Când „abilitățile” devin lanțul de aprovizionare: semnalul de alarmă privind programele malware de pe piața OpenClaw

/General/ De

În ultimii doi ani, „agent AI” a încetat să mai fie o expresie de marketing și a început să fie un flux de lucru real: un asistent care poate citi fișierele, deschide browserul, executa comenzi și îmbina acțiuni între servicii. Aceasta este promisiunea.

Problema este căputerea are un canal de distribuțieȘi acel canal este numit din ce în ce mai multabilitate: un pachet mic, ușor de partajat, care învață un agent (și adesea utilizatorul) cum să îndeplinească o sarcină. Este momentul magazinului de aplicații pentru agenți - cu excepția faptului că „aplicațiile” sunt adeseainstrucțiuni de reducere.

Rapoartele din această săptămână despre abilitățile OpenClaw rău intenționate sunt un semnal timpuriu, foarte puternic, că suntem pe cale să repetăm ​​istoria lanțului de aprovizionare open-source - dar cu o întorsătură: în loc să otrăvească o dependență compilată, atacatorii pot otrăvi...documentareși folosiți utilitatea agentului ca lubrifiant.

Mai jos este o explicație practică a ceea ce s-a întâmplat, de ce funcționează atât de bine și ce puteți face în această privință.

Ce sunt abilitățile OpenClaw (și de ce contează)

OpenClaw a popularizat un model simplu de extensie: introduceți o „competență” care explică cum să efectuați o sarcină restrânsă - postați pe rețelele sociale, curățați foldere, rezuma un raport, automatizați un flux de lucru - iar agentul câștigă o nouă capacitate.

În ecosistemul mai larg al „abilităților agenților”, o abilitate este de obicei un dosar construit în jurul unuiSKILL.mdfișier. Fișierul respectiv conține:

  • Metadate(nume / descriere)
  • Instrucţiuni(pașii propriu-ziși)
  • Opțional:scripturiși alte active incluse în pachet

Asta pare benign, pentru că pare a fi documentație. Dar documentația este exact ceea ce oamenii urmează rapid, mai ales când arată ca o listă de cerințe preliminare sau un ghid de instalare.

Competențele au și o dinamică de tipul „câștigătorul ia totul”: oamenii gravitează către ceea ce este popular, ceea ce este nou și ceea ce pare să le economisească timp. Acest lucru face ca o piață publică de competențe să fie o țintă valoroasă: compromiteți câteva descărcări de top și puteți ajunge la un grup concentrat de utilizatori avansați - dezvoltatori, operatori și oricine are acreditări valoroase pe propriul computer.

Trucul principal: markdown-ul nu mai este „conținut” - este un program de instalare

Atacurile tradiționale asupra lanțului de aprovizionare software necesită adesea investiții tehnice: confuzie privind dependențe, typosquatting, scripturi post-instalare rău intenționate, menținerea controlului asupra numelui unui pachet și evitând scanerele.

O piață a competențelor coboară ștacheta.

O abilitate rău intenționată poate face ceva atât de simplu:

  1. Prezentați un instrument plauzibil („competență Twitter”, „tracker cripto”, „ajutor de automatizare”).
  2. Adăugați o secțiune „Cerințe preliminare” cu o „dependență obligatorie”.
  3. Oferă un link convenabil și o comandă scurtă.
  4. Bazează-te pe om (sau agent) pentru a o executa.

Aceasta nu este o idee nouă de inginerie socială — este folosită de ani de zile — dar fluxurile de lucru ale agențiloramplificaaceasta:

  • Agenții rezumă documentele cu încredere („Rulați doar asta pentru a instala dependența”).
  • Agenții reduc fricțiunea generând comanda pentru tine.
  • În unele configurații, agenții pot rula singuri comenzi shell.

În acel moment, „documentația” devine o cale de execuție la distanță.

Ceea ce spun rapoartele s-a întâmplat în ecosistemul OpenClaw

Mai multe articole descriu o campanie în care atacatorii au încărcat un număr mare de abilități rău intenționate pe piața ClawHub și au folosit „pași de configurare” pentru a livra programe malware care fură informații.

Potrivit lui Jason Meller de la 1Password, o abilitate descărcată frecvent includea instrucțiuni care direcționa utilizatorii către un lanț de livrare etapizat: o legătură către o „dependență”, o comandă ofuscată și apoi o sarcină utilă care instala în cele din urmă un infostealer conceput pentru a fura secrete valoroase în mașină.

CyberInsider, citând un studiu realizat de Koi Security, descrie un model similar la scară largă: abilități troiene cu „cerințe preliminare” care instruiesc utilizatorii să ruleze scripturi shell ofuscate sau să descarce arhive protejate prin parolă, culminând cu sarcini utile precum Atomic macOS Stealer (AMOS) - o familie de programe malware asociate cu furtul de credențiale și direcționarea portofelelor.

Indiferent dacă numărul exact diferă între rapoarte,formăeste consistent:

  • Abilități utilizate ca distribuție
  • Instrucțiuni „prealabile” folosite ca metodă de persuasiune
  • Informații furate folosite ca scop final

Scopul final contează: hoții de informații moderni nu urmăresc o singură parolă - cijetoane de sesiune,profiluri de browser,Chei SSH,acreditări în cloudșiportofele criptoCu alte cuvinte: lucrurile care transformă un laptop compromis într-un compromis mai amplu.

Dacă te-ai gândit vreodată „Nu aș cădea în plasa asta”, probabil ai dreptate atunci când ești calm și sceptic.

Însă fluxurile de lucru ale agenților schimbă contextul:

  • Viteza devine implicită.Folosești un agent pentru că vrei să te miști repede.
  • Încărcarea cognitivă este externalizată.Agentul transformă o pagină cu instrucțiuni dezordonată într-o listă de verificare sigură.
  • Autoritatea este împrumutată.Dacă agentul spune „Aceasta este dependența standard”, aceasta pare verificată.

Cu alte cuvinte: agentul nu trebuie să fie „păcălit” în sens tehnic. Trebuie doar să fie prezent în timp ce ești îndemnat să faci un lucru riscant. Asta e suficient pentru a schimba comportamentul.

Și dacă tudoDacă permiteți agentului să execute comenzi direct, o abilitate rău intenționată poate deveni „compromis hands-free”.

„Dar cum rămâne cu MCP? Nu ar trebui să facă uneltele mai sigure?”

Protocolul Model Context (MCP) este un pas real înainte pentru structurarea accesului la instrumente. Acesta standardizează modul în care gazdele expun instrumentele, resursele și solicitările și pune accentul pe consimțământul și controlul utilizatorilor.

Totuși, MCP nu face ca „abilitățile” să fie sigure în mod magic.

De ce?

  • Abilitățile pot instrui utilizatorii să execute comenzi în afara limitei MCP.
  • Abilitățile pot fi legate de scripturi sau descărcări care nu ating niciodată MCP.
  • Nu toate abilitățile folosesc MCP deloc.

MCP poate fi de ajutor atunci când gazda implementează permisiuni puternice, solicitări clare de consimțământ, înregistrare în jurnal și setări implicite sigure. Însă un mecanism de distribuție bazat pe markdown poate totuși să îl ocolească prin inginerie socială simplă.

Aceasta este versiunea agentului pentru securitatea lanțului de aprovizionare (și am mai fost aici înainte)

Lumea software-ului a învățat pe calea cea grea că:

  • Registrele populare sunt utilizate în mod abuziv.
  • Typosquatting-ul funcționează.
  • „Instalați acest ajutor” este un punct de intrare comun.
  • Cele mai valoroase victime sunt cele care construiesc lucruri.

Piețele de competențe combină aceste lecții cu doi acceleratori noi:

  1. „Pachetul” poate fi format din instrucțiuni, nu cod — iar instrucțiunile sunt mai greu de scanat în mod fiabil.
  2. Mediul de execuție este bogat în acredităriprin design: browsere conectate la toate, terminale cu chei SSH, interfețe CLI în cloud, manageri de parole și fișiere locale.

Într-un fel, o piață de competențe este un magazin de aplicații unde aplicațiile de top au voie să spună „Copiați-lipiți acest lucru în Terminal pentru a activa funcția”. Aceasta nu este o problemă rezolvabilă cu o singură casetă de selectare.

Apărări practice (pentru utilizatori obișnuiți)

Dacă experimentați cu un agent care are acces local, trebuie să îl tratați ca pe un nou utilizator de sistem de operare cu superputeri.

Iată principiul pragmatic de bază:

  1. Folosește o mașină sau o mașină virtuală dedicatăpentru experimente cu agenți. Fără date de autentificare corporative salvate. Fără chei SSH de producție. Fără sesiuni de administrare în cloud.
  2. Implicit, valoarea este „nu” pentru instalatoarele cu o singură linie.Mai ales orice se conectează prin pipe-uri la sh, folosește base64 sau îți cere să elimini protecțiile sistemului de operare.
  3. Nu te baza pe „cel mai descărcat”.Popularitatea este un truc pentru creștere, nu un model de securitate.
  4. Rotește ce contează mai întâi dacă ai deja derulat ceva.Sesiuni de browser, chei SSH, token-uri API, chei cloud.
  5. Preferați abilități controlate la sursă și revizuibile(Depozite Git cu istoric, administratori cunoscuți, proveniență clară).

Ce ar trebui să facă piețele (dacă vor să supraviețuiască)

Dacă folosești un registru public de competențe, folosești o suprafață de atac.

Câțiva pași practici care cresc semnificativ costurile pentru atacatori:

  • Reputația și proveniența editorului(identități verificate, istoric, semnătură).
  • Scanare automatăpentru tipare suspecte (sarcini utile codificate, texte ofuscate, eliminare din carantină, arhive protejate prin parolă, „dependență de instalare a nucleului” cu linkuri externe).
  • Avertizare fricțiune în interfața cu utilizatorulpentru linkuri externe și comenzi shell.
  • Eliminare rapidă și răspuns vizibil la incidente(tratează-l ca pe un magazin de aplicații, nu ca pe un Pastebin).

Niciuna dintre acestea nu este perfectă, dar câștigă timp — iar timpul este ceea ce au nevoie apărătorii.

Ce ar trebui să presupună constructorii de agenți de acum înainte

Dacă construiești propriu-zisul runtime al agentului, presupune că abilitățile vor fi transformate în arme.

Asta înseamnă:

  • Executarea comenzii de refuz implicit(necesită consimțământ per comandă, nu comutări unice și permanente).
  • Sandboxing puternicpentru accesul la sistemul de fișiere și la browser.
  • Permisiuni limitate în timp și cu scopcu revocare ușoară.
  • Jurnale auditabilea ceea ce a citit agentul și a ceea ce a executat.

Starea finală este aceeași direcție pe care a luat-o cloud-ul cu ani în urmă: identitate, politică, privilegii minime și piste de audit - dar reduse la nivelul stației de lucru.

Concluzie

Povestea abilităților OpenClaw nu este doar despre „unii oameni au încărcat malware”. Este o avanpremieră a următorului câmp de luptă al lanțului de aprovizionare:abilități ca distribuție, markdown ca cale de execuție și agenți ca accelerator.

Dacă agenții vor locui pe mașinile noastre personale și de la locul de muncă, ecosistemul are nevoie de un nivel de încredere care să trateze piețele de competențe precum magazinele de aplicații, să trateze documentația ca pe cod și să trateze „automatizarea utilă” ca pe o operațiune privilegiată - nu ca pe o comoditate întâmplătoare.

Surse

Document Title
When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call
Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.
Title Attribute
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected
Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means
Page Content
When ‘skills’ become the supply chain: the OpenClaw marketplace malware wake‑up call
Nature
Climate
/
General
/ By
Admin
In the last couple of years, “AI agent” stopped being a marketing phrase and started being a real workflow: an assistant that can read your files, open your browser, run commands, and stitch together actions across services. That’s the promise.
The problem is that
power has a distribution channel
. And that channel is increasingly called a
skill
: a small, shareable “how-to” package that teaches an agent (and often the user) how to accomplish a task. It’s the app store moment for agents — except the “apps” are frequently
markdown instructions
.
This week’s reports about malicious OpenClaw skills are an early, very loud signal that we’re about to repeat open-source supply‑chain history — but with a twist: instead of poisoning a compiled dependency, attackers can poison
documentation
and use the agent’s helpfulness as the lubricant.
Below is a practical explainer of what happened, why it works so well, and what you can do about it.
What OpenClaw skills are (and why they matter)
OpenClaw popularized a simple extension model: drop in a “skill” that explains how to do a narrow task — post on social media, clean folders, summarize a report, automate a workflow — and the agent gains a new capability.
In the broader “agent skills” ecosystem, a skill is typically a folder built around a
SKILL.md
file. That file contains:
Metadata
(name / description)
Instructions
(the actual steps)
Optionally:
scripts
and other bundled assets
That sounds benign because it looks like documentation. But documentation is exactly what people follow quickly, especially when it looks like a prerequisite list or installation guide.
Skills also have a “winner takes all” dynamic: people gravitate to what’s popular, what’s new, and what looks like it will save time. That makes a public skills marketplace a high-value target: compromise a few top downloads, and you can reach a concentrated set of power users — developers, operators, and anyone who has valuable credentials sitting on their machine.
The core trick: markdown isn’t “content” anymore — it’s an installer
Traditional software supply chain attacks often require technical investment: dependency confusion, typosquatting, malicious post-install scripts, maintaining control over a package name, and dodging scanners.
A skills marketplace lowers the bar.
A malicious skill can do something as simple as this:
Present a plausible tool (“Twitter skill,” “crypto tracker,” “automation helper”).
Add a “Prerequisites” section with a “required dependency.”
Provide a convenient link and a one‑liner command.
Rely on the human (or the agent) to execute it.
That’s not a new social engineering idea — it’s been used for years — but agent workflows
amplify
it:
Agents summarize docs confidently (“Just run this to install the dependency”).
Agents reduce friction by generating the command for you.
In some setups, agents can run shell commands themselves.
At that point, “documentation” becomes a remote execution path.
What the reports say happened in the OpenClaw ecosystem
Multiple write-ups describe a campaign in which attackers uploaded large numbers of malicious skills to the ClawHub marketplace and used “setup steps” to deliver infostealing malware.
According to 1Password’s Jason Meller, a top-downloaded skill included instructions that funneled users into a staged delivery chain: a link to a “dependency,” an obfuscated command, and then a payload that ultimately installed an infostealer designed to raid the machine for valuable secrets.
CyberInsider, citing research from Koi Security, describes a similar pattern at scale: trojanized skills with “Prerequisites” instructing users to run obfuscated shell scripts or download password-protected archives, culminating in payloads such as Atomic macOS Stealer (AMOS) — a malware family associated with credential theft and wallet targeting.
Whether the exact counts differ between reports, the
shape
is consistent:
Skills used as distribution
“Prerequisite” instructions used as persuasion
Infostealers used as the end goal
That end goal matters: modern infostealers aren’t after one password — they’re after
session tokens
,
browser profiles
SSH keys
cloud credentials
, and
crypto wallets
. In other words: the stuff that turns one compromised laptop into a broader compromise.
Why agents make this worse than a normal scammy download link
If you’ve ever thought, “I wouldn’t fall for that,” you’re probably right when you’re calm and skeptical.
But agent workflows change the context:
Speed becomes the default.
You’re using an agent because you want to move quickly.
Cognitive load is outsourced.
The agent turns a messy instruction page into a confident checklist.
Authority is borrowed.
If the agent says “This is the standard dependency,” it feels vetted.
In other words: the agent doesn’t need to be “tricked” in a technical sense. It just needs to be present while you’re being nudged to do a risky thing. That’s enough to tip behavior.
And if you
do
allow the agent to run commands directly, a malicious skill can become “hands-free compromise.”
‘But what about MCP? Isn’t that supposed to make tools safer?’
Model Context Protocol (MCP) is a real step forward for structuring tool access. It standardizes how hosts expose tools, resources, and prompts, and it emphasizes user consent and control.
However, MCP doesn’t magically make “skills” safe.
Why?
Skills can instruct users to run commands outside the MCP boundary.
Skills can link to scripts or downloads that never touch MCP.
Not every skill uses MCP at all.
MCP can help when the host implements strong permissioning, clear consent prompts, logging, and safe defaults. But a markdown-based distribution mechanism can still route around it through plain old social engineering.
This is the agent version of supply-chain security (and we’ve been here before)
The software world learned the hard way that:
Popular registries get abused.
Typosquatting works.
“Install this helper” is a common entry point.
The most valuable victims are the ones building things.
Skills marketplaces combine those lessons with two new accelerants:
The “package” can be instructions
, not code — and instructions are harder to scan reliably.
The runtime environment is credential-rich
by design: browsers logged into everything, terminals with SSH keys, cloud CLIs, password managers, and local files.
In a sense, a skills marketplace is an app store where the top apps are allowed to say “Copy-paste this into Terminal to enable the feature.” That’s not a solvable problem with one checkbox.
Practical defenses (for normal users)
If you’re experimenting with an agent that has local access, you need to treat it like a new operating system user with superpowers.
Here’s the pragmatic baseline:
Use a dedicated machine or VM
for agent experiments. No saved corporate logins. No production SSH keys. No cloud admin sessions.
Default to “no” on one-liner installers.
Especially anything that pipes curl into sh, uses base64, or asks you to remove OS protections.
Don’t trust “top downloaded.”
Popularity is a growth hack, not a security model.
Rotate what matters first if you already ran something.
Browser sessions, SSH keys, API tokens, cloud keys.
Prefer skills that are source-controlled and reviewable
(Git repos with history, known maintainers, clear provenance).
What marketplaces should do (if they want to survive)
If you run a public skills registry, you are running an attack surface.
A few practical steps that meaningfully raise attacker cost:
Publisher reputation and provenance
(verified identities, history, signing).
Automated scanning
for suspicious patterns (encoded payloads, obfuscated one-liners, quarantine removal, password-protected archives, “install core dependency” with offsite links).
Warning UI friction
for external links and shell commands.
Fast takedown and visible incident response
(treat it like an app store, not a pastebin).
None of these are perfect, but they buy time — and time is what defenders need.
What agent builders should assume going forward
If you’re building the agent runtime itself, assume skills will be weaponized.
That means:
Default-deny command execution
(require per-command consent, not once-and-forever toggles).
Strong sandboxing
for file system and browser access.
Scoped, time-bound permissions
with easy revocation.
Auditable logs
of what the agent read and what it executed.
The end state is the same direction the cloud took years ago: identity, policy, least privilege, and audit trails — but brought down to the workstation level.
Bottom line
The OpenClaw skills story isn’t just “some people uploaded malware.” It’s a preview of the next supply-chain battlefield:
skills as distribution, markdown as an execution path, and agents as the accelerator.
If agents are going to live on our personal and work machines, the ecosystem needs a trust layer that treats skills marketplaces like app stores, treats documentation like code, and treats “helpful automation” as a privileged operation — not a casual convenience.
Sources
https://www.theverge.com/news/874011/openclaw-ai-skill-clawhub-extensions-security-nightmare
https://1password.com/blog/from-magic-to-malware-how-openclaws-agent-skills-become-an-attack-surface
https://cyberinsider.com/341-openclaw-skills-distribute-macos-malware-via-clickfix-instructions/
https://agentskills.io/what-are-skills
https://modelcontextprotocol.io/specification/2025-06-18
←
Previous Post
Next Post
→
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
Ikea’s bargain Matter-over-Thread devices are stumbling at the hardest step: getting connected
Should AI chatbots have ads? What Anthropic’s ‘no ads’ stance really means
Malicious AI-agent ‘skills’ are turning documentation into a distribution channel for infostealers. Here’s how it works — and how to defend against it.
Document Title
Page not found - Florin.blog
Image Alt
Florin.blog
Title Attribute
Florin.blog » Feed
RSD
Skip to content
Placeholder Attribute
Search...
Page Content
Page not found - Florin.blog
Skip to content
Home
Blog
Garden Decor
Indoor
Main Menu
This page doesn't seem to exist.
It looks like the link pointing here was faulty. Maybe try searching?
Search for:
Search
Quick Links
Outdoors
About
Contact
Explore
Bestsellers
Hot deals
Best of The Year
Featured
Gift Cards
Help
Privacy Policy
Disclaimer
: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.
Florin.blog
Florin.blog » Feed
RSD
Search...
o Română