2026 OpenClaw ClawHub: аудит безопасности skills и production whitelist
ClawHavoc · clawhub inspect/pin · allowBundled

После supply-chain кампании ClawHavoc в начале 2026 многие команды боятся ставить сторонние skills из маркетплейса ClawHub, хотя без plugin-экосистемы Gateway не масштабируется. Статья для команд с уже работающим Gateway, готовящих production rollout ClawHub skills: security runbook с clawhub inspect, clawhub pin, whitelist allowBundled, поэтапным rollout (read-only → write → system calls), ротацией ключей и openclaw doctor—дополняет гайд по установке, hardening Gateway и MCP whitelist.

01

ClawHavoc: почему «можно установить» ≠ «можно в production»

С февраля 2026 зафиксирована массовая отравка registry OpenClaw ClawHub под именем ClawHavoc: skills под видом crypto-tracker, YouTube-утилит и productivity-плагинов использовали ClickFix 2.0—social engineering в SKILL.md с «prerequisites» вроде curl | bash—для кражи API keys, env vars, macOS infostealer или Windows reverse shell. Koi Security находил до 12 % malicious entries; OpenClaw ввёл Phase-2 moderation с multi-signal arbitration. Registry scan не заменяет runtime governance в вашем кластере.

Skills исполняются в контексте процесса Gateway с его UID, env и file descriptors. Один malicious skill читает все Provider keys, доступные agent process—это прямой путь к lateral movement через MCP tools и exec hooks.

  • 01

    ClawHub как npm без фильтра: install потому что «есть в marketplace».

  • 02

    Доверие только stars/downloads: ClawHavoc накручивал метрики и подделывал slug.

  • 03

    Не читать SKILL.md: payload прячется в «environment setup».

  • 04

    Experiment и prod в одном workspace: ./skills и ~/.openclaw/skills смешивают write/exec между agents.

  • 05

    Patch CVE без inventory skills: после CVE-2026-25253 старые malicious skills остаются на диске.

  • 06

    MCP whitelist не синхронизирован: новые tools из skill без записи в openclaw.json обходят exec approval.

  • Data point 1: в disclosures ClawHavoc один актор загрузил 300+ malicious packages (конец января 2026).
  • Data point 2: CVE-2026-25253 CVSS 8.8 — local Gateway WebSocket без origin check → token hijack; в связке со skill риск умножается.
  • Data point 3: moderation OpenClaw 2026: минимум 2 независимых signal families для «suspicious»; один decisive «malicious» → ban—production всё равно assume breach.
02

Decision matrix: источник skill vs production readiness

ИсточникAudit costФазаГлавный риск
Bundled (npm ship)Низкий; + allowBundledProduction baselineОграниченный функционал; upgrade привязан к релизу OpenClaw
In-house ./skillsКонтролируемый; internal PRProd customizationMaintenance; pin версий
ClawHub high-trustСредний; inspect + manual SKILL.mdStaging / read-onlyCompromised author; malicious update diff
ClawHub new / low downloadsВысокий; isolated VMТолько labClawHavoc clone, ClickFix
First installOnboardingСм. ClawHub install guide

«Registry clean» = текущий scan passed. Production standard: кто установил, какая версия, какие keys reachable, rollback за 10 минут.

03

6-step runbook: от inspect до production whitelist

Предпосылка: Gateway daemon через openclaw onboard --install-daemon. Docker isolation: Compose production volumes; Linux systemd: Ubuntu systemd.

  1. 01

    Inventory: openclaw skills list + clawhub list; slug, version, path (workspace ./skills vs ~/.openclaw/skills).

  2. 02

    Pre-install inspect: clawhub search "keyword"clawhub inspect <slug>; moderation verdict, author portfolio, changelog spikes.

  3. 03

    Isolated trial: non-prod workspace, clawhub install <slug>; полный SKILL.md; reject curl/bash с non-official domains.

  4. 04

    pin + read-only: после acceptance clawhub pin <slug>; agent без write/exec; + exec approval и networkPolicy.

  5. 05

    allowBundled whitelist: в openclaw.json skills.allowBundled только bundled + pinned slugs; остальное через change ticket.

  6. 06

    doctor + observability: openclaw doctor --deep; openclaw logs --follow после новой session; cross-check MCP tool registry.

bash
# 2026 ClawHub production selection — audit → trial → pin → whitelist
openclaw skills list
clawhub list

clawhub search "summarize"
clawhub inspect summarize-web --version latest

# Isolated workspace (example)
cd ~/openclaw-staging && clawhub install summarize-web
grep -R "curl\|bash\|wget" skills/*/SKILL.md

clawhub pin summarize-web
openclaw config set skills.allowBundled '["memory-core","summarize-web"]'
openclaw gateway restart
openclaw doctor --deep
info

Tip: clawhub update --all ломает pin discipline—prod cron только ticket-driven updates с re-inspect в staging.

warning

Warning: SKILL.md с export API keys в shell profile — plaintext в env Gateway; используйте openclaw configure или SecretRef.

04

Incident response, key rotation и выбор хоста

При подозрении на malicious skill: revoke → clean → rotate.

  1. 01

    Stop Gateway: openclaw gateway stop или systemd stop—блок outbound.

  2. 02

    Uninstall skill: clawhub uninstall <slug> или удалить skills/<slug>/; проверить crontab/LaunchAgent на persistence.

  3. 03

    Rotate credentials: все LLM Provider keys, Brave Search, Gateway token (gateway.auth.token); spikes в консолях провайдеров.

  4. 04

    Re-acceptance: openclaw doctor --fix + auth troubleshooting.

Trial skills на ноутбуке или shared VPS смешивает experiment dir и prod Gateway под одним UID—Provider keys на том же host. Unsupported macOS VM без snapshot rollback усложняет forensics; Metal/signing debt накапливается при каждом Xcode bump.

Workflow staging skill trial → pin → promote to prod стабильнее на dedicated snapshot-capable macOS node с SSH, как VPS, но с native Apple toolchain. Для команд, которым нужна обслуживаемая Mac capacity со стандартным runbook-образом, аренда Mac Mini в облаке NodeMini обычно оптимальнее—в связке с remote Mac launchd и iOS CI на той же машине, без collision «malware trial + prod keys» на одном device.

FAQ

Частые вопросы

Да, с audit-before-install: inspect, pin, allowBundled в production. Основы: ClawHub guide.

allowBundled — какие skills загружаются; MCP whitelist — какие external tools они вызывают. См. MCP article.

Разделяйте trial и prod; specs и billing: цены аренды, подключение: help center.