietu i omijania skanerów.

Rynek umiejętności obniża poprzeczkę.

Złośliwa umiejętność może zrobić coś tak prostego jak:

Zaprezentuj wiarygodne narzędzie („umiejętność korzystania z Twittera”, „śledzenie kryptowalut”, „pomoc w automatyzacji”).
Dodaj sekcję „Wymagania wstępne” zawierającą „wymaganą zależność”.
Udostępnij wygodny link i polecenie składające się z jednego wiersza.
Zaufaj człowiekowi (lub agentowi), który to wykona.

To nie jest nowy pomysł z zakresu inżynierii społecznej – jest on stosowany od lat – ale przepływy pracy agentówwzmacniaćTo:

Agenci pewnie podsumowują dokumentację („Po prostu uruchom to, aby zainstalować zależność”).
Agenci redukują tarcie, generując polecenia za Ciebie.
W niektórych konfiguracjach agenci mogą sami uruchamiać polecenia powłoki.

W tym momencie „dokumentacja” staje się ścieżką zdalnego wykonywania.

Co według raportów wydarzyło się w ekosystemie OpenClaw

W wielu artykułach opisano kampanię, w ramach której atakujący umieścili dużą liczbę złośliwych umiejętności w sklepie ClawHub i wykorzystali „kroki konfiguracji” do dostarczenia złośliwego oprogramowania kradnącego informacje.

Według Jasona Mellera z 1Password, pobierana z góry umiejętność zawierała instrukcje, które kierowały użytkowników do etapowego łańcucha dostaw: link do „zależności”, zaciemnione polecenie, a następnie ładunek, który ostatecznie instalował program kradnący informacje, mający na celu wykradzenie z maszyny cennych sekretów.

CyberInsider, powołując się na badania firmy Koi Security, opisuje podobny schemat na dużą skalę: umiejętności zainfekowane trojanami z „wymaganiami wstępnymi” instruują użytkowników, aby uruchamiali zaciemnione skrypty powłoki lub pobierali chronione hasłem archiwa, co prowadzi do powstania ładunków takich jak Atomic macOS Stealer (AMOS) — rodzina złośliwego oprogramowania powiązana z kradzieżą danych uwierzytelniających i atakami na portfele.

Czy dokładne liczby różnią się w zależności od raportów,kształtjest spójny:

Umiejętności wykorzystywane jako dystrybucja
Instrukcje „wymagania wstępne” używane jako środek perswazji
Złodzieje informacji wykorzystywani jako cel końcowy

Ten cel końcowy ma znaczenie: współcześni złodzieje informacji nie szukają jednego hasła — szukajątokeny sesji,profile przeglądarek,Klucze SSH,poświadczenia chmurowe, Iportfele kryptowalutoweInnymi słowy: coś, co zmienia jeden uszkodzony laptop w większe zagrożenie.

Dlaczego agenci sprawiają, że jest to gorsze niż zwykły oszukańczy link do pobrania

Jeśli kiedykolwiek pomyślałeś: „Ja bym się na to nie nabrał”, to prawdopodobnie masz rację, gdy jesteś spokojny i sceptyczny.

Jednak przepływy pracy agentów zmieniają kontekst:

Prędkość staje się wartością domyślną.Korzystasz z usług agenta, ponieważ chcesz szybko działać.
Obciążenie poznawcze jest przekazywane na zewnątrz.Agent zamienia chaotyczną stronę z instrukcjami w pewną listę kontrolną.
Autorytet jest pożyczony.Jeśli agent powie „To jest standardowa zależność”, czuje się zweryfikowany.

Innymi słowy: agent nie musi być „oszukiwany” w sensie technicznym. Wystarczy, że będzie obecny, gdy namawia się Cię do ryzykownego działania. To wystarczy, aby dać Ci napiwek.

A jeśli tyDojeśli pozwolisz agentowi na bezpośrednie uruchamianie poleceń, złośliwa umiejętność może stać się „kompromitem bez użycia rąk”.

„A co z MCP? Czy to nie ma na celu zwiększenia bezpieczeństwa narzędzi?”

Protokół Model Context Protocol (MCP) to prawdziwy krok naprzód w zakresie strukturyzacji dostępu do narzędzi. Standaryzuje sposób, w jaki hosty udostępniają narzędzia, zasoby i monity, a także kładzie nacisk na zgodę użytkownika i kontrolę.

Jednakże MCP nie sprawia, że „umiejętności” stają się magicznie bezpieczne.

Dlaczego?

Umiejętności mogą instruować użytkowników, jak uruchamiać polecenia poza granicami MCP.
Umiejętności mogą łączyć się ze skryptami lub plikami do pobrania, które nigdy nie mają nic wspólnego z MCP.
Nie każda umiejętność wykorzystuje MCP.

MCP może pomóc, gdy host wdroży silne uprawnienia, jasne monity o zgodę, logowanie i bezpieczne ustawienia domyślne. Jednak mechanizm dystrybucji oparty na Markdownie nadal może obejść te kwestie, stosując zwykłą, starą socjotechnikę.

To jest wersja agenta bezpieczeństwa łańcucha dostaw (i już o tym mówiliśmy)

Świat oprogramowania przekonał się na własnej skórze, że:

Popularne rejestry są padają ofiarą nadużyć.
Typosquatting działa.
Typowym punktem wejścia jest polecenie „Zainstaluj tego pomocnika”.
Najcenniejsze ofiary to te, które coś budują.

Rynki umiejętności łączą te lekcje z dwoma nowymi akceleratorami:

„Pakiet” może zawierać instrukcje, nie kod — a instrukcje są trudniejsze do niezawodnego skanowania.
Środowisko wykonawcze jest bogate w poświadczeniaz założenia: przeglądarki logujące się do wszystkiego, terminale z kluczami SSH, interfejsy CLI w chmurze, menedżery haseł i pliki lokalne.

W pewnym sensie rynek umiejętności jest sklepem z aplikacjami, w którym najlepsze aplikacje mogą powiedzieć: „Skopiuj i wklej to do Terminala, aby włączyć tę funkcję”. Nie da się tego rozwiązać jednym polem wyboru.

Praktyczne środki obrony (dla zwykłych użytkowników)

Jeśli eksperymentujesz z agentem mającym dostęp lokalny, musisz traktować go jak nowego użytkownika systemu operacyjnego z supermocami.

Oto pragmatyczne założenie:

Użyj dedykowanej maszyny lub maszyny wirtualnejDo eksperymentów z agentami. Brak zapisanych loginów firmowych. Brak produkcyjnych kluczy SSH. Brak sesji administratora w chmurze.
W przypadku instalatorów jednowierszowych domyślnie wybierz opcję „nie”.Zwłaszcza wszystko, co przekazuje curl do sh, używa base64 lub prosi o usunięcie zabezpieczeń systemu operacyjnego.
Nie ufaj „najczęściej pobieranym”.Popularność to sposób na wzrost, a nie model bezpieczeństwa.
Jeśli już coś robiłeś, zmień najpierw to, co jest ważne.Sesje przeglądarki, klucze SSH, tokeny API, klucze chmury.
Preferuj umiejętności, które są kontrolowane pod kątem źródła i podlegają przeglądowi(Repozytoria Git z historią, znanymi opiekunami i jasnym pochodzeniem).

Co powinny robić rynki (jeśli chcą przetrwać)

Jeśli prowadzisz publiczny rejestr umiejętności, narażasz się na atak.

Kilka praktycznych kroków, które znacząco podnoszą koszty ataku:

Reputacja i pochodzenie wydawcy(zweryfikowane tożsamości, historia, podpisywanie).
Automatyczne skanowaniepod kątem podejrzanych wzorców (zakodowane ładunki, zaciemnione komunikaty, usuwanie z kwarantanny, archiwa chronione hasłem, „instalacja zależności rdzenia” z linkami zewnętrznymi).
Ostrzeżenie o tarciu interfejsu użytkownikadla linków zewnętrznych i poleceń powłoki.
Szybkie rozwiązywanie problemów i widoczna reakcja na incydenty(traktuj go jak sklep z aplikacjami, nie pastebin).

Żadna z tych metod nie jest idealna, ale pozwalają zyskać na czasie, a czas jest potrzebny obrońcom.

Jakie założenia powinni przyjąć twórcy agentów w przyszłości

Jeśli tworzysz samo środowisko wykonawcze agenta, załóż, że umiejętności będą wykorzystane jako broń.

To znaczy:

Domyślnie odmów wykonania polecenia(wymaga zgody na każde polecenie, a nie jednorazowych przełączeń).
Mocne piaskowaniedo dostępu do systemu plików i przeglądarki.
Zakresowe uprawnienia ograniczone czasowoz możliwością łatwego odwołania.
Dzienniki audytowalnetego, co agent przeczytał i co wykonał.

Stan końcowy to ten sam kierunek, w którym podążała chmura lata temu: tożsamość, polityka, najmniejsze uprawnienia i ślady audytu — tyle że sprowadzony do poziomu stacji roboczej.

Podsumowanie

Historia umiejętności OpenClaw to nie tylko „kilka osób przesłało złośliwe oprogramowanie”. To zapowiedź kolejnego pola bitwy w łańcuchu dostaw:umiejętności jako dystrybucja, markdown jako ścieżka realizacji i agenci jako akcelerator.

Jeśli agenci mają funkcjonować na naszych prywatnych i służbowych komputerach, ekosystem potrzebuje warstwy zaufania, która będzie traktować rynki umiejętności jak sklepy z aplikacjami, dokumentację jak kod i „pomocną automatyzację” jako uprzywilejowaną operację, a nie jako zwykłą wygodę.

Źródła

Document Title
When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call	Kiedy „umiejętności” stają się łańcuchem dostaw: sygnał ostrzegawczy przed złośliwym oprogramowaniem na rynku OpenClaw

Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.	Złośliwe „umiejętności” agentów AI zamieniają dokumentację w kanał dystrybucji dla złodziei informacji. Oto, jak to działa — i jak się przed tym bronić.
Title Attribute
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin	Zobacz wszystkie posty administratora
Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected	Urządzenia Matter-over-Thread z oferty Ikei napotykają na trudności na najtrudniejszym etapie: nawiązaniu połączenia
Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means	Czy chatboty AI powinny mieć reklamy? Co tak naprawdę oznacza zasada „braku reklam” firmy Anthropic?
Page Content
When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call	Kiedy „umiejętności” stają się łańcuchem dostaw: sygnał ostrzegawczy przed złośliwym oprogramowaniem na rynku OpenClaw
Nature
Climate
/
General
/ By
Admin
In the last couple of years, “AI agent” stopped being a marketing phrase and started being a real workflow: an assistant that can read your files, open your browser, run commands, and stitch together actions across services. That’s the promise.	W ciągu ostatnich kilku lat „agent AI” przestał być tylko sloganem marketingowym, a stał się prawdziwym procesem pracy: asystentem, który potrafi odczytywać pliki, otwierać przeglądarkę, uruchamiać polecenia i łączyć działania w różnych usługach. Taka jest obietnica.
The problem is that
power has a distribution channel
. And that channel is increasingly called a	. A ten kanał coraz częściej nazywany jest
skill
: a small, shareable “how-to” package that teaches an agent (and often the user) how to accomplish a task. It’s the app store moment for agents — except the “apps” are frequently	: mały, udostępniany pakiet „poradnika”, który uczy agenta (a często i użytkownika), jak wykonać zadanie. To moment na sklep z aplikacjami dla agentów — z tą różnicą, że „aplikacje” często
markdown instructions	instrukcje dotyczące markdownu
.
This week’s reports about malicious OpenClaw skills are an early, very loud signal that we’re about to repeat open-source supply‑chain history — but with a twist: instead of poisoning a compiled dependency, attackers can poison	Doniesienia z tego tygodnia o złośliwych umiejętnościach OpenClaw stanowią wczesny, bardzo głośny sygnał, że wkrótce powtórzymy historię łańcucha dostaw oprogramowania typu open source — ale z pewnym urozmaiceniem: zamiast zatruwać skompilowaną zależność, atakujący mogą zatruć
documentation
and use the agent’s helpfulness as the lubricant.	i wykorzystaj pomocność agenta jako środek smarujący.
Below is a practical explainer of what happened, why it works so well, and what you can do about it.	Poniżej znajdziesz praktyczne wyjaśnienie tego, co się stało, dlaczego to działa tak dobrze i co możesz z tym zrobić.
What OpenClaw skills are (and why they matter)	Czym są umiejętności OpenClaw (i dlaczego są ważne)
OpenClaw popularized a simple extension model: drop in a “skill” that explains how to do a narrow task — post on social media, clean folders, summarize a report, automate a workflow — and the agent gains a new capability.	OpenClaw spopularyzował prosty model rozszerzenia: wystarczy dodać „umiejętność” wyjaśniającą, jak wykonać wąskie zadanie — opublikować wpis w mediach społecznościowych, wyczyścić foldery, podsumować raport, zautomatyzować przepływ pracy — a agent zyskuje nową możliwość.
In the broader “agent skills” ecosystem, a skill is typically a folder built around a	W szerszym ekosystemie „umiejętności agentów” umiejętność to zazwyczaj folder zbudowany wokół
SKILL.md
file. That file contains:
Metadata
(name / description)
Instructions
(the actual steps)
Optionally:
scripts
and other bundled assets
That sounds benign because it looks like documentation. But documentation is exactly what people follow quickly, especially when it looks like a prerequisite list or installation guide.	Brzmi to niewinnie, bo wygląda jak dokumentacja. Ale dokumentacja to właśnie to, czego ludzie szybko przestrzegają, zwłaszcza gdy wygląda jak lista wymagań wstępnych lub instrukcja instalacji.
Skills also have a “winner takes all” dynamic: people gravitate to what’s popular, what’s new, and what looks like it will save time. That makes a public skills marketplace a high-value target: compromise a few top downloads, and you can reach a concentrated set of power users — developers, operators, and anyone who has valuable credentials sitting on their machine.	Umiejętności działają również na zasadzie „zwycięzca bierze wszystko”: ludzie lgną do tego, co jest popularne, nowe i co wydaje się oszczędzać czas. To sprawia, że publiczny rynek umiejętności jest cennym celem: wystarczy kilka najpopularniejszych pobrań, aby dotrzeć do skoncentrowanej grupy zaawansowanych użytkowników — programistów, operatorów i każdego, kto ma wartościowe uprawnienia na swoim komputerze.
The core trick: markdown isn’t “content” anymore — it’s an installer	Kluczowa sztuczka: Markdown nie jest już „treścią” — jest instalatorem
Traditional software supply chain attacks often require technical investment: dependency confusion, typosquatting, malicious post-install scripts, maintaining control over a package name, and dodging scanners.	Tradycyjne ataki na łańcuch dostaw oprogramowania często wymagają inwestycji technicznych: niejasności co do zależności, typosquattingu, złośliwych skryptów po instalacji, utrzymywania kontroli nad nazwą pakietu i omijania skanerów.
A skills marketplace lowers the bar.	Rynek umiejętności obniża poprzeczkę.
A malicious skill can do something as simple as this:	Złośliwa umiejętność może zrobić coś tak prostego jak:
Present a plausible tool (“Twitter skill,” “crypto tracker,” “automation helper”).	Zaprezentuj wiarygodne narzędzie („umiejętność korzystania z Twittera”, „śledzenie kryptowalut”, „pomoc w automatyzacji”).
Add a “Prerequisites” section with a “required dependency.”	Dodaj sekcję „Wymagania wstępne” zawierającą „wymaganą zależność”.
Provide a convenient link and a one‑liner command.	Udostępnij wygodny link i polecenie składające się z jednego wiersza.
Rely on the human (or the agent) to execute it.	Zaufaj człowiekowi (lub agentowi), który to wykona.
That’s not a new social engineering idea — it’s been used for years — but agent workflows	To nie jest nowy pomysł z zakresu inżynierii społecznej – jest on stosowany od lat – ale przepływy pracy agentów
amplify
it:
Agents summarize docs confidently (“Just run this to install the dependency”).	Agenci pewnie podsumowują dokumentację („Po prostu uruchom to, aby zainstalować zależność”).
Agents reduce friction by generating the command for you.	Agenci redukują tarcie, generując polecenia za Ciebie.
In some setups, agents can run shell commands themselves.	W niektórych konfiguracjach agenci mogą sami uruchamiać polecenia powłoki.
At that point, “documentation” becomes a remote execution path.	W tym momencie „dokumentacja” staje się ścieżką zdalnego wykonywania.
What the reports say happened in the OpenClaw ecosystem	Co według raportów wydarzyło się w ekosystemie OpenClaw
Multiple write-ups describe a campaign in which attackers uploaded large numbers of malicious skills to the ClawHub marketplace and used “setup steps” to deliver infostealing malware.	W wielu artykułach opisano kampanię, w ramach której atakujący umieścili dużą liczbę złośliwych umiejętności w sklepie ClawHub i wykorzystali „kroki konfiguracji” do dostarczenia złośliwego oprogramowania kradnącego informacje.
According to 1Password’s Jason Meller, a top-downloaded skill included instructions that funneled users into a staged delivery chain: a link to a “dependency,” an obfuscated command, and then a payload that ultimately installed an infostealer designed to raid the machine for valuable secrets.	Według Jasona Mellera z 1Password, pobierana z góry umiejętność zawierała instrukcje, które kierowały użytkowników do etapowego łańcucha dostaw: link do „zależności”, zaciemnione polecenie, a następnie ładunek, który ostatecznie instalował program kradnący informacje, mający na celu wykradzenie z maszyny cennych sekretów.
CyberInsider, citing research from Koi Security, describes a similar pattern at scale: trojanized skills with “Prerequisites” instructing users to run obfuscated shell scripts or download password-protected archives, culminating in payloads such as Atomic macOS Stealer (AMOS) — a malware family associated with credential theft and wallet targeting.	CyberInsider, powołując się na badania firmy Koi Security, opisuje podobny schemat na dużą skalę: umiejętności zainfekowane trojanami z „wymaganiami wstępnymi” instruują użytkowników, aby uruchamiali zaciemnione skrypty powłoki lub pobierali chronione hasłem archiwa, co prowadzi do powstania ładunków takich jak Atomic macOS Stealer (AMOS) — rodzina złośliwego oprogramowania powiązana z kradzieżą danych uwierzytelniających i atakami na portfele.
Whether the exact counts differ between reports, the	Czy dokładne liczby różnią się w zależności od raportów,
shape
is consistent:
Skills used as distribution	Umiejętności wykorzystywane jako dystrybucja
“Prerequisite” instructions used as persuasion	Instrukcje „wymagania wstępne” używane jako środek perswazji
Infostealers used as the end goal	Złodzieje informacji wykorzystywani jako cel końcowy
That end goal matters: modern infostealers aren’t after one password — they’re after	Ten cel końcowy ma znaczenie: współcześni złodzieje informacji nie szukają jednego hasła — szukają
session tokens
,
browser profiles
SSH keys
cloud credentials
, and
crypto wallets
. In other words: the stuff that turns one compromised laptop into a broader compromise.	Innymi słowy: coś, co zmienia jeden uszkodzony laptop w większe zagrożenie.
Why agents make this worse than a normal scammy download link	Dlaczego agenci sprawiają, że jest to gorsze niż zwykły oszukańczy link do pobrania
If you’ve ever thought, “I wouldn’t fall for that,” you’re probably right when you’re calm and skeptical.	Jeśli kiedykolwiek pomyślałeś: „Ja bym się na to nie nabrał”, to prawdopodobnie masz rację, gdy jesteś spokojny i sceptyczny.
But agent workflows change the context:	Jednak przepływy pracy agentów zmieniają kontekst:
Speed becomes the default.	Prędkość staje się wartością domyślną.
You’re using an agent because you want to move quickly.	Korzystasz z usług agenta, ponieważ chcesz szybko działać.
Cognitive load is outsourced.	Obciążenie poznawcze jest przekazywane na zewnątrz.
The agent turns a messy instruction page into a confident checklist.	Agent zamienia chaotyczną stronę z instrukcjami w pewną listę kontrolną.
Authority is borrowed.
If the agent says “This is the standard dependency,” it feels vetted.	Jeśli agent powie „To jest standardowa zależność”, czuje się zweryfikowany.
In other words: the agent doesn’t need to be “tricked” in a technical sense. It just needs to be present while you’re being nudged to do a risky thing. That’s enough to tip behavior.	Innymi słowy: agent nie musi być „oszukiwany” w sensie technicznym. Wystarczy, że będzie obecny, gdy namawia się Cię do ryzykownego działania. To wystarczy, aby dać Ci napiwek.
And if you
do
allow the agent to run commands directly, a malicious skill can become “hands-free compromise.”	jeśli pozwolisz agentowi na bezpośrednie uruchamianie poleceń, złośliwa umiejętność może stać się „kompromitem bez użycia rąk”.
‘But what about MCP? Isn’t that supposed to make tools safer?’	„A co z MCP? Czy to nie ma na celu zwiększenia bezpieczeństwa narzędzi?”
Model Context Protocol (MCP) is a real step forward for structuring tool access. It standardizes how hosts expose tools, resources, and prompts, and it emphasizes user consent and control.	Protokół Model Context Protocol (MCP) to prawdziwy krok naprzód w zakresie strukturyzacji dostępu do narzędzi. Standaryzuje sposób, w jaki hosty udostępniają narzędzia, zasoby i monity, a także kładzie nacisk na zgodę użytkownika i kontrolę.
However, MCP doesn’t magically make “skills” safe.	Jednakże MCP nie sprawia, że „umiejętności” stają się magicznie bezpieczne.
Why?
Skills can instruct users to run commands outside the MCP boundary.	Umiejętności mogą instruować użytkowników, jak uruchamiać polecenia poza granicami MCP.
Skills can link to scripts or downloads that never touch MCP.	Umiejętności mogą łączyć się ze skryptami lub plikami do pobrania, które nigdy nie mają nic wspólnego z MCP.
Not every skill uses MCP at all.	Nie każda umiejętność wykorzystuje MCP.
MCP can help when the host implements strong permissioning, clear consent prompts, logging, and safe defaults. But a markdown-based distribution mechanism can still route around it through plain old social engineering.	MCP może pomóc, gdy host wdroży silne uprawnienia, jasne monity o zgodę, logowanie i bezpieczne ustawienia domyślne. Jednak mechanizm dystrybucji oparty na Markdownie nadal może obejść te kwestie, stosując zwykłą, starą socjotechnikę.
This is the agent version of supply-chain security (and we’ve been here before)	To jest wersja agenta bezpieczeństwa łańcucha dostaw (i już o tym mówiliśmy)
The software world learned the hard way that:	Świat oprogramowania przekonał się na własnej skórze, że:
Popular registries get abused.	Popularne rejestry są padają ofiarą nadużyć.
Typosquatting works.
“Install this helper” is a common entry point.	Typowym punktem wejścia jest polecenie „Zainstaluj tego pomocnika”.
The most valuable victims are the ones building things.	Najcenniejsze ofiary to te, które coś budują.
Skills marketplaces combine those lessons with two new accelerants:	Rynki umiejętności łączą te lekcje z dwoma nowymi akceleratorami:
The “package” can be instructions	„Pakiet” może zawierać instrukcje
, not code — and instructions are harder to scan reliably.	, nie kod — a instrukcje są trudniejsze do niezawodnego skanowania.
The runtime environment is credential-rich	Środowisko wykonawcze jest bogate w poświadczenia
by design: browsers logged into everything, terminals with SSH keys, cloud CLIs, password managers, and local files.	z założenia: przeglądarki logujące się do wszystkiego, terminale z kluczami SSH, interfejsy CLI w chmurze, menedżery haseł i pliki lokalne.
In a sense, a skills marketplace is an app store where the top apps are allowed to say “Copy-paste this into Terminal to enable the feature.” That’s not a solvable problem with one checkbox.	W pewnym sensie rynek umiejętności jest sklepem z aplikacjami, w którym najlepsze aplikacje mogą powiedzieć: „Skopiuj i wklej to do Terminala, aby włączyć tę funkcję”. Nie da się tego rozwiązać jednym polem wyboru.
Practical defenses (for normal users)	Praktyczne środki obrony (dla zwykłych użytkowników)
If you’re experimenting with an agent that has local access, you need to treat it like a new operating system user with superpowers.	Jeśli eksperymentujesz z agentem mającym dostęp lokalny, musisz traktować go jak nowego użytkownika systemu operacyjnego z supermocami.
Here’s the pragmatic baseline:
Use a dedicated machine or VM	Użyj dedykowanej maszyny lub maszyny wirtualnej
for agent experiments. No saved corporate logins. No production SSH keys. No cloud admin sessions.	Do eksperymentów z agentami. Brak zapisanych loginów firmowych. Brak produkcyjnych kluczy SSH. Brak sesji administratora w chmurze.
Default to “no” on one-liner installers.	W przypadku instalatorów jednowierszowych domyślnie wybierz opcję „nie”.
Especially anything that pipes curl into sh, uses base64, or asks you to remove OS protections.	Zwłaszcza wszystko, co przekazuje curl do sh, używa base64 lub prosi o usunięcie zabezpieczeń systemu operacyjnego.
Don’t trust “top downloaded.”	Nie ufaj „najczęściej pobieranym”.
Popularity is a growth hack, not a security model.	Popularność to sposób na wzrost, a nie model bezpieczeństwa.
Rotate what matters first if you already ran something.	Jeśli już coś robiłeś, zmień najpierw to, co jest ważne.
Browser sessions, SSH keys, API tokens, cloud keys.	Sesje przeglądarki, klucze SSH, tokeny API, klucze chmury.
Prefer skills that are source-controlled and reviewable	Preferuj umiejętności, które są kontrolowane pod kątem źródła i podlegają przeglądowi
(Git repos with history, known maintainers, clear provenance).	(Repozytoria Git z historią, znanymi opiekunami i jasnym pochodzeniem).
What marketplaces should do (if they want to survive)	Co powinny robić rynki (jeśli chcą przetrwać)
If you run a public skills registry, you are running an attack surface.	Jeśli prowadzisz publiczny rejestr umiejętności, narażasz się na atak.
A few practical steps that meaningfully raise attacker cost:	Kilka praktycznych kroków, które znacząco podnoszą koszty ataku:
Publisher reputation and provenance	Reputacja i pochodzenie wydawcy
(verified identities, history, signing).	(zweryfikowane tożsamości, historia, podpisywanie).
Automated scanning
for suspicious patterns (encoded payloads, obfuscated one-liners, quarantine removal, password-protected archives, “install core dependency” with offsite links).	pod kątem podejrzanych wzorców (zakodowane ładunki, zaciemnione komunikaty, usuwanie z kwarantanny, archiwa chronione hasłem, „instalacja zależności rdzenia” z linkami zewnętrznymi).
Warning UI friction	Ostrzeżenie o tarciu interfejsu użytkownika
for external links and shell commands.	dla linków zewnętrznych i poleceń powłoki.
Fast takedown and visible incident response	Szybkie rozwiązywanie problemów i widoczna reakcja na incydenty
(treat it like an app store, not a pastebin).	(traktuj go jak sklep z aplikacjami, nie pastebin).
None of these are perfect, but they buy time — and time is what defenders need.	Żadna z tych metod nie jest idealna, ale pozwalają zyskać na czasie, a czas jest potrzebny obrońcom.
What agent builders should assume going forward	Jakie założenia powinni przyjąć twórcy agentów w przyszłości
If you’re building the agent runtime itself, assume skills will be weaponized.	Jeśli tworzysz samo środowisko wykonawcze agenta, załóż, że umiejętności będą wykorzystane jako broń.
That means:
Default-deny command execution	Domyślnie odmów wykonania polecenia
(require per-command consent, not once-and-forever toggles).	(wymaga zgody na każde polecenie, a nie jednorazowych przełączeń).
Strong sandboxing
for file system and browser access.	do dostępu do systemu plików i przeglądarki.
Scoped, time-bound permissions	Zakresowe uprawnienia ograniczone czasowo
with easy revocation.	z możliwością łatwego odwołania.
Auditable logs
of what the agent read and what it executed.	tego, co agent przeczytał i co wykonał.
The end state is the same direction the cloud took years ago: identity, policy, least privilege, and audit trails — but brought down to the workstation level.	Stan końcowy to ten sam kierunek, w którym podążała chmura lata temu: tożsamość, polityka, najmniejsze uprawnienia i ślady audytu — tyle że sprowadzony do poziomu stacji roboczej.
Bottom line
The OpenClaw skills story isn’t just “some people uploaded malware.” It’s a preview of the next supply-chain battlefield:	Historia umiejętności OpenClaw to nie tylko „kilka osób przesłało złośliwe oprogramowanie”. To zapowiedź kolejnego pola bitwy w łańcuchu dostaw:
skills as distribution, markdown as an execution path, and agents as the accelerator.	umiejętności jako dystrybucja, markdown jako ścieżka realizacji i agenci jako akcelerator.
If agents are going to live on our personal and work machines, the ecosystem needs a trust layer that treats skills marketplaces like app stores, treats documentation like code, and treats “helpful automation” as a privileged operation — not a casual convenience.	Jeśli agenci mają funkcjonować na naszych prywatnych i służbowych komputerach, ekosystem potrzebuje warstwy zaufania, która będzie traktować rynki umiejętności jak sklepy z aplikacjami, dokumentację jak kod i „pomocną automatyzację” jako uprzywilejowaną operację, a nie jako zwykłą wygodę.
Sources
https://www.theverge.com/news/874011/openclaw-ai-skill-clawhub-extensions-security-nightmare	https://www.theverge.com/news/874011/openclaw-ai-skill-clawhub-extensions-security-nightmare
https://1password.com/blog/from-magic-to-malware-how-openclaws-agent-skills-become-an-attack-surface	https://1password.com/blog/od-magii-do-malware-jak-umiejętności-agentów-openclaws-stają-się-powierzchnią-ataku
https://cyberinsider.com/341-openclaw-skills-distribute-macos-malware-via-clickfix-instructions/	https://cyberinsider.com/341-openclaw-skills-distribute-macos-malware-via-clickfix-instructions/
https://agentskills.io/what-are-skills	https://agentskills.io/czym-są-umiejętności
https://modelcontextprotocol.io/specification/2025-06-18	https://modelcontextprotocol.io/specification/2025-06-18
←
Previous Post
Next Post
→
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin	Zobacz wszystkie posty administratora
Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected	Urządzenia Matter-over-Thread z oferty Ikei napotykają na trudności na najtrudniejszym etapie: nawiązaniu połączenia
Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means	Czy chatboty AI powinny mieć reklamy? Co tak naprawdę oznacza zasada „braku reklam” firmy Anthropic?
Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.	Złośliwe „umiejętności” agentów AI zamieniają dokumentację w kanał dystrybucji dla złodziei informacji. Oto, jak to działa — i jak się przed tym bronić.

Document Title

When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call

Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.

Title Attribute

oEmbed (JSON)

oEmbed (XML)

JSON

View all posts by Admin

Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected

Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means

Page Content

When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call

Nature

Climate

General

/ By

Admin

In the last couple of years, “AI agent” stopped being a marketing phrase and started being a real workflow: an assistant that can read your files, open your browser, run commands, and stitch together actions across services. That’s the promise.

The problem is that

power has a distribution channel

. And that channel is increasingly called a

skill

: a small, shareable “how-to” package that teaches an agent (and often the user) how to accomplish a task. It’s the app store moment for agents — except the “apps” are frequently

markdown instructions

This week’s reports about malicious OpenClaw skills are an early, very loud signal that we’re about to repeat open-source supply‑chain history — but with a twist: instead of poisoning a compiled dependency, attackers can poison

documentation

and use the agent’s helpfulness as the lubricant.

Below is a practical explainer of what happened, why it works so well, and what you can do about it.

What OpenClaw skills are (and why they matter)

OpenClaw popularized a simple extension model: drop in a “skill” that explains how to do a narrow task — post on social media, clean folders, summarize a report, automate a workflow — and the agent gains a new capability.

In the broader “agent skills” ecosystem, a skill is typically a folder built around a

SKILL.md

file. That file contains:

Metadata

(name / description)

Instructions

(the actual steps)

Optionally:

scripts

and other bundled assets

That sounds benign because it looks like documentation. But documentation is exactly what people follow quickly, especially when it looks like a prerequisite list or installation guide.

Skills also have a “winner takes all” dynamic: people gravitate to what’s popular, what’s new, and what looks like it will save time. That makes a public skills marketplace a high-value target: compromise a few top downloads, and you can reach a concentrated set of power users — developers, operators, and anyone who has valuable credentials sitting on their machine.

The core trick: markdown isn’t “content” anymore — it’s an installer

Traditional software supply chain attacks often require technical investment: dependency confusion, typosquatting, malicious post-install scripts, maintaining control over a package name, and dodging scanners.

A skills marketplace lowers the bar.

A malicious skill can do something as simple as this:

Present a plausible tool (“Twitter skill,” “crypto tracker,” “automation helper”).

Add a “Prerequisites” section with a “required dependency.”

Provide a convenient link and a one‑liner command.

Rely on the human (or the agent) to execute it.

That’s not a new social engineering idea — it’s been used for years — but agent workflows

amplify

it:

Agents summarize docs confidently (“Just run this to install the dependency”).

Agents reduce friction by generating the command for you.

In some setups, agents can run shell commands themselves.

At that point, “documentation” becomes a remote execution path.

What the reports say happened in the OpenClaw ecosystem

Multiple write-ups describe a campaign in which attackers uploaded large numbers of malicious skills to the ClawHub marketplace and used “setup steps” to deliver infostealing malware.

According to 1Password’s Jason Meller, a top-downloaded skill included instructions that funneled users into a staged delivery chain: a link to a “dependency,” an obfuscated command, and then a payload that ultimately installed an infostealer designed to raid the machine for valuable secrets.

CyberInsider, citing research from Koi Security, describes a similar pattern at scale: trojanized skills with “Prerequisites” instructing users to run obfuscated shell scripts or download password-protected archives, culminating in payloads such as Atomic macOS Stealer (AMOS) — a malware family associated with credential theft and wallet targeting.

Whether the exact counts differ between reports, the

shape

is consistent:

Skills used as distribution

“Prerequisite” instructions used as persuasion

Infostealers used as the end goal

That end goal matters: modern infostealers aren’t after one password — they’re after

session tokens

browser profiles

SSH keys

cloud credentials

, and

crypto wallets

. In other words: the stuff that turns one compromised laptop into a broader compromise.

Why agents make this worse than a normal scammy download link

If you’ve ever thought, “I wouldn’t fall for that,” you’re probably right when you’re calm and skeptical.

But agent workflows change the context:

Speed becomes the default.

You’re using an agent because you want to move quickly.

Cognitive load is outsourced.

The agent turns a messy instruction page into a confident checklist.

Authority is borrowed.

If the agent says “This is the standard dependency,” it feels vetted.

In other words: the agent doesn’t need to be “tricked” in a technical sense. It just needs to be present while you’re being nudged to do a risky thing. That’s enough to tip behavior.

And if you

allow the agent to run commands directly, a malicious skill can become “hands-free compromise.”

‘But what about MCP? Isn’t that supposed to make tools safer?’

Model Context Protocol (MCP) is a real step forward for structuring tool access. It standardizes how hosts expose tools, resources, and prompts, and it emphasizes user consent and control.

However, MCP doesn’t magically make “skills” safe.

Why?

Skills can instruct users to run commands outside the MCP boundary.

Skills can link to scripts or downloads that never touch MCP.

Not every skill uses MCP at all.

MCP can help when the host implements strong permissioning, clear consent prompts, logging, and safe defaults. But a markdown-based distribution mechanism can still route around it through plain old social engineering.

This is the agent version of supply-chain security (and we’ve been here before)

The software world learned the hard way that:

Popular registries get abused.

Typosquatting works.

“Install this helper” is a common entry point.

The most valuable victims are the ones building things.

Skills marketplaces combine those lessons with two new accelerants:

The “package” can be instructions

, not code — and instructions are harder to scan reliably.

The runtime environment is credential-rich

by design: browsers logged into everything, terminals with SSH keys, cloud CLIs, password managers, and local files.

In a sense, a skills marketplace is an app store where the top apps are allowed to say “Copy-paste this into Terminal to enable the feature.” That’s not a solvable problem with one checkbox.

Practical defenses (for normal users)

If you’re experimenting with an agent that has local access, you need to treat it like a new operating system user with superpowers.

Here’s the pragmatic baseline:

Use a dedicated machine or VM

for agent experiments. No saved corporate logins. No production SSH keys. No cloud admin sessions.

Default to “no” on one-liner installers.

Especially anything that pipes curl into sh, uses base64, or asks you to remove OS protections.

Don’t trust “top downloaded.”

Popularity is a growth hack, not a security model.

Rotate what matters first if you already ran something.

Browser sessions, SSH keys, API tokens, cloud keys.

Prefer skills that are source-controlled and reviewable

(Git repos with history, known maintainers, clear provenance).

What marketplaces should do (if they want to survive)

If you run a public skills registry, you are running an attack surface.

A few practical steps that meaningfully raise attacker cost:

Publisher reputation and provenance

(verified identities, history, signing).

Automated scanning

for suspicious patterns (encoded payloads, obfuscated one-liners, quarantine removal, password-protected archives, “install core dependency” with offsite links).

Warning UI friction

for external links and shell commands.

Fast takedown and visible incident response

(treat it like an app store, not a pastebin).

None of these are perfect, but they buy time — and time is what defenders need.

What agent builders should assume going forward

If you’re building the agent runtime itself, assume skills will be weaponized.

That means:

Default-deny command execution

(require per-command consent, not once-and-forever toggles).

Strong sandboxing

for file system and browser access.

Scoped, time-bound permissions

with easy revocation.

Auditable logs

of what the agent read and what it executed.

The end state is the same direction the cloud took years ago: identity, policy, least privilege, and audit trails — but brought down to the workstation level.

Bottom line

The OpenClaw skills story isn’t just “some people uploaded malware.” It’s a preview of the next supply-chain battlefield:

skills as distribution, markdown as an execution path, and agents as the accelerator.

If agents are going to live on our personal and work machines, the ecosystem needs a trust layer that treats skills marketplaces like app stores, treats documentation like code, and treats “helpful automation” as a privileged operation — not a casual convenience.

Sources

https://www.theverge.com/news/874011/openclaw-ai-skill-clawhub-extensions-security-nightmare

https://1password.com/blog/from-magic-to-malware-how-openclaws-agent-skills-become-an-attack-surface

https://cyberinsider.com/341-openclaw-skills-distribute-macos-malware-via-clickfix-instructions/

https://agentskills.io/what-are-skills

https://modelcontextprotocol.io/specification/2025-06-18

←

→

oEmbed (JSON)

oEmbed (XML)

JSON

View all posts by Admin

Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected

Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means

Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.

Document Title
Page not found - Florin.blog	Strona nie znaleziona - Florin.blog
Image Alt
Florin.blog
Title Attribute
Florin.blog » Feed
RSD
Skip to content
Placeholder Attribute
Search...
Page Content
Page not found - Florin.blog	Strona nie znaleziona - Florin.blog
Skip to content
Home
Blog
Garden Decor
Indoor
Main Menu
This page doesn't seem to exist.	Wygląda na to, że ta strona nie istnieje.
It looks like the link pointing here was faulty. Maybe try searching?	Wygląda na to, że link prowadzący do tego miejsca był uszkodzony. Może spróbuj poszukać?
Search for:
Search
Quick Links
Outdoors
About
Contact
Explore
Bestsellers
Hot deals
Best of The Year
Featured
Gift Cards
Help
Privacy Policy
Disclaimer
: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.	Jako partner Amazon zarabiamy na kwalifikujących się zakupach — bez żadnych dodatkowych kosztów dla Ciebie.
Florin.blog
Florin.blog » Feed
RSD
Search...

Document Title

Page not found - Florin.blog

Image Alt

Florin.blog

Title Attribute

Florin.blog » Feed

RSD

Placeholder Attribute

Search...

Page Content

Page not found - Florin.blog

Home

Blog

Garden Decor

Indoor

Main Menu

This page doesn't seem to exist.

It looks like the link pointing here was faulty. Maybe try searching?

Search for:

Quick Links

Outdoors

About

Contact

Explore

Bestsellers

Hot deals

Best of The Year

Featured

Gift Cards

Help

Disclaimer

: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.

Florin.blog

Florin.blog » Feed

RSD

Search...