Je viens d'apprendre quelque chose de très préoccupant concernant ClawHub, le marché de compétences d'OpenClaw. Les chercheurs d'Awesome Agents ont découvert que la plateforme a été la cible d'une attaque massive dans la chaîne d'approvisionnement, avec pas moins de 1 184 compétences malveillantes confirmées. Il s'agit d'un seul attaquant qui a réussi à télécharger 677 paquets malveillants, ce qui représente 57 % de la contamination totale.

Ce qui attire le plus l'attention, c'est l'ampleur du problème. Plus de 135 000 instances exposées d'OpenClaw sont dispersées dans 82 pays. Et si cela ne suffisait pas, 36,8 % des compétences disponibles sur ClawHub présentent au moins une vulnérabilité de sécurité. Ce n'est pas un détail mineur.

Ces compétences malveillantes sont conçues pour voler pratiquement tout : clés SSH, portefeuilles de cryptomonnaies, mots de passe de navigateur, et même activer des shells inversés. Elles utilisent des techniques d'ingénierie sociale telles que ClickFix et l'injection de prompts pour tromper à la fois les utilisateurs et les agents d'IA.

Le cas le plus notable est la compétence appelée 'What Would Elon Do', qui est arrivée en première position avec 4 000 téléchargements frauduleux. Il s'avère qu'elle comportait 9 vulnérabilités, dont deux critiques. Assez inquiétant, en vérité.

La bonne nouvelle, c'est qu'OpenClaw a réagi rapidement et a collaboré avec VirusTotal pour analyser toutes les compétences de la plateforme. VirusTotal a été essentiel pour identifier et vérifier l'ampleur de ces menaces. Ils ont également systématiquement supprimé les listes malveillantes.

Si vous avez utilisé une compétence de ClawHub, les experts recommandent de ne pas attendre : changez toutes vos identifiants, révoquez vos clés API et vérifiez votre configuration de sécurité. Ce n'est pas de la paranoïa, c'est une précaution de base. VirusTotal et d'autres outils d'analyse de sécurité peuvent vous aider à vérifier si quelque chose dans votre système a été compromis. C'est le moment de revoir ce que vous installez et d'où vous le tirez.