Популярний ШІ може розкрити паролі і листування: що відомо про критичну вразливість
Розробники популярного ШІ-агента випустили термінові патчі для виправлення трьох критичних вразливостей. Найнебезпечніша з них дозволяє зловмисникам отримати права адміністратора та повний контроль над комп'ютером користувача без жодної взаємодії з ним.
Про це інформує РБК-Україна з посиланням на матеріал Ars Technica.
У чому суть загрози?
Вразливість безпеки CVE-2026-33579 отримала надзвичайно великий ступінь загрози - від 8,1 до 9,8 бала з 10. За словами фахівців з кібербезпеки, проблема полягає в тому, що зловмисник із найнижчим рівнем доступу може непомітно підвищити свої привілеї до статусу адміністратора.
Чим це загрожує користувачам:
- Повне захоплення: хакер отримує доступ до всіх ресурсів, якими керує OpenClaw (Telegram, Slack, Discord, робочі файли та банківські сесії);
- Викрадення даних: можливість зчитувати підключені джерела даних та викрадати збережені облікові записи;
- Відсутність перевірки: функція схвалення запитів на підключення не перевіряла права доступу сторони, а це автоматично підтверджує запит.
Масштаб проблеми та рекомендації експертів
OpenClaw став справжньою сенсацією на GitHub, зібравши понад 347 000 зірок. А проте його автономність та широкий доступ до системних ресурсів зробили сервіс ідеальною ціллю для кібератак.
За даними сканування, близько 63% інстансів (робочих копій об'єкта) OpenClaw, доступних через інтернет, працювали без жодної автентифікації. Це означає, що будь-який відвідувач мережі міг отримати контроль над інструментом без пароля.
Як запобігти проблемі - поради фахівців з безпеки
- Перевірка логів: користувачам рекомендують ретельно перевірити журнал активності (зокрема події /pair approval) за останній тиждень.
- Заборона на використання: великі компанії, включно з Meta, вже заборонили своїм співробітникам встановлювати OpenClaw на робочі ноутбуки під загрозою звільнення.
- Видалення: експерти радять зважити, чи варта ефективність від ШІ-помічника ризику повної компрометації корпоративної чи особистої мережі.