В OpenClaw обнаружена уязвимость «самоатаки»: ошибочное выполнение Bash-команды привело к утечке ключей
BlockBeats сообщает, что 5 марта Web3 компания GoPlus, занимающаяся безопасностью, опубликовала сообщение о том, что инструмент для разработки AI OpenClaw недавно подвергся инциденту «самоатаки». При выполнении автоматизированных задач система при вызове Shell-команды для создания GitHub Issue сформировала ошибочную Bash-инструкцию, что случайно привело к инъекции команд и раскрытию большого количества чувствительных переменных среды.
В ходе инцидента строка, сгенерированная AI, содержала set, заключённый в обратные кавычки, что Bash интерпретировал как подстановку команды и автоматически выполнил. Поскольку Bash при выполнении set без параметров выводит все текущие переменные среды, в результате более 100 строк конфиденциальной информации (включая ключи Telegram, токены аутентификации и др.) были напрямую записаны в GitHub Issue и опубликованы.
GoPlus рекомендует при автоматизированной разработке или тестировании с использованием AI по возможности применять вызовы API вместо прямого объединения Shell-команд, соблюдать принцип минимальных привилегий для изоляции переменных среды, отключать режимы с высоким риском выполнения и внедрять ручной аудит для ключевых операций.
Дисклеймер: содержание этой статьи отражает исключительно мнение автора и не представляет платформу в каком-либо качестве. Данная статья не должна являться ориентиром при принятии инвестиционных решений.
Вам также может понравиться
Sony (SONY.US) пропустит выставку CES 2027 года и после прекращения совместного предприятия с Honda (HMC.US) сосредоточит внимание на развлекательном контенте.
Группа Sony (SONY.US) не будет участвовать в Международной выставке потребительской электроники (CES) в 2027 году, завершив многолетнюю историю участия в этом электронном событии в Лас-Вегасе и сосредоточившись на бизнесе развлекательного контента.
Риски вмешательства снова возрастают! После поступающих сигналов из США и Японии главный японский валютный чиновник предупреждает: рынок должен воспринимать это всерьез.
Ацумура Сандзу заявил в понедельник, что рынки должны серьезно отнестись к "очень ясному" сигналу, который Токио и Вашингтон дали по поводу иены на прошлой неделе. Его заявление указывает на готовность предпринять меры для сдерживания чрезмерного ослабления иены.
Barrick Mining (B.US) и профсоюз золотодобытчиков Mali достигли коллективного соглашения, угроза забастовки снята.
Компания Barrick Gold достигла соглашения с профсоюзом золотодобытчиков в Мали, снизив угрозу забастовки.
Цены на крипто
Далее
