ClawHavoc: 341 kỹ năng ClawHub độc hại và một con số không ngừng thay đổi

Ngày 1 tháng 2 năm 2026, công ty bảo mật Koi Security công bố một cuộc kiểm toán về ClawHub, thị trường kỹ năng gắn với AI agent mã nguồn mở OpenClaw: trong số 2.857 kỹ năng được niêm yết ở đó, công ty báo cáo 341 kỹ năng là độc hại, với 335 trong số đó được truy vết đến một chiến dịch phối hợp duy nhất mà họ đặt tên là ClawHavoc. Đó chỉ là dưới 12 phần trăm của thị trường này. Tải trọng chính là Atomic Stealer, được biết đến với tên AMOS, một infostealer macOS phổ thông mà The Hacker News đưa tin có giá thuê khoảng 500–1.000 USD một tháng, và nó đến qua bước mà người dùng đã quá quen làm theo phản xạ — một mục "Prerequisites" bảo họ cài thêm một thứ trước. Người dùng Windows được dẫn đến một tệp ZIP được bảo vệ bằng mật khẩu trên GitHub; người dùng macOS được dẫn đến một lệnh shell được lưu trữ trên glot.io và được bảo dán lệnh đó vào Terminal. Mục của chính kho lưu trữ về chiến dịch này, cùng với xếp hạng mức độ nghiêm trọng và độ tin cậy, nằm trong Orca AI Incident Archive bên cạnh các sự cố chuỗi cung ứng khác được ghi nhận trong tuần đó.

Koi thực sự đã xem xét những gì

{{1}}ClawHub{{/1}} là một chợ cộng đồng nằm song song với {{2}}OpenClaw{{/2}}, một trợ lý AI tự lưu trữ trước đây được gọi là {{3}}Clawdbot{{/3}} và {{4}}Moltbot{{/4}}. Skills là cơ chế mở rộng: các hướng dẫn được đóng gói cùng script dạy tác nhân làm một việc cụ thể — đọc một ví {{5}}Solana{{/5}}, tóm tắt một video {{6}}YouTube{{/6}}, theo dõi giá trên {{7}}Polymarket{{/7}}. Cài đặt một kỹ năng nghĩa là cấp cho nó cùng phạm vi tiếp cận mà tác nhân có.

Koi đã thực hiện đợt kiểm tra của mình bằng một bot OpenClaw của riêng mình, tên là Alex, theo báo cáo ngày 2 tháng 2 của The Hacker News. Nhà nghiên cứu được trích dẫn trong báo cáo đó, Oren Yomtov, đã mô tả mồi nhử bằng những lời đơn giản: "Bạn cài đặt thứ trông giống như một kỹ năng hợp pháp — có thể là solana-wallet-tracker hoặc youtube-summarize-pro. Tài liệu của kỹ năng trông chuyên nghiệp. Nhưng có một phần 'Prerequisites' nói rằng bạn cần cài đặt thứ gì đó trước."

Lý do hoàn toàn có một thị trường để đầu độc là vì ClawHub mở theo mặc định. The Hacker News đưa tin rằng bất kỳ ai cũng có thể tải lên, và hạn chế duy nhất vào thời điểm đó là tài khoản GitHub của nhà xuất bản phải có tuổi đời ít nhất một tuần. Báo cáo của chính Koi mô tả nền tảng này là "hầu như không có cơ chế rà soát bảo mật nào", một câu mà Antiy CERT trích dẫn trong phân tích của chính mình.

Payload đã đến như thế nào

Cách phân phối khác nhau tùy theo hệ điều hành nhưng hình thức vẫn giống nhau: bản thân kỹ năng phần lớn là vô hại, và tác hại nằm ở hướng dẫn cài đặt.

• Trên Windows, tài liệu được liên kết tới một bản phát hành GitHub chứa tệp ZIP được bảo vệ bằng mật khẩu. Bên trong là một trojan có khả năng ghi nhật ký phím, nhắm vào khóa API, thông tin đăng nhập và bất cứ thứ gì khác mà bot trên máy đó vốn đã có thể truy cập — mà trên một máy chủ tác nhân thì đó là rất nhiều thứ. Báo cáo của Antiy CERT cho biết các tệp lưu trữ thường mang một trong ba mật khẩu (1202, openclaw hoặc 1234) và lưu ý mục đích của việc mã hóa: nó giúp tệp vượt qua cơ chế quét của chính GitHub và vượt qua quét thời gian thực trên máy nạn nhân.

• Trên macOS, tài liệu hướng dẫn người dùng sao chép một tập lệnh được lưu trữ tại glot[.]io và dán vào Terminal. Tập lệnh này chạy các lệnh shell bị làm rối, truy cập 91.92.242[.]30 để lấy tập lệnh thứ hai, và tập lệnh đó tải về một tệp nhị phân Mach-O phổ quát — một bản dựng dùng chung cho cả Intel lẫn Apple Silicon.

Koi đánh giá rằng tệp nhị phân đó có những đặc điểm phù hợp với AMOS. OpenSourceMalware, tổ chức nghiên cứu do Paul McCarty điều hành, đã báo cáo về cùng chiến dịch đó vào cùng ngày và đánh giá mẫu của riêng mình hơi khác một chút: có lẽ là một chủng NovaStealer mới. Hai báo cáo nhất trí về cơ sở hạ tầng, mồi nhử và dữ liệu bị nhắm mục tiêu — khóa API sàn giao dịch, tệp ví, dữ liệu tiện ích mở rộng trình duyệt bao gồm MetaMask, cụm từ khôi phục, Chuỗi khóa macOS, mật khẩu trình duyệt đã lưu, khóa SSH, thông tin đăng nhập đám mây và Git, các tệp .env — nhưng không thống nhất chính xác về nhãn họ. Cả hai cách quy kết đều là của chính các nhà nghiên cứu.

Không phải kỹ năng độc hại nào cũng là mồi nhử điều kiện tiên quyết của ClawHavoc. Koi đã báo cáo các kỹ năng — bao gồm better-polymarket và polymarket-all-in-one — mà đã ẩn cửa hậu reverse-shell bên trong mã vẫn hoạt động bình thường, nên việc xâm nhập xảy ra khi sử dụng bình thường chứ không phải khi cài đặt. Một kỹ năng khác, rankaj, đã gửi thông tin đăng nhập bot được lưu trong ~/.clawdbot/.env đến một điểm cuối webhook[.]site. Các tên được tạo ra để dễ bị đọc nhầm khi đọc nhanh: clawhubb, cllawhub, clawwhub, clawhubcli, cùng với các tên na ná crypto, YouTube, auto-updater và Google Workspace.

Antiy CERT bổ sung một chi tiết đáng lưu ý, được họ đưa ra như một đánh giá chứ không phải một phát hiện: họ nói rằng tài liệu hỗ trợ cho các kỹ năng này dài 500–700 dòng và "có khả năng chính chúng được tạo ra bởi AI". Đó là một suy luận dựa trên độ dài và tính nhất quán của các tài liệu, chứ không phải điều mà báo cáo chứng minh được.

Số lượng không phải là một con số

Con số luôn bám theo ClawHavoc không ổn định, và lý do là các cuộc kiểm toán đã trả lời những câu hỏi khác nhau vào những ngày khác nhau.

Con số 341 của Koi là số lượng các tin đăng đang hoạt động tại thời điểm quét: 341 mục độc hại trong số 2,857 kỹ năng mà nó kiểm tra, 335 trong số đó thuộc một chiến dịch. Số liệu của OpenSourceMalware mô tả một làn sóng công bố thay vì một ảnh chụp nhanh thị trường — 28 kỹ năng độc hại được xuất bản từ ngày 27 đến 29 tháng 1, sau đó thêm 386 kỹ năng từ ngày 31 tháng 1 đến ngày 2 tháng 2, được quy cho bảy tài khoản nhà xuất bản, với 354 trong đợt thứ hai đến từ một tài khoản duy nhất, hightower6eu. Con số 1,184 của Antiy CERT là số lượng lịch sử: các gói độc hại mà nó xác định trong kho lưu trữ của ClawHub tính đến ngày 5 tháng 2, được quy cho 12 ID tác giả, với hightower6eu ở mức 677 và sakaen736jih ở mức 390. Antiy cũng ghi nhận rằng 60 gói từ một người tải lên, moonshine-100rze, vẫn có thể truy cập tại thời điểm công bố và đã tích lũy được 14,285 lượt tải xuống, và rằng nền tảng đã có 3,498 kỹ năng sau khi các đợt gỡ bỏ quy mô lớn hoàn tất.

Sau đó là 824. Hồ sơ của kho lưu trữ ghi nhận con số này là một bản sửa đổi về sau, nhưng nó không truy về được một công bố sơ cấp có ghi ngày theo cách các con số khác truy về Koi, OpenSourceMalware và Antiy. Nơi nó xuất hiện là các bài bình luận của bên thứ ba về sau — chẳng hạn một bài đăng trên Hacker News tháng 3 năm 2026 của tác giả một trình quét kỹ năng, trong đó mô tả “824 kỹ năng độc hại (20% của ClawHub)” mà không nêu tên cuộc kiểm toán đằng sau con số đó. Phép tính ở đó cũng không khớp với các con số đã công bố khác: 824 hơi dưới 29 phần trăm của 2.857, nên “20 phần trăm” lại ngụ ý một mẫu số khác, không được nêu. Hãy coi đó là một con số đang lưu hành chứ không phải con số có phương pháp luận được công bố. Cảnh báo tương tự cũng áp dụng cho các biến thể “1.200+” xuất hiện trong các bài viết về sau.

Không cái nào trong số này là sai, mà đúng hơn là không thể so sánh được: danh sách tại một thời điểm, các ấn phẩm trong một khoảng thời gian và toàn bộ lịch sử của một kho lưu trữ là ba mẫu số khác nhau, và một biến thể typosquat có thể là một mục hoặc nhiều mục tùy thuộc vào cách bộ đếm nhóm chúng.

OpenClaw đã thay đổi những gì

Hai chuyện, cả hai đều diễn ra trong tuần sau khi Koi tiết lộ.

Đầu tiên là báo cáo của người dùng. Hacker News đưa tin rằng người sáng tạo OpenClaw, Peter Steinberger, đã phát hành một tính năng cho phép người dùng đã đăng nhập gắn cờ một skill, với tài liệu nêu rằng mỗi người dùng có thể có tối đa 20 báo cáo đang hoạt động và rằng "các skill có hơn 3 báo cáo riêng biệt sẽ tự động bị ẩn theo mặc định." Đó là một cơ chế phân loại xử lý, không phải một trình quét, và nó phụ thuộc vào việc có ai đó phát hiện ra trước tiên.

Thứ hai là quan hệ đối tác với VirusTotal, được OpenClaw công bố vào ngày 7 tháng 2 năm 2026. Như được mô tả trong bài đăng của chính OpenClaw: mỗi gói kỹ năng được đóng gói theo cách tất định vào một tệp ZIP với nén và dấu thời gian nhất quán, cùng với _meta.json mang dữ liệu về nhà phát hành và phiên bản; một mã băm SHA-256 được tạo ra; mã băm được đối chiếu với thông tin tình báo về mối đe dọa của VirusTotal, và nếu không có kết luận nào thì gói được tải lên thông qua API v3 của VirusTotal. Code Insight của VirusTotal — một bản đánh giá do LLM thực hiện mà bài đăng của OpenClaw nói là "được vận hành bởi Gemini" — đọc toàn bộ gói bắt đầu từ SKILL.md. Các kết luận định hướng hành động: những kỹ năng lành tính được tự động phê duyệt, những kỹ năng đáng ngờ có cảnh báo nhưng vẫn hiển thị, những kỹ năng độc hại bị chặn tải xuống. Tất cả các kỹ năng đang hoạt động được quét lại hằng ngày, và các trường hợp nghi ngờ dương tính giả được gửi đến [email protected].

OpenClaw đã nói rõ về những giới hạn trong cùng bài đăng đó, gọi việc tích hợp này là "không phải viên đạn bạc" và cảnh báo rằng "một lần quét sạch không có nghĩa là một skill an toàn", bởi vì thao túng bằng ngôn ngữ tự nhiên và prompt injection có thể không bị phát hiện bởi chữ ký hoặc cơ sở dữ liệu mối đe dọa. Đánh giá của Antiy CERT cũng chỉ ra theo cùng hướng từ góc nhìn bên ngoài: họ cho rằng tính năng báo cáo là cần thiết nhưng còn lâu mới đủ, và lập luận rằng phòng thủ ở quy mô cửa hàng cần phân tích tĩnh, phân tích mã và ngữ nghĩa, thực thi trong hộp cát và một đội phản ứng phía sau.

Điều gì đã được xác lập, và điều gì chưa.

Trước tiên, một lưu ý về nguồn thông tin, vì điều này quan trọng đối với mọi nội dung ở trên. Bài đăng gốc của Koi không còn truy cập được tại địa chỉ đã công bố. URL koi.ai được kho lưu trữ trích dẫn hiện chuyển hướng đến trang sản phẩm Cortex của Palo Alto Networks, sau thương vụ Palo Alto Networks mua lại Koi, mà công ty thông báo đã hoàn tất vào ngày 14 tháng 4 năm 2026. Vì vậy, các số liệu và trích dẫn của Koi ở đây được lấy từ những trang tin đã đọc báo cáo khi báo cáo còn được đăng trực tuyến — The Hacker News ngày 2 tháng 2, eSecurity Planet ngày 3 tháng 2, Gadget Review ngày 11 tháng 2 — và từ Antiy CERT, đơn vị trích dẫn trực tiếp báo cáo của Koi trong phân tích tháng 2 của chính mình. Bản thân bài đăng của Koi không thể được đọc để phục vụ bài viết này.

Đã xác định: Koi đã kiểm toán 2.857 kỹ năng và báo cáo 341 kỹ năng độc hại, 335 trong số đó thuộc một chiến dịch; cơ chế mồi nhử bằng điều kiện tiên quyết trên cả hai hệ điều hành; địa chỉ chỉ huy và điều khiển 91.92.242[.]30; reverse-shell và .env rò rỉ bất thường; tính năng báo cáo; và tích hợp VirusTotal với pipeline được mô tả ở trên. Không còn nghi ngờ gì về thiệt hại thực tế — Antiy ghi nhận 14.285 lượt tải xuống trên 60 gói vẫn còn truy cập được từ một người tải lên duy nhất, và OpenSourceMalware ước tính tổng của một nhà phát hành ở mức gần 7.000 lượt tải xuống — và dữ liệu mà các payload nhắm tới chính là dữ liệu mà một máy chủ agent tập trung: khóa ví, khóa API sàn giao dịch, khóa SSH, token đám mây, mật khẩu trình duyệt.

Khác biệt: số lượng, vì các lý do trong phần trên, và nhãn họ mã độc.

Chưa được xác lập, ít nhất là trong bất kỳ tài liệu công bố nào mà bài viết này có thể đọc được: có bao nhiêu người thực sự đã cài đặt một kỹ năng độc hại, bao nhiêu thông tin đăng nhập bị đánh cắp, hoặc liệu có dấu vết nào của số tiền hoặc khóa bị đánh cắp hay chưa. Antiy nói rằng các kỹ năng độc hại "đã được tải xuống hàng nghìn lần, lây nhiễm cho người dùng Windows và macOS" — đó là đánh giá về mức độ phơi nhiễm, không phải số lượng nạn nhân, và chưa có đơn vị công bố nào đưa ra con số đó. Việc liệu tất cả 341 danh mục có đang hoạt động tại thời điểm Koi công bố hay không cũng không được nêu rõ.

Sự thật bền vững nằm ở hình dạng của thất bại chứ không phải ở phép tính. Một chợ mà bất kỳ ai cũng có thể đăng lên, trong một hệ sinh thái nơi cài đặt một gói nghĩa là trao cho nó thông tin xác thực của agent, đã tạo ra một chiến dịch mà toàn bộ khai thác chỉ là một README bảo người dùng chạy thứ gì đó — và lớp phòng vệ tự động đầu tiên xuất hiện sáu ngày sau, nhắm vào chữ ký và đánh giá mô hình thay vì nhắm vào mô hình tin cậy đã khiến mồi nhử phát huy tác dụng.