SlowMist : ClawHub devient progressivement une nouvelle cible pour les attaquants cherchant à compromettre la chaîne d'approvisionnement

PANews 9 février – Selon une surveillance de SlowFog, le centre de plugins officiel ClawHub du projet open source AI Agent OpenClaw devient progressivement une nouvelle cible pour les attaquants cherchant à injecter des toxines dans la chaîne d’approvisionnement. En raison de l’absence de mécanismes de vérification stricts et complets sur la plateforme, de nombreux skills malveillants ont été intégrés, utilisés pour diffuser du code malveillant ou du contenu nuisible, ce qui présente des risques potentiels pour la sécurité des développeurs et des utilisateurs. Selon un rapport de Koi Security, sur l’analyse de 2 857 skills, 341 ont été identifiés comme malveillants, illustrant une forme typique de « toxination de la chaîne d’approvisionnement du marché des plugins/extensions ».

SlowFog recommande de ne pas considérer la section « Étapes d’installation » du fichier SKILL.md comme une source fiable, toute commande nécessitant une copie-coller doit être préalablement auditée ; rester vigilant face aux messages demandant d’« entrer le mot de passe système / accorder des fonctionnalités d’assistance / modifier les paramètres système », car cela constitue souvent un point de vulnérabilité ; privilégier l’obtention des dépendances et outils via des canaux officiels, et éviter d’exécuter des scripts d’installation provenant de sources inconnues.