Microsoft stworzył coś, co przypomina potwora Frankensteina w wersji cyfrowej, a teraz grzecznie prosi, byś trzymał go w pancernej klatce. Firma wypuściła asystenta AI o nazwie OpenClaw (znanego w środowisku deweloperskim jako autonomiczny agent), po czym opublikowała ostrzeżenie, które w zasadzie wyklucza to narzędzie z normalnego użytku domowego. Jeśli myślałeś, że sztuczna inteligencja ma ułatwić ci życie, to w tym przypadku musisz najpierw zbudować jej cyfrowe więzienie. Gigant z Redmond mówi wprost... instalowanie tego na twoim głównym komputerze to proszenie się o kłopoty.
Sytuacja jest kuriozalna. Otrzymujesz oprogramowanie, które ma autonomicznie wykonywać zadania, ale jednocześnie słyszysz komunikat, że uruchomienie go w standardowym środowisku grozi utratą wszystkiego, co masz na dysku. Przypomina to sytuację, w której sprzedawca aut wręcza ci kluczyki do nowego modelu, ostrzegając, że hamulce są opcjonalne, więc lepiej jeździj nim wyłącznie po prywatnym torze z dala od ludzi.
Asystent z uprawnieniami absolutnymi
OpenClaw to autonomiczny asystent AI, którego działanie opiera się na pełnej swobodzie. Jego zadaniem jest działanie w twoim imieniu, co w teorii brzmi fantastycznie. Niestety mechanika tego działania wymaga, abyś przekazał mu absolutną kontrolę nad systemem. Aby OpenClaw był użyteczny, potrzebuje dostępu do poczty e-mail, plików lokalnych, serwisów online, a nawet danych logowania. Musisz wręczyć mu klucze do swojego królestwa i liczyć na to, że nie wpuści nikogo obcego.
Najnowsze doniesienia wskazują, że taki model działania to pułapka. Microsoft ostrzega, że ze względu na te wymagania, twoje dane uwierzytelniające i prywatne pliki mogą zostać wyfiltrowane lub wystawione na widok publiczny. Co gorsza, asystent posiada „trwały stan” (pamięć). Badacze z Microsoft Defender Security Research Team wskazują, że ten obszar pamięci może zostać zmodyfikowany przez atakujących (o czym pisaliśmy tutaj). W rezultacie twój pomocnik zacznie realizować instrukcje podesłane przez hakerów, a ty nawet się nie zorientujesz, kiedy zaczął pracować dla kogoś innego. Producent nazywa rzeczy po imieniu, OpenClaw należy traktować jako „niezaufane wykonywanie kodu z trwałymi poświadczeniami”.
Nieposłuszny pracownik
Przykładem tego, jak nieprzewidywalny potrafi być ten system, jest historia badaczki Summer Yue z zespołu Meta AI. Podczas testów OpenClaw otrzymał zadanie wyczyszczenia skrzynki e-mail. W trakcie procesu zignorował polecenia zatrzymania (komendy "stop") i kontynuował masowe kasowanie wiadomości w skrzynce odbiorczej. Dopiero twarda, ręczna interwencja pozwoliła przerwać proces. Pokazuje to dobitnie, że nawet eksperci mają problem z okiełznaniem autonomii tego narzędzia. Gdy maszyna decyduje, że wie lepiej, co robić z twoimi plikami, robi się niebezpiecznie. Andrej Karpathy nazwał co prawda OpenClaw "ekscytującą nową warstwą", ale entuzjazm technologiczny często przesłania prozaiczne ryzyko utraty kontroli.
Dwa główne grzechy bezpieczeństwa
Specjaliści wyróżniają dwa konkretne wektory ataku, które sprawiają, że korzystanie z tego narzędzia przypomina zabawę z odbezpieczonym granatem. Pierwszy problem to pośrednie wstrzykiwanie poleceń (indirect prompt injection). Atakujący mogą ukryć złośliwe instrukcje w treściach, które asystent przetwarza (na przykład w mailu lub na stronie internetowej). OpenClaw, czytając taką treść, nieświadomie wykonuje zaszyte w niej polecenia. Może to zmienić jego zachowanie lub zmusić go do działań, których byś nie autoryzował.
Drugi problem nazwano skill malware, czyli złośliwym oprogramowaniem umiejętności. Agenci tacy jak OpenClaw uczą się i zdobywają nowe funkcje, pobierając kod z internetu. Istnieje spore ryzyko, że asystent pobierze i uruchomi kod, który jest po prostu wirusem lub backdoorem.
Microsoft zauważa, że udany atak wcale nie musi oznaczać instalacji typowego szkodliwego oprogramowania. Czasem wystarczą subtelne zmiany w konfiguracji systemu, których nie wykryje żaden antywirus, a które oddadzą kontrolę nad maszyną w obce ręce.
Hakerzy już zacierają ręce
Ostrzeżenia producenta to jedno, ale rzeczywistość pokazuje, że użytkownicy rzadko czytają instrukcje. Zespół SecurityScorecard STRIKE Threat Intelligence (dane z 2026 roku) zidentyfikował ogromną liczbę instancji OpenClaw, które są wystawione na ataki.
Liczby przerażają, gdy uświadomisz sobie, co oznaczają:
- 42000+ – tyle unikalnych adresów IP hostowało wystawione na świat panele kontrolne OpenClaw w 82 krajach.
- 50000 – przybliżona liczba instancji podatnych na zdalne wykonanie kodu (RCE), co daje atakującym pełną kontrolę nad maszyną gospodarza.
Każda z tych maszyn to potencjalna furtka do czyjejś sieci domowej lub firmowej. Podatność na RCE w świecie bezpieczeństwa to odpowiednik zostawienia otwartych drzwi wejściowych i wywieszenia na płocie zaproszenia dla złodzieja. Atakujący może zdalnie uruchomić dowolny program na twoim komputerze. Może zainstalować koparkę kryptowalut, wykraść hasła albo zaszyfrować dysk i zażądać okupu.
Co ciekawe, ryzyko rozkłada się globalnie. Zidentyfikowane adresy IP rozsiane po 82 krajach dowodzą, że ignorowanie zasad bezpieczeństwa jest sportem międzynarodowym. Ludzie instalują nowoczesne narzędzia, bo są modne i obiecują rewolucję w produktywności, zapominając, że każde takie ułatwienie ma swoją cenę.
Izolatka to jedyne wyjście
Zalecenia Microsoftu co do bezpiecznego użytkowania OpenClaw są tak restrykcyjne, że dla przeciętnego użytkownika stają się wręcz niemożliwe do spełnienia. Firma sugeruje, aby uruchamiać to oprogramowanie wyłącznie w pełni izolowanym środowisku. Mowa tu o dedykowanej maszynie wirtualnej lub całkowicie odrębnym komputerze fizycznym, odciętym od twoich głównych zasobów.
Środowisko uruchomieniowe powinno korzystać z poświadczeń bez uprawnień administracyjnych i mieć dostęp tylko do danych, które nie są wrażliwe. Ponadto zaleca się ciągłe monitorowanie takiego systemu oraz posiadanie gotowego planu jego "przebudowy" (czyli resetu do zera) w razie infekcji. Dla entuzjasty cyberbezpieczeństwa to standard, ale dla kogoś, kto chce tylko szybciej odpisać na maile, brzmi to jak koszmar logistyczny.
Ironia losu polega na tym, że OpenClaw miał być narzędziem typu "zainstaluj i zapomnij". Tymczasem stał się produktem typu "zainstaluj i panikuj". Wymaganie od użytkownika końcowego tworzenia izolowanych środowisk wirtualnych to absurdalna poprzeczka wejścia. Wdrażanie takiego oprogramowania bez rygorystycznych procedur to proszenie się o kłopoty. Zostajesz sam na sam z oprogramowaniem, które jego twórcy otwarcie nazywają niebezpiecznym w standardowym użyciu. Warto zastanowić się dwa razy, zanim dasz sztucznej inteligencji klucze do swojego cyfrowego domu – bo może się okazać, że wymieni zamki, a ty zostaniesz na zewnątrz.
Źródła: Własne, CyberNews.com, AIBase.com, TechRadar
