Microsoft: не запускайте OpenClaw на обычных рабочих компьютерах.

19 февраля 2026 года команда Microsoft Defender Security Research опубликовала пост под названием «Безопасный запуск OpenClaw: идентичность, изоляция и риски среды выполнения», и в нём содержалась рекомендация, которая, согласно Orca AI Incident Archive, не встречается ни в одной другой записи: OpenClaw «следует рассматривать как выполнение недоверенного кода с постоянными учётными данными», и «его нецелесообразно запускать на стандартной личной или корпоративной рабочей станции». OpenClaw — это самостоятельно размещаемая среда выполнения агентов: пользователь устанавливает её на свою машину, предоставляет ей учётные записи и токены и позволяет ей устанавливать навыки из публичного реестра и действовать на основе текста, который она читает откуда угодно. Аргументация Microsoft носит архитектурный характер, а не является отчётом об ошибке: среда выполнения переносит точку исполнения со статического кода приложения на контент, предоставляемый во время выполнения, а механизмы контроля вокруг идентичности, обработки входных данных и привилегий не сместились вместе с ней. В посте не указаны ни CVE, ни кампания, ни жертва, и не зафиксирован факт компрометации. Полная запись находится в Orca AI Incident Archive, где она классифицируется как знаковая запись категории политики с уровнем достоверности A и без зафиксированного реального ущерба.

Что было сказано в посте, а что — нет

Пост занимает около двенадцати минут чтения и вообще не содержит механизма раскрытия: ни идентификатора CVE, ни диапазона затронутых версий, ни исправленной сборки, ни индикатора компрометации, привязанного к реальному развёртыванию. В Microsoft Defender Security Research Идан Хен указан как участник. Вместо этого он содержит модель угроз и правило развёртывания — поэтому архив относит его к записям о политике, а не к инцидентам: сведения о серьёзности, степень уверенности A, зафиксированного реального ущерба нет, дата с точностью до дня.

Обоснование сжато в один вступительный абзац. OpenClaw «включает ограниченные встроенные средства управления безопасностью», пишет команда, поскольку среда выполнения «может принимать недоверенный текст, загружать и исполнять навыки (т. е. код) из внешних источников и выполнять действия с использованием назначенных ей учётных данных». Следствие сформулировано там же: это «фактически переносит границу исполнения со статического кода приложения на динамически поставляемое содержимое и сторонние возможности без эквивалентных средств контроля идентичности, обработки входных данных или разграничения привилегий».

Далее следуют три риска, и их стоит прочитать в изложении самой Microsoft, потому что большинство последующих материалов пересказали их, превратив в нечто расплывчатое:

• «Учётные данные и доступные данные могут быть раскрыты или похищены.»

• «Постоянное состояние агента или его „память“ может быть изменено, из-за чего со временем он начинает следовать инструкциям, предоставленным злоумышленником».

• «Среда хоста может быть скомпрометирована, если агента побудить получить и выполнить вредоносный код.»

Обратите внимание, чего в этом списке нет. Нет эксплуатируемой уязвимости, нет уязвимой функции, нет патча, который нужно выпустить. Microsoft не утверждает, что в OpenClaw есть уязвимость безопасности; она утверждает, что программу, которая решает, что делать во время выполнения, на основе текста, который она получила, используя предоставленные ей учётные данные, нельзя сделать безопасной с помощью конфигурации на машине, где также находится реальная работа оператора. Соответственно, следующая рекомендация столь же прямолинейна — для большинства сред «правильным решением может быть не развёртывать её».

Две цепочки поставок, один цикл исполнения

Механизм, который описывает пост, — это слияние того, что в нём называется двумя цепочками поставок самостоятельно размещённого агента: недоверенного кода, то есть навыков и расширений, и недоверенных инструкций, то есть внешнего текста. У большинства программ есть что-то одно из двух. Менеджер пакетов загружает недоверенный код, но не читает интернет и не решает, что запускать дальше; чат-модель читает недоверенный текст, но не может ничего установить. OpenClaw делает и то и другое в одном цикле, и этот цикл работает от имени самого пользователя.

«Установка навыка — это по сути установка привилегированного кода», — говорится в публикации. Навыки «часто обнаруживаются и устанавливаются через ClawHub, публичный реестр навыков для OpenClaw», а в разрешительных конфигурациях развертывания «среде выполнения может быть разрешено выполнять процесс установки без одобрения человека». Вторая цепочка поставок обрабатывается Moltbook, которую публикация описывает как ориентированную на агентов платформу и слой идентификации, где агенты публикуют, читают и аутентифицируются через API — и, следовательно, по формулировке публикации, «интенсивный поток контента, на который могут влиять злоумышленники и который агенты поглощают по расписанию». Вся суть — в сжатии: «Таким образом, одна вредоносная публикация может достичь нескольких агентов».

Затем в посте граница доверия делится на три компонента, и это самая переиспользуемая часть всего документа: идентичность — токены, которые агент использует для работы через SaaS API, репозитории, почту и плоскости управления облаком; исполнение — инструменты, которые он может запускать и которые меняют состояние, включая файлы, оболочку, инфраструктуру и сообщения; и персистентность — способы сохранять изменения между запусками через задачи, конфигурацию и расписания. Агент, у которого есть все три, — это не приложение с запросом разрешения. Это субъект.

Отравленный навык, в пяти этапах

Microsoft приводит одну проработанную цепочку компрометации, обозначенную как репрезентативный сценарий, а не отчёт о конкретном случае, и её стоит разобрать, потому что именно последние два шага обходят обычные средства защиты конечных точек. Публикация предваряет её утверждением о внешнем мире — «В публичных отчётах документированы случаи появления вредоносных навыков в публичных реестрах», а в некоторых случаях «содержимое реестра представляло собой откровенное вредоносное ПО, упакованное как навык, а не тонкую подделку», — но не называет ни записи в реестре, ни кампании, ни субъекта, ни жертвы, поэтому цепочка остаётся аргументом о правдоподобии, а не реконструкцией.

• Распространение. Злоумышленник публикует вредоносный навык в ClawHub — иногда замаскированный под полезную утилиту, а иногда откровенно вредоносный — и продвигает его через каналы сообщества; в других случаях его обнаруживают естественным путём через поиск и устанавливают, поскольку установка не требует усилий.

• Установка. Разработчик или сам агент запускает установку, потому что навык кажется релевантным задаче. При разрешительном развёртывании ни один человек её не одобряет.

• Доступ к состоянию. Атакующий нацеливается на токены, кэшированные учётные данные, конфигурационные данные и транскрипты, а также на долговременные каналы инструкций — файлы задач, запланированные действия, конфигурацию агента — которые направляют будущие запуски.

• Повторное использование привилегий. Имея действующие учётные данные, злоумышленник действует через стандартные API и инструменты, и такая активность «часто выглядит как легитимная автоматизация, если не установлены надёжные средства мониторинга и журналирования».

• Сохранение через конфигурацию. Что остаётся — это долговременное изменение конфигурации: «новые согласия OAuth, запланированные выполнения, изменённые задачи агентов или инструменты, которые остаются навсегда одобренными».

Пятый шаг содержит самую резкую фразу в посте — и ту, что лучше всего объясняет, почему это проблема политики, а не проблема вредоносного ПО: «Цель не столько в развёртывании вредоносного ПО, сколько в сохранении долгосрочного контроля над путём автоматизации». Инструменты безопасности, которые ищут полезную нагрузку, ничего не найдут. То, что им пришлось бы ловить, — это предоставление согласия, запись в cron или инструмент, который тихо оставили одобренным.

Минимальная позиция, которую Microsoft согласится принять

Microsoft не оставляет читателя с одним лишь «не делайте этого». Она задаёт минимальную планку для организаций, которые всё же решат оценить среду выполнения, и эта планка строже, чем песочница. Средой должна быть «выделенная виртуальная машина или отдельное физическое устройство, не используемое для повседневной работы», и к ней следует относиться как к одноразовой. Учётные данные должны создаваться исключительно для задач агента, быть непривилегированными и перевыпускаться исходя из предположения, что они уже скомпрометированы. Доступными должны быть только неконфиденциальные данные. Сохранённые инструкции и состояние агента следует регулярно проверять на наличие неожиданных постоянных правил, новых доверенных источников или поведения, которое меняется от запуска к запуску. А пересборка должна быть ожидаемой мерой контроля, а не аварийной ситуацией: регулярно переустанавливайте среду и немедленно пересобирайте её при аномальном поведении.

Одна деталь в посте полезнее, чем можно судить по её длине. Резервное копирование .openclaw/workspace/ фиксирует рабочее состояние агента, не включая учётные данные; резервное копирование всего каталога .openclaw/ проще восстановить, но оно также захватывает токены и учётные данные, и в посте предупреждают, что это может быть неуместно, если есть подозрение, что учётные данные скомпрометированы. Команда, которая создаёт резервную копию всего каталога и называет это аварийным восстановлением, заархивировала то, что было нужно злоумышленнику.

Руководство также является картой продукта

Вторая половина поста сопоставляет каждую рекомендованную меру контроля с продуктом Microsoft: Microsoft Entra ID — для принципа наименьших привилегий и условного доступа для идентичностей агентов, Microsoft Defender for Cloud Apps App Governance — для инвентаризации OAuth и дрейфа согласий, Microsoft Defender for Endpoint — для хоста агента, Microsoft Defender XDR — для корреляции, Microsoft Purview — для предотвращения потери данных на конечных точках, Microsoft Defender for Cloud — для исходящего сетевого трафика, а Microsoft Sentinel — там, где требуется более длительное хранение или автоматизация. Это обычная практика для блога поставщика по безопасности, и это также стоит назвать прямо: документ, рекомендующий изолировать среду выполнения стороннего агента, публикуется компанией, которая продаёт средства такой изоляции.

Материал по охоте — это та часть, которая выдерживает такую подачу, потому что он конкретен. В посте приводятся KQL-запросы к таблицам Defender XDR — DeviceProcessEvents, CloudProcessEvents, DeviceFileEvents, DeviceNetworkEvents и OAuthAppInfo, — которые ищут командные строки процессов и имена файлов, содержащие "openclaw", "moltbot" или "clawdbot", а также вызовы clawhub install с редкими слагами навыков, изменения папок расширений на конечных точках разработчиков, новые OAuth-приложения с высокими привилегиями, прослушиваемые сервисы, открытые процессами агентов, и среды выполнения агентов, запускающие cmd.exe, powershell.exe, pwsh.exe, bash, sh, curl или wget. Как бы кто ни относился к привязке к продукту, эти запросы может выполнить любой клиент Defender XDR в день публикации, и они не предполагают предварительного знания о том, на каких хостах работает среда выполнения.

Что установлено, а что — нет

Установлено и подтверждено: Microsoft опубликовала этот пост 19 февраля 2026 года, и приведённые выше цитаты взяты из него. Cybernews сообщила об этом предупреждении 23 февраля 2026 года, а TechRadar — 24 февраля 2026 года; обе лишь пересказали два ключевых предложения и рекомендации по изоляции, а не проверили их. Повторные поиски не выявили публикаций в The Register, BleepingComputer, Wired или TechCrunch, поэтому волна публикаций вокруг этого поста была небольшой и производной; ни одна независимая сторона не опубликовала проверку архитектурного утверждения Microsoft, а имеющееся подтверждение подтверждает то, что сказала Microsoft, а не то, права ли она.

В пересказе также появилась ошибка, которую стоит отметить, поскольку она показывает, как быстро предупреждение поставщика о стороннем инструменте превращается в предупреждение поставщика о его собственном. Отчёт Cybernews начинается с описания OpenClaw как «ИИ-ассистента Microsoft»; это не так. OpenClaw — это самостоятельно размещаемая среда выполнения, которую исследовали специалисты Microsoft Defender, и сам пост структурно проводит различие, противопоставляя самостоятельно размещаемые среды выполнения — где «вы отвечаете за радиус поражения», а хост, плагины и локальное состояние находятся внутри границы доверия — управляемым ассистентам и агентным платформам, где среда выполнения и обновления управляются централизованно, а средства контроля сосредоточены на областях действия идентификаторов, управлении коннекторами и границах данных.

Не установлено: что какая-либо конкретная организация была скомпрометирована так, как описывает публикация. Microsoft утверждает, что публичные отчёты документировали вредоносные навыки в публичных реестрах, но в публикации не указаны ни название кампании, ни количество, ни дата, ни жертва, и поэтому эта запись не подтверждает реального вреда. Рекомендация также не имеет обязательной силы. Ни один регулятор её не выпустил, ни один орган по стандартам её не принял, и ничто в записи не указывает на то, что клиент, аудитор или страховщик считает её требованием. Это мнение поставщика о том, как его собственные клиенты должны обращаться с инструментом, который он не контролирует, — необычно категоричное и не подлежащее принудительному исполнению.

Что меняет эта публикация — так это форму вопроса, на который должна ответить команда безопасности. До 19 февраля 2026 года решение запускать OpenClaw на рабочем ноутбуке можно было обосновывать как вопрос конфигурации и утверждения пилотного проекта. После этой даты обоснование приходится строить с опорой на документ, где сказано, что риск для машины создаёт сам дизайн среды выполнения, а не её настройки, — и где не предлагается ни версии для обновления, ни патча для установки, ни исправления в плане работ. Его средство — схема развёртывания: изолировать среду выполнения, ограничить то, к чему она имеет доступ, непрерывно отслеживать её и быть готовыми без промедления пересобрать её заново.