AI Safety Incidents

ClawHavoc: 341 כישורי ClawHub זדוניים ומספר שהמשיך לנוע

מחבר

Alistair Wren

תאריך פרסום

Nov 5, 2026

מודלים אחרונים · 20צפו בכל המודלים →

בנצ'מרקים: Artificial Analysis · מתעדכן יומית

חזרה לכל הפוסטים

ב-1 בפברואר 2026 פרסמה חברת האבטחה Koi Security דוח ביקורת על ClawHub, שוק המיומנויות המשויך לסוכן ה-AI בקוד פתוח OpenClaw: מבין 2,857 המיומנויות הרשומות שם, היא דיווחה כי 341 מהן זדוניות, כאשר 335 מהן יוחסו לפעולה מתואמת אחת שאותה כינתה ClawHavoc. זה קצת פחות מ-12 אחוז מהשוק. המטען העיקרי היה Atomic Stealer, הידוע כ-AMOS, גונב מידע ל-macOS מסוג מוצר מדף ש-The Hacker News מדווח כי נשכר תמורת כ-500–1,000 דולר בחודש, והוא הגיע דרך השלב שהמשתמשים מורגלים ביותר לבצע בלי לחשוב — סעיף "דרישות מוקדמות" שאומר להם להתקין עוד דבר אחד קודם. משתמשי Windows הופנו אל ZIP מוגן בסיסמה ב-GitHub; ומשתמשי macOS הופנו לפקודת shell המתארחת ב-glot.io, ונאמר להם להדביק אותה ב-Terminal. הרשומה של הארכיון עצמו עבור הקמפיין, עם דירוגי החומרה והביטחון שלו, נמצאת ב-Orca AI Incident Archive לצד שאר אירועי שרשרת האספקה שתועדו באותו שבוע.

על מה קוי באמת הסתכל

ClawHub הוא מרקטפלייס קהילתי שפועל לצד OpenClaw, עוזר AI בהארחה עצמית הידוע בעבר בשמות Clawdbot ו-Moltbot. כישורים הם מנגנון ההרחבה: הוראות ארוזות יחד עם סקריפטים שמלמדים את הסוכן לעשות דבר ספציפי — לקרוא ארנק Solana, לסכם סרטון YouTube, לעקוב אחר מחירים ב-Polymarket. התקנה של כישור כזה משמעה להעניק לו את אותה נגישות שיש לסוכן.

Koi ערכה את הביקורת שלה עם בוט OpenClaw משלה, בשם Alex, לפי הדיווח של The Hacker News מ-2 בפברואר. החוקר שצוטט בדיווח הזה, Oren Yomtov, תיאר את הפיתיון במילים פשוטות: "אתם מתקינים משהו שנראה כמו מיומנות לגיטימית — אולי solana-wallet-tracker או youtube-summarize-pro. התיעוד של המיומנות נראה מקצועי. אבל יש סעיף 'דרישות מוקדמות' שאומר שצריך להתקין משהו קודם."

הסיבה לכך שהיה בכלל שוק שאפשר להרעיל היא ש-ClawHub היה פתוח כברירת מחדל. The Hacker News דיווח שכל אחד יכול היה להעלות, והמגבלה היחידה באותו זמן הייתה שחשבון ה-GitHub של המפרסם חייב להיות בן שבוע לפחות. הדוח של Koi עצמו תיאר את הפלטפורמה כבעלת „כמעט ללא מנגנוני סקירת אבטחה”, משפט ש-Antiy CERT מצטטת בניתוח שלה.

איך הגיע המטען

אופן המסירה היה שונה בהתאם למערכת ההפעלה, אך הצורה הייתה זהה: המיומנות עצמה היא ברובה בלתי מזיקה, והנזק נמצא בהוראות ההתקנה.

• ב-Windows, התיעוד קישר ל-release ב-GitHub שהכיל קובץ ZIP מוגן בסיסמה. בפנים היה טרויאני עם יכולת רישום הקשות שמכוון למפתחות API, לפרטי התחברות ולכל דבר אחר שאליו הבוט במכונה כבר יכול היה להגיע — ובמארח סוכן, זהו היקף עצום. הדוח של Antiy CERT אומר שהארכיונים נשאו בדרך כלל אחת משלוש סיסמאות (1202, openclaw או 1234) ומציין את מטרת ההצפנה: היא מעבירה את הקובץ מבעד לסריקה של GitHub עצמה ומבעד לסריקה בזמן אמת במכונת הקורבן.

• ב-macOS, התיעוד הנחה את המשתמשים להעתיק סקריפט המתארח ב-glot[.]io ולהדביק אותו ב-Terminal. הסקריפט הריץ פקודות shell מעורפלות, פנה אל 91.92.242[.]30 כדי לקבל סקריפט שני, וסקריפט זה הוריד קובץ בינארי Mach-O אוניברסלי — גרסה אחת גם ל-Intel וגם ל-Apple Silicon.

Koi העריכה כי הבינארי הזה מציג מאפיינים העולים בקנה אחד עם AMOS. OpenSourceMalware, גוף המחקר שמנהל פול מקארתי, דיווח על אותו קמפיין באותו יום והעריך את הדגימה שלו קצת אחרת: כנראה זן חדש של NovaStealer. שני הדוחות מסכימים על התשתית, על הפיתיון ועל הנתונים הממוקדים — מפתחות API של בורסות, קבצי ארנק, נתוני תוספי דפדפן כולל MetaMask, ביטויי seed, ה-Keychain של macOS, סיסמאות דפדפן שמורות, מפתחות SSH, אישורי ענן ו-Git, .env — אך לא, ליתר דיוק, על תווית המשפחה. שני הייחוסים הם של החוקרים עצמם.

לא כל מיומנות זדונית הייתה פיתיון דרישות מוקדמות של ClawHavoc. Koi דיווחה על מיומנויות — כולל better-polymarket וpolymarket-all-in-one — שהסתירו דלתות אחוריות של מעטפת הפוכה בתוך קוד שעבד כרגיל, כך שהחדירה התרחשה בשימוש רגיל ולא בזמן ההתקנה. אחרת, rankaj, שלחה פרטי התחברות של בוט השמורים ב-~/.clawdbot/.env אל נקודת קצה של webhook[.]site. השמות נבנו כך שייקראו בטעות במהירות: clawhubb, cllawhub, clawwhub, clawhubcli, לצד מתחזים של קריפטו, YouTube, מעדכן אוטומטי ו-Google Workspace.

Antiy CERT מוסיפה פרט שראוי לציין כהערכה שלה ולא כממצא: היא אומרת שהתיעוד התומך בנושא מיומנויות אלו משתרע על פני 500–700 שורות והיה "כנראה נוצר על ידי AI בעצמו". זוהי הסקה מאורכם ועקביותם של המסמכים, ולא משהו שהדוח מוכיח.

A self-built HTML card headed 'The count, and who published it', subtitled 'Four figures, four publishers, and three different things being counted'. A table with rows for Koi Security (1 February 2026, 341 of 2,857 skills audited, 335 traced to one campaign), OpenSourceMalware (1 February 2026, updated 2 to 3 February, 28 skills then 386, with 354 of the second batch from one account), Antiy CERT (figures as of 5 February 2026, at least 1,184 packages across ClawHub's repository history attributed to 12 author IDs) and later third-party posts (no dated primary report, 824, called 20 per cent of ClawHub, denominator unstated). Three chips below read: 3,498 skills after large-scale removals; 60 packages still accessible from one uploader with 14,285 downloads; roughly 7,000 downloads for one publisher. A footer notes that a live-listing count, a publication-wave count and a repository-history count are not interchangeable, and names the sources.

הספירה אינה מספר אחד

הנתון שמלווה את ClawHavoc אינו יציב, והסיבה לכך היא שהביקורות ענו על שאלות שונות בימים שונים.

המספר 341 של Koi's הוא ספירה של רישומים חיים ברגע הסריקה שלו: 341 רשומות זדוניות מתוך 2,857 מיומנויות שנבדקו, 335 מהן קמפיין אחד. המספרים של OpenSourceMalware מתארים גל פרסום ולא תמונת מצב של השוק — 28 מיומנויות זדוניות שפורסמו בין 27 ל-29 בינואר, ואז 386 נוספות בין 31 בינואר ל-2 בפברואר, המיוחסות לשבעה חשבונות מפרסמים, כאשר 354 מהמנה השנייה מחשבון אחד, hightower6eu. המספר 1,184 של Antiy CERT הוא ספירה של היסטוריה: חבילות זדוניות שהיא זיהתה במאגר של ClawHub נכון ל-5 בפברואר, המיוחסות ל-12 מזהי מחברים, כאשר hightower6eu עם 677 ו-sakaen736jih עם 390. Antiy גם תיעדה ש-60 חבילות ממעלה אחד, moonshine-100rze, היו עדיין נגישות בעת הפרסום וצברו 14,285 הורדות, ושהפלטפורמה הכילה 3,498 מיומנויות לאחר שההסרות בקנה מידה גדול בוצעו.

ואז יש 824. רשומת הארכיון מציינת את הנתון כגרסה מאוחרת, אך הוא אינו מתחקה לפרסום ראשוני מתוארך כפי שהמספרים האחרים מתחקים ל-Koi, OpenSourceMalware ו-Antiy. המקום שבו הוא מופיע הוא פרשנות צד שלישי מאוחרת יותר — למשל פוסט ב-Hacker News ממרץ 2026 מאת מחבר של סורק סקילים, המתאר "824 סקילים זדוניים (20% מ-ClawHub)" בלי לנקוב בשם הביקורת שעומדת מאחוריו. גם החשבון שם לא מסתדר עם שאר הנתונים שפורסמו: 824 הוא מעט פחות מ-29 אחוזים מ-2,857, כך ש"20 אחוזים" מרמז שוב על מכנה אחר, שאינו מצוין. התייחסו אליו כמספר שנמצא בתפוצה ולא כמספר שיש לו מתודולוגיה מפורסמת. אותה זהירות חלה גם על גרסאות ה"1,200+" שמופיעות בכתבות מאוחרות יותר.

אף אחד מאלה אינו שגוי אלא בלתי־בר־השוואה: רישומים בנקודת זמן אחת, פרסומים על פני חלון זמן, וההיסטוריה המלאה של מאגר הם שלושה מכנים שונים, ווריאנט טיפוסקווט יכול להיות רשומה אחת או כמה, תלוי כיצד המונה קיבץ אותם.

מה OpenClaw שינה

שני דברים, שניהם בתוך השבוע שאחרי הגילוי של קוי.

הראשון היה דיווח משתמשים. Hacker News דיווח שיוצר OpenClaw, פיטר שטיינברגר, השיק תכונה שמאפשרת למשתמשים מחוברים לסמן סקיל, כשבתיעוד נכתב שכל משתמש רשאי להחזיק עד 20 דיווחים פעילים ושכי "סקילים עם יותר מ-3 דיווחים ייחודיים מוסתרים אוטומטית כברירת מחדל." זהו מנגנון מיון, לא סורק, והוא תלוי בכך שמישהו יבחין קודם.

השני היה השותפות עם VirusTotal, שהוכרזה על ידי OpenClaw ב-7 בפברואר 2026. כמתואר בפוסט של OpenClaw עצמו: כל חבילת מיומנות נארזת באופן דטרמיניסטי ל-ZIP עם דחיסה וחותמות זמן עקביות, בתוספת _meta.json הנושא נתוני מפרסם וגרסה; נוצר hash מסוג SHA-256; ה-hash נבדק מול מודיעין האיומים של VirusTotal, ואם אין פסיקה החבילה מועלית דרך ה-API v3 של VirusTotal. Code Insight של VirusTotal — סקירה מונעת על ידי LLM, שעליה נאמר בפוסט של OpenClaw שהיא "מופעלת על ידי Gemini" — קוראת את החבילה כולה החל מ-SKILL.md. הפסיקות מכתיבות את הפעולה: מיומנויות לא מזיקות מאושרות אוטומטית, מיומנויות חשודות נושאות אזהרה אך נשארות גלויות, ומיומנויות זדוניות נחסמות מהורדה. כל המיומנויות הפעילות נסרקות מחדש מדי יום, וחיוביים שגויים חשודים נשלחים ל[email protected].

OpenClaw היה מפורש לגבי המגבלות באותו פוסט, כינה את האינטגרציה "לא תרופת פלא" והזהיר ש"סריקה נקייה אינה אומרת שסקיל בטוח", משום שמניפולציה בשפה טבעית והזרקת פרומפטים עלולות שלא להיתפס על ידי חתימות או מסד נתונים של איומים. ההערכה של Antiy CERT מצביעה לאותו כיוון מבחוץ: היא מכנה את תכונת הדיווח הכרחית אך רחוקה מלהספיק, וטוענת שהגנה בקנה מידה של חנות דורשת ניתוח סטטי, ניתוח קוד וניתוח סמנטי, הרצה בארגז חול וצוות תגובה מאחוריהם.

A self-built HTML card headed 'What a scan actually checks', subtitled 'The ClawHub pipeline as OpenClaw described it when it announced the VirusTotal integration'. Five numbered steps run left to right: package bundled deterministically as a ZIP with consistent compression and timestamps plus a _meta.json carrying publisher and version; SHA-256 hash generated from the bundle; hash checked against VirusTotal's threat intelligence database; unmatched bundles uploaded through VirusTotal's v3 API for a Code Insight review that OpenClaw says is powered by Gemini and reads the package from SKILL.md onward; verdict applied. Three chips below read benign, auto-approved; suspicious, warning shown but still installable; malicious, download blocked. A closing note says all active skills are re-scanned daily, and that OpenClaw called the system 'not a silver bullet' and warned a clean scan doesn't mean a skill is safe.

מה מבוסס, ומה לא

הערה על מקורות תחילה, מכיוון שהיא חשובה לכל האמור לעיל. הפוסט המקורי של Koi אינו נגיש עוד בכתובת שבה פורסם. כתובת ה-URL של koi.ai שאליה מפנה הארכיון מפנה כעת לדף מוצר Cortex של Palo Alto Networks, בעקבות רכישת Koi על ידי Palo Alto Networks, אשר החברה הודיעה שהושלמה ב-14 באפריל 2026. לפיכך, הנתונים והציטוטים של Koi כאן לקוחים מכלי תקשורת שקראו את הדוח בעודו באוויר — The Hacker News ב-2 בפברואר, eSecurity Planet ב-3 בפברואר, Gadget Review ב-11 בפברואר — ומן Antiy CERT, שמצטט את דוח Koi ישירות בניתוח שלו מפברואר. לא ניתן היה לקרוא את הפוסט של Koi עצמו עבור מאמר זה.

A self-built HTML card headed 'Established, divergent, not established', subtitled 'What the public record supports about ClawHavoc, nine months on', split into three columns. Established lists Koi's 1 February audit of 2,857 ClawHub skills reporting 341 malicious with 335 in one campaign; delivery through a fake Prerequisites step with a password-protected ZIP on Windows and a glot.io shell command on macOS; command-and-control at 91.92.242.30 shared across the skills; separate reverse-shell and .env-exfiltration skills outside the AMOS chain; and OpenClaw's reporting feature followed by the VirusTotal integration of 7 February. Divergent lists the malicious count reading 341 live listings, 386 in one publication wave and 1,184 across repository history; 824 appearing in later commentary with no traced primary report or stated denominator; and the payload family assessed as AMOS by Koi and probably NovaStealer by OpenSourceMalware. Not established lists how many people installed a malicious skill, how many credentials or keys were stolen, whether any funds have been traced, and whether all 341 listings were live when Koi published. A footer explains that Koi's original post no longer resolves and that its figures are taken from The Hacker News, eSecurity Planet, Gadget Review and Antiy CERT.

הוכח כי Koi בדקה 2,857 כישורים ודיווחה על 341 זדוניים, 335 מהם בקמפיין אחד; מנגנון הפיתוי באמצעות דרישות מוקדמות בשתי מערכות ההפעלה; כתובת הפיקוד והשליטה 91.92.242[.]30; וה-reverse-shell וה-.env הם חריגי דליפה; תכונת הדיווח; והשילוב עם VirusTotal בצינור שתואר לעיל. הנזק הממשי אינו מוטל בספק — Antiy תיעדה 14,285 הורדות ב-60 חבילות שעדיין נגישות ממעלה אחד, ו-OpenSourceMalware העריכה את סך ההורדות של מפרסם אחד בכמעט 7,000 — והנתונים שהמטענים רדפו אחריהם הם בדיוק הנתונים שמארח סוכן מרכז: מפתחות ארנק, מפתחות API של בורסות, מפתחות SSH, אסימוני ענן, סיסמאות דפדפן.

שונה: הספירה, מהסיבות שבסעיף לעיל, ותווית משפחת הנוזקה.

לא הוברר, לפחות לא בשום דבר שפורסם שמאמר זה יכול היה לקרוא: כמה אנשים התקינו בפועל מיומנות זדונית, כמה פרטי גישה נגנבו, או האם אותרו כספים או מפתחות שנגנבו. Antiy אומרת שמיומנויות זדוניות "הורדו אלפי פעמים, והדביקו משתמשי Windows ו-macOS" — זו הערכת חשיפה, לא ספירת קורבנות, ואף מפרסם לא סיפק ספירה כזו. גם לא נאמר אם כל 341 הרשומות היו פעילות ברגע ש-Koi פרסמה.

העובדה המתמשכת היא צורת הכשל ולא החשבון. מרקטפלייס שכל אחד יכול היה לפרסם בו, במערכת אקולוגית שבה התקנת חבילה פירושה למסור לה את אישורי הסוכן, יצר קמפיין שכל הניצול בו היה קובץ README שהורה למשתמש להריץ משהו — וההגנה האוטומטית הראשונה הגיעה שישה ימים לאחר מכן, מכוונת לחתימות ולבדיקת מודלים ולא למודל האמון שאיפשר לפיתיון לעבוד.

ClawHavoc: 341 כישורי ClawHub זדוניים ומספר שהמשיך לנוע

על מה קוי באמת הסתכל

איך הגיע המטען

הספירה אינה מספר אחד

מה OpenClaw שינה

מה מבוסס, ומה לא

מוצר

משאבים

שותפים

לספקים

הצטרפו לקהילה שלנו

מהבלוג

ספקי מודלים