“Вирощування раків” став вірусним явищем, експерти Національного центру інтернет-екстрених ситуацій та Китайського інституту інформаційних та комунікаційних технологій попереджають про ризики

Офіційне попередження про ризики.

10 березня Національний центр реагування на інтернет-інциденти опублікував попередження про безпеку застосунку OpenClaw. У попередні часи через неправильне встановлення та використання інтелектуального агента OpenClaw виникли серйозні ризики безпеки, зокрема ризик «інжекції підказок», ризик «неправильних дій», ризик зараження функціональних плагінів (skills), вразливості безпеки.

Національний центр реагування на інтернет-інциденти рекомендує відповідним організаціям та користувачам вжити таких заходів безпеки при розгортанні та використанні OpenClaw:

1. Посилити контроль мережі, не відкривати стандартний порт управління OpenClaw у публічному доступі, забезпечити безпеку доступу за допомогою аутентифікації, контролю доступу та інших заходів безпеки. Провести сувору ізоляцію робочого середовища, використовувати технології контейнеризації для обмеження високих привілеїв OpenClaw.

2. Посилити управління обліковими даними, уникати збереження ключів у відкритому вигляді у змінних середовища; створити повну систему аудиту операційних журналів.

3. Строго контролювати джерела плагінів, заборонити автоматичне оновлення, встановлювати лише підписані та перевірені розширення з довірених джерел.

4. Постійно слідкувати за оновленнями патчів та безпеки, своєчасно оновлювати версії та встановлювати безпекові патчі.

У той же день газета «Женьмінь жибао» повідомила, що Платформа обміну інформацією про загрози безпеці та вразливості Міністерства промисловості та інформаційних технологій також опублікувала відповідне попередження. У зв’язку з цим заступник директора Інституту зв’язку та інформаційних технологій Китаю Вей Лянь зазначив, що оновлення інтелектуального агента «Люба» дуже швидке, і оновлення до останньої офіційної версії дійсно може виправити відомі вразливості безпеки, але це не означає повного усунення ризиків. Як локальний AI-агент, «Люба» має здатність до самостійних рішень і виклику системних ресурсів, а також через нечіткість меж довіри та відсутність строгого контролю за ринком плагінів існує багато ризиків. Наприклад, при виклику великих мовних моделей можливо неправильне розуміння команд користувача, що може призвести до виконання шкідливих дій, таких як видалення даних. Використання плагінів із вбудованим зловмисним кодом може спричинити витік даних або контроль над системою. Через налаштування, такі як відкритий доступ до інстанцій через інтернет, використання адміністраторських прав, збереження ключів у відкритому вигляді, навіть при оновленні до останньої версії існує ризик атаки, якщо не вжити відповідних заходів безпеки. Безпека мережі є динамічною, методи хакерських атак постійно удосконалюються, тому «патчі» та «оновлення версій» не можна вважати єдиним і остаточним засобом захисту.

Вей Лянь закликав державні органи, підприємства, установи та приватних користувачів обережно використовувати інтелектуальні агенти типу «Люба». У разі виявлення вразливостей або загроз безпеці, пов’язаних із «Люба», слід першочергово повідомляти про це Платформу обміну інформацією про загрози та вразливості Міністерства промисловості та інформаційних технологій. За вимогами «Положення про управління вразливостями у мережевих продуктах», платформа оперативно організує реагування для захисту безпеки мережі та інтересів користувачів.

(Джерело: DataBao)