ClawHavoc: 341 مهارة خبيثة في ClawHub وعددٌ لم يتوقف عن التغيّر

في 1 فبراير 2026، نشرت شركة الأمن Koi Security تدقيقًا لـ ClawHub، سوق المهارات المرتبط بوكيل الذكاء الاصطناعي مفتوح المصدر OpenClaw: ومن بين 2,857 مهارة مدرجة هناك، أبلغت عن 341 منها بأنها خبيثة، مع تتبّع 335 منها إلى عملية منسّقة واحدة أطلقت عليها اسم ClawHavoc. وهذا أقل بقليل من 12 في المئة من السوق. كانت الحمولة الرئيسية هي Atomic Stealer، المعروف باسم AMOS، وهو أداة سرقة معلومات macOS جاهزة للاستخدام تذكر The Hacker News أنها تُستأجر مقابل نحو 500–1,000 دولار شهريًا، وقد وصل عبر الخطوة التي اعتاد المستخدمون أكثر من غيرها على تنفيذها دون تفكير — قسم «المتطلبات الأساسية» الذي يخبرهم بتثبيت شيء آخر أولًا. وُجّه مستخدمو Windows إلى ملف ZIP محمي بكلمة مرور على GitHub؛ بينما وُجّه مستخدمو macOS إلى أمر shell مستضاف على glot.io وطُلب منهم لصقه في Terminal. ويقع مدخل الأرشيف الخاص بالحملة، مع درجتي الخطورة والثقة، في Orca AI Incident Archive إلى جانب حوادث سلسلة التوريد الأخرى المسجلة ذلك الأسبوع.

ما الذي نظر إليه Koi فعليًا

ClawHub هو سوق مجتمعي يعمل إلى جانب OpenClaw، وهو مساعد ذكاء اصطناعي مستضاف ذاتيًا عُرف سابقًا باسم Clawdbot وMoltbot. المهارات هي آلية الامتداد: تعليمات مُحزّمة مع سكربتات تُعلّم الوكيل القيام بشيء محدد — قراءة محفظة Solana، أو تلخيص فيديو على YouTube، أو تتبّع الأسعار على Polymarket. تركيب مهارة واحدة يعني منحها نفس النطاق الذي يتمتع به الوكيل.

أجرت Koi تدقيقها باستخدام روبوت OpenClaw خاص بها يُدعى Alex، وفقًا لتقرير The Hacker News الصادر في 2 فبراير. ووصف الباحث المذكور في ذلك التقرير، أورين يومتوف، الطُعم بعبارات واضحة: «أنت تثبّت ما يبدو مهارة شرعية — ربما solana-wallet-tracker أو youtube-summarize-pro. وتبدو وثائق المهارة احترافية. لكن هناك قسم «المتطلبات الأساسية» يقول إنك بحاجة إلى تثبيت شيء ما أولًا.»

السبب في وجود سوق يمكن تسميمه أصلاً هو أن ClawHub كان مفتوحًا افتراضيًا. ذكرت The Hacker News أن أي شخص كان بإمكانه الرفع، وكان القيد الوحيد آنذاك أن يكون حساب الناشر على GitHub قد مضى عليه أسبوع على الأقل. ووصف تقرير Koi الخاص المنصة بأن لديها "آليات مراجعة أمنية شبه معدومة"، وهو سطر يقتبسه Antiy CERT في تحليله الخاص.

كيف وصلت الحمولة

اختلفت طريقة التوصيل باختلاف نظام التشغيل، لكن الشكل بقي على حاله: المهارة نفسها غير ضارة في الغالب، والضرر يكمن في تعليمات التثبيت.

• على Windows، كانت الوثائق تُحيل إلى إصدار GitHub يحتوي على ملف ZIP محمي بكلمة مرور. وكان بداخله حصان طروادة يتمتع بقدرة على تسجيل ضغطات المفاتيح، ويستهدف مفاتيح API وبيانات الاعتماد وكل ما كان بإمكان البوت على ذلك الجهاز الوصول إليه أصلًا — وهو، على مضيف وكيل، قدر كبير جدًا. ويذكر تقرير Antiy CERT أن الأرشيفات كانت عادةً تحمل واحدة من ثلاث كلمات مرور (1202 أو openclaw أو 1234)، ويشير إلى الغرض من التشفير: فهو يجعل الملف يتجاوز فحص GitHub نفسه وفحص الوقت الفعلي على جهاز الضحية.

• على نظام macOS، طلبت الوثائق من المستخدمين نسخ برنامج نصي مستضاف على glot[.]io ولصقه في Terminal. شغّل البرنامج النصي أوامر شل مبهمة، واتصل بـ 91.92.242[.]30 للحصول على برنامج نصي ثانٍ، وجلب ذلك البرنامج النصي ملفًا ثنائيًا Mach-O شاملًا — إصدار واحد لكل من Intel وApple Silicon على حد سواء.

قدّر Koi أن ذلك الملف الثنائي يُظهر سمات متوافقة مع AMOS. وأبلغت OpenSourceMalware، المؤسسة البحثية التي يديرها Paul McCarty، عن الحملة نفسها في اليوم نفسه، وقيّمت عينتها الخاصة بشكل مختلف قليلًا: على الأرجح سلالة جديدة من NovaStealer. يتفق التقريران على البنية التحتية والطُعم والبيانات المستهدفة — مفاتيح API لمنصات التداول، وملفات المحافظ، وبيانات إضافات المتصفح بما فيها MetaMask، وعبارات الاسترداد، وسلسلة مفاتيح macOS، وكلمات مرور المتصفح المحفوظة، ومفاتيح SSH، وبيانات اعتماد السحابة وGit، و.env ملفات — ولكن ليس بدقة على تسمية العائلة. كلا الإسنادين يعودان إلى الباحثين أنفسهم.

لم تكن كل مهارة خبيثة طُعمًا مرتبطًا بمتطلبات ClawHavoc المسبقة. أبلغت Koi عن مهارات — منها better-polymarket وpolymarket-all-in-one — كانت تخفي أبوابًا خلفية من نوع الصدفة العكسية داخل شيفرة برمجية تعمل في الظاهر، لذا وقع الاختراق عند الاستخدام العادي لا عند التثبيت. وأرسلت مهارة أخرى، rankaj، بيانات اعتماد البوت المخزنة في ~/.clawdbot/.env إلى نقطة نهاية webhook[.]site. صُممت الأسماء لتُقرأ خطأً عند السرعة: clawhubb، cllawhub، clawwhub، clawhubcli، إلى جانب أسماء مشابهة لأدوات العملات المشفرة وYouTube والمحدّث التلقائي وGoogle Workspace.

يضيف Antiy CERT تفصيلاً جديراً بالتنبيه باعتباره تقييمه لا اكتشافاً: إذ يقول إن الوثائق الداعمة المتعلقة بهذه المهارات تمتد على 500–700 سطر، وإنها "من المرجح أنها مولّدة بالذكاء الاصطناعي بنفسها". وهذا استنتاج مبني على طول الوثائق واتساقها، وليس شيئًا يثبته التقرير.

العدد ليس رقمًا واحدًا

الرقم الذي يلاحق ClawHavoc ليس مستقرًا، والسبب هو أن عمليات التدقيق كانت تجيب عن أسئلة مختلفة في أيام مختلفة.

إن عدد 341 لدى Koi هو عدد القوائم النشطة في لحظة مسحها: 341 إدخالاً ضاراً من أصل 2,857 مهارة فحصها، 335 منها ضمن حملة واحدة. وتصف أرقام OpenSourceMalware موجة نشر بدلاً من لقطة سوق — 28 مهارة ضارة نُشرت بين 27 و29 يناير، ثم 386 أخرى بين 31 يناير و2 فبراير، منسوبة إلى سبعة حسابات ناشرين، مع 354 من الدفعة الثانية من حساب واحد، hightower6eu. وعدد 1,184 لدى Antiy CERT هو إحصاء تاريخي: حزم ضارة حددها في مستودع ClawHub حتى 5 فبراير، منسوبة إلى 12 معرف مؤلف، مع hightower6eu عند 677 وsakaen736jih عند 390. كما سجلت Antiy أن 60 حزمة من رافع واحد، moonshine-100rze، كانت لا تزال متاحة وقت النشر وقد جمعت 14,285 تنزيلاً، وأن المنصة كانت تضم 3,498 مهارة بعد إتمام عمليات الإزالة واسعة النطاق.

ثم هناك 824. تشير سجلات الأرشيف إلى هذا الرقم باعتباره مراجعة لاحقة، لكنه لا يعود إلى منشور أولي مؤرخ بالطريقة التي تعود بها الأرقام الأخرى إلى Koi وOpenSourceMalware وAntiy. وإنما يظهر في تعليقات لاحقة من طرف ثالث — على سبيل المثال منشور على Hacker News في مارس 2026 كتبه مؤلف ماسح مهارات، يصف «824 مهارة خبيثة (20% من ClawHub)» دون تسمية التدقيق الذي يستند إليه. كما أن الحساب هناك لا يتوافق مع الأرقام الأخرى المنشورة: فـ824 أقل قليلًا من 29 في المئة من 2,857، لذا فإن «20 في المئة» تعني مقامًا مختلفًا مرة أخرى، غير معلن. تعامل معه باعتباره رقمًا متداولًا لا رقمًا له منهجية منشورة. وينطبق التحذير نفسه على صيغ «1,200+» التي تظهر في كتابات لاحقة.

لا شيء من هذه خاطئ بقدر ما هو غير قابل للمقارنة: فالإدراجات في لحظة واحدة، والمنشورات عبر نافذة زمنية، وتاريخ مستودع كامل هي ثلاثة مقامات مختلفة، ويمكن أن تكون نسخة typosquat مدخلًا واحدًا أو عدة مداخل حسب كيفية تجميع العداد لها.

ما الذي غيّره OpenClaw

أمران، كلاهما خلال الأسبوع الذي أعقب إفصاح كوي.

كان الأول هو الإبلاغ من المستخدمين. أوردت Hacker News أن مبتكر OpenClaw، بيتر شتاينبرغر، أطلق ميزة تتيح للمستخدمين المسجّلين الإبلاغ عن مهارة، وتنص الوثائق على أنه يجوز لكل مستخدم أن يملك ما يصل إلى 20 بلاغًا نشطًا، وأن «المهارات التي تتلقى أكثر من 3 بلاغات فريدة تُخفى تلقائيًا افتراضيًا». هذه آلية فرز أولي، وليست ماسحًا ضوئيًا، وهي تعتمد على أن يلاحظ شخص ما الأمر أولًا.

كان الثاني شراكة VirusTotal، التي أعلنتها OpenClaw في 7 فبراير 2026. وكما ورد في منشور OpenClaw نفسه: تُحزَّم كل حزمة مهارات بشكل حتمي في ملف ZIP بضغط وطوابع زمنية متسقة، إضافةً إلى _meta.jsonيحمل بيانات الناشر والإصدار؛ وتُولَّد تجزئة SHA-256؛ ويُتحقق من التجزئة مقابل استخبارات التهديدات لدى VirusTotal، وإذا لم يوجد حكم، تُرفع الحزمة عبر واجهة v3 API الخاصة بـ VirusTotal. تقرأ ميزة Code Insight التابعة لـ VirusTotal — وهي مراجعة يحرّكها نموذج لغوي كبير يقول منشور OpenClaw إنها «مدعومة بـ Gemini» — الحزمة بأكملها بدءًا من SKILL.md. تحدد الأحكام الإجراء: تُعتمد المهارات الحميدة تلقائيًا، وتحمل المهارات المشبوهة تحذيرًا لكنها تظل مرئية، وتُحظر المهارات الخبيثة من التنزيل. يُعاد فحص جميع المهارات النشطة يوميًا، وتُرسل الإيجابيات الكاذبة المشتبه بها إلى [email protected].

كان OpenClaw صريحًا بشأن الحدود في المنشور نفسه، ووصف التكامل بأنه «ليس حلاً سحريًا»، وحذّر من أن «فحصًا نظيفًا لا يعني أن المهارة آمنة»، لأن التلاعب باللغة الطبيعية وحقن المطالبات قد لا تلتقطهما التوقيعات أو قاعدة بيانات التهديدات. ويشير تقييم Antiy CERT في الاتجاه نفسه من الخارج: فهو يصف ميزة الإبلاغ بأنها ضرورية لكنها بعيدة عن الكفاية، ويرى أن الدفاع على مستوى المتجر يحتاج إلى تحليل ساكن، وتحليل للشيفرة والدلالات، وتنفيذ في بيئة معزولة، وفريق استجابة يدعم ذلك.

ما هو ثابت، وما هو غير ثابت

ملاحظة حول المصادر أولًا، لأن ذلك يهم كل ما ورد أعلاه. لم يعد منشور Koi الأصلي متاحًا على عنوانه المنشور. إن رابط koi.ai الذي أشار إليه الأرشيف يعيد التوجيه الآن إلى صفحة منتج Cortex من Palo Alto Networks، عقب استحواذ Palo Alto Networks على Koi، الذي أعلنت الشركة اكتماله في 14 أبريل 2026. لذا فإن أرقام Koi واقتباساتها هنا مأخوذة من وسائل إعلام قرأت التقرير أثناء توفره — The Hacker News في 2 فبراير، وeSecurity Planet في 3 فبراير، وGadget Review في 11 فبراير — ومن Antiy CERT، التي تستشهد بتقرير Koi مباشرةً في تحليلها الخاص لشهر فبراير. تعذّرت قراءة منشور Koi نفسه لهذا المقال.

ثبت: أن Koi دققت 2,857 مهارة وأبلغت عن 341 خبيثة، 335 منها في حملة واحدة؛ وآلية الاستدراج عبر المتطلبات الأساسية على نظامي التشغيل؛ وعنوان القيادة والتحكم 91.92.242[.]30؛ والقشرة العكسية وحالات تسريب .env الشاذة؛ وميزة الإبلاغ؛ وتكامل VirusTotal مع خط الأنابيب الموصوف أعلاه. الضرر الحقيقي ليس موضع شك — فقد سجّلت Antiy 14,285 تنزيلًا عبر 60 حزمة لا تزال متاحة من مُحمّل واحد، وقدّرت OpenSourceMalware إجمالي أحد الناشرين بنحو 7,000 تنزيل — والبيانات التي استهدفتها الحمولات هي بالضبط البيانات التي يركّز عليها مضيف الوكيل: مفاتيح المحافظ، ومفاتيح API للتبادل، ومفاتيح SSH، ورموز السحابة، وكلمات مرور المتصفح.

متباين: العدد، للأسباب الواردة في القسم أعلاه، وتسمية عائلة البرمجيات الخبيثة.

لم يثبت — على الأقل في أي مما نُشر وتمكّن هذا المقال من الاطلاع عليه — عدد الأشخاص الذين ثبّتوا فعليًا مهارة خبيثة، ولا عدد بيانات الاعتماد التي سُرقت، ولا ما إذا كان قد تم تتبّع أي من الأموال أو المفاتيح المسروقة. تقول Antiy إن المهارات الخبيثة «نُزّلت آلاف المرات، وأصابت مستخدمي Windows وmacOS» — وهذا تقييم لمدى التعرض، لا حصر لعدد الضحايا، ولم يُصدر أي ناشر حصرًا كهذا. كذلك لم يُذكر ما إذا كانت القوائم الـ341 كلها كانت نشطة في اللحظة التي نشرت فيها Koi.

الحقيقة الراسخة هي شكل الإخفاق لا الحساب. فسوقٌ كان بإمكان أي شخص النشر فيه، في منظومةٍ يعني فيها تثبيت حزمةٍ تسليمها بيانات اعتماد الوكيل، أنتج حملةً كان استغلالها كله ملف README يطلب من المستخدم تشغيل شيء ما — وجاء أول دفاع آلي بعد ستة أيام، موجَّهًا إلى التوقيعات ومراجعة النماذج لا إلى نموذج الثقة الذي جعل الطُّعم ناجحًا.