OpenClaw: Безопасность, риски и чек‑лист для CIO в России
Содержание статьи
OpenClaw давно перестал быть «игрушкой для разработчиков». В связке с локальными LLM и доступом к вашим CRM, файловым хранилищам и серверам он превращается в настоящий операционный центр, который может выполнять команды, читать документы и ходить в ваши системы так же, как реальные сотрудники.
Уязвимость ClawJacked наглядно показала: если к такому центру можно дотянуться с обычного сайта, речь уже идёт о серьёзном инциденте, а не о забавном баге.
Уязвимость ClawJacked: когда OpenClaw под угрозой
В конце февраля 2026 года исследователи описали уязвимость ClawJacked, которая позволяла злоумышленнику перехватывать управление локальными OpenClaw‑агентами через обычный браузер. Если пользователь держал OpenClaw‑gateway запущенным на своей машине и одновременно открывал вредоносный сайт, этот сайт мог:
Безопасники показали, что злоумышленник получал возможность читать рабочие каталоги агентов, вытаскивать конфиги и токены, запускать инструменты и команды с теми же правами, что и OpenClaw на машине. Иными словами, одно посещение сайта превращалось в входную точку для кражи данных.
Критические возможности OpenClaw в продакшене
OpenClaw-агент — это не «умный Word», а полуавтономный оператор. В продакшене он обладает критическими возможностями:
Работа с файлами
Чтение и запись в рабочий каталог и подключённые сети‑шары.
Shell-команды
Выполнение команд или запуск скриптов от имени системного пользователя.
Внутренние системы
Обращение к HTTP/gRPC-API, базам данных, CI/CD и другим чувствительным системам.
Коммуникации
Отправка писем, сообщений в мессенджеры, создание записей в CRM и тикет‑системах.
Чек‑лист безопасности OpenClaw
10 вопросов перед выводом OpenClaw в продакшен
1.Где физически и логически живёт ваш gateway?
- Привязан ли OpenClaw‑gateway к localhost или строго определённому внутреннему IP, а не к «0.0.0.0»?
- Есть ли на хосте firewall‑правила, запрещающие доступ к порту OpenClaw извне?
- Категорически запрещено держать production‑gateway на ноутбуке, который ходит по внешним сайтам.
2.Как организован доступ к админ‑интерфейсу?
- Доступен ли административный UI только по VPN/через jump‑host или из выделённого админ‑сегмента?
- Используются ли сильные пароли и многофакторная аутентификация?
3.Вы на каком релизе и как обновляетесь?
- Все ли инстансы OpenClaw (включая dev/test) обновлены до версии, закрывающей ClawJacked?
- Существует ли формализованный процесс обновлений (change‑management)?
4.Топология: тест vs продакшен и зоны безопасности
- Есть ли жёсткое разделение: отдельные инстансы для разработки и для продакшена?
- Разнесены ли OpenClaw‑gateway, GPU‑серверы и критичные боевые системы по разным VLAN?
5.Какие права реально есть у агентов?
- Включены ли по умолчанию высокорисковые инструменты — shell, произвольный файловый доступ?
- Есть ли ограничения на то, куда агент может писать/читать на файловой системе?
6.Как отделены сервисы инференса (LLM) от OpenClaw?
- Развёрнуты ли локальные LLM на отдельном сервисе (например, vLLM‑сервер)?
- Могут ли агенты обращаться к этим сервисам только по внутренним адресам?
7.Где хранятся токены, пароли и ключи?
- Используете ли вы секрет‑менеджер вместо простых конфигурационных файлов?
- Есть ли регламент по ротации этих секретов после инцидентов?
8.Что с логами, мониторингом и обнаружением атак?
- Отправляются ли логи OpenClaw в централизованный SIEM‑контур?
- Есть ли настроенные алерты на аномалии: всплеск неуспешных логинов, подозрительные WebSocket‑соединения?
9.Как вы контролируете supply chain и плагины?
- Откуда вы устанавливаете плагины? Проверяются ли они сначала в тестовой среде?
- Анализируется ли их сетевое поведение перед тем, как они попадут в прод?
10.Готовы ли вы к отказу узла и к тому, что его придётся «сжечь»?
- Есть ли регулярные резервные копии конфигураций и состояний агентов?
- Понятна ли процедура форсированной «чистой переустановки» после инцидента?
Когда OpenClaw категорически нельзя использовать
Во всех подобных случаях OpenClaw и локальные LLM должны жить в дата‑центре или строго контролируемом частном облаке.
Безопасный деплой
в российских реалиях
Мы поможем спроектировать защищенную архитектуру на базе доступного оборудования, учитывая санкционные риски и требования по импортозамещению.
Запросить аудит и подбор железа
