CertiK thực tế: Kỹ năng OpenClaw có lỗ hổng như thế nào vượt qua kiểm duyệt, kiểm soát máy tính không được phép

Gần đây, nền tảng AI thông minh tự quản mở nguồn OpenClaw (thường gọi trong ngành là “Tôm Hùm”) đã nhanh chóng nổi bật nhờ khả năng mở rộng linh hoạt và tính tự chủ trong triển khai, trở thành sản phẩm nổi bật trong lĩnh vực AI cá nhân. Trọng tâm của hệ sinh thái này là Clawhub, như một thị trường ứng dụng, tập hợp hàng loạt plugin Skill của bên thứ ba, cho phép AI mở khóa các khả năng cao cấp chỉ với một cú nhấp chuột, từ tìm kiếm web, sáng tạo nội dung, đến vận hành ví tiền mã hóa, tương tác trên chuỗi, tự động hóa hệ thống, v.v. Quy mô hệ sinh thái và lượng người dùng đang bùng nổ.

Tuy nhiên, đối với các Skill của bên thứ ba hoạt động trong môi trường có quyền hạn cao như vậy, ranh giới an toàn thực sự của nền tảng nằm ở đâu?

Gần đây, công ty an ninh Web3 lớn nhất thế giới CertiK đã công bố nghiên cứu mới nhất về an toàn Skill. Trong đó chỉ rõ, nhận thức về giới hạn an toàn của hệ sinh thái AI hiện tại đang có sự lệch lạc: ngành thường coi “quét mã Skill” là ranh giới an toàn cốt lõi, nhưng cơ chế này gần như vô dụng trước các cuộc tấn công của hacker.

Nếu so sánh OpenClaw như một hệ điều hành của thiết bị thông minh, thì Skill chính là các ứng dụng được cài đặt trong hệ thống đó. Khác với các ứng dụng tiêu dùng thông thường, một số Skill trong OpenClaw hoạt động trong môi trường có quyền cao, có thể truy cập trực tiếp vào tệp cục bộ, gọi các công cụ hệ thống, kết nối dịch vụ bên ngoài, thực thi lệnh trong môi trường chủ, thậm chí thao tác tài sản số mã hóa của người dùng. Một khi xảy ra vấn đề an ninh, hậu quả có thể là rò rỉ thông tin nhạy cảm, thiết bị bị kiểm soát từ xa, tài sản số bị đánh cắp, v.v.

Hiện tại, giải pháp an toàn chung cho các Skill của bên thứ ba trong ngành là “quét và duyệt trước khi đưa lên”. Clawhub của OpenClaw cũng xây dựng hệ thống kiểm duyệt ba lớp: tích hợp quét mã VirusTotal, động cơ kiểm tra mã tĩnh, kiểm tra tính nhất quán logic AI, gửi cảnh báo an toàn dựa trên phân loại rủi ro. Tuy nhiên, nghiên cứu của CertiK và các thử nghiệm tấn công xác thực đã chứng minh, hệ thống này còn nhiều điểm yếu trong thực chiến, không thể đảm bảo an toàn cốt lõi.

Nghiên cứu bắt đầu phân tích các giới hạn tự nhiên của cơ chế kiểm tra hiện tại:

Quy tắc kiểm tra tĩnh dễ bị vượt qua. Động cơ này chủ yếu dựa vào nhận dạng đặc trưng mã để phát hiện rủi ro, ví dụ như xem “đọc thông tin nhạy cảm môi trường + gửi yêu cầu mạng ra ngoài” là hành vi nguy hiểm cao. Nhưng hacker chỉ cần chỉnh sửa nhẹ cú pháp mã, giữ nguyên logic độc hại, là có thể qua mặt các quy tắc này, giống như đổi cách diễn đạt của nội dung nguy hiểm để hệ thống kiểm tra không phát hiện ra.

Kiểm tra AI có các điểm mù tự nhiên. Trọng tâm của AI trong Clawhub là “bộ kiểm tra tính nhất quán logic”, chỉ có thể phát hiện các mã độc rõ ràng như “chức năng không phù hợp với hành vi thực tế”, còn các lỗ hổng tiềm ẩn trong logic bình thường thì bất lực, giống như khó phát hiện các bẫy chết trong hợp đồng trông có vẻ hợp lệ.

Thêm vào đó, quy trình kiểm tra còn tồn tại thiết kế nền tảng thiếu sót: ngay cả khi kết quả quét của VirusTotal còn đang chờ xử lý, Skill chưa hoàn tất kiểm tra toàn diện vẫn có thể được đăng tải công khai, người dùng có thể cài đặt mà không cảnh báo, tạo điều kiện cho kẻ tấn công lợi dụng.

Để xác thực mức độ nguy hiểm thực sự, nhóm nghiên cứu của CertiK đã tiến hành thử nghiệm toàn diện. Nhóm phát triển một Skill tên là “test-web-searcher”, bề ngoài là công cụ tìm kiếm web hoàn toàn hợp lệ, mã nguồn tuân thủ quy chuẩn thông thường, nhưng thực chất đã cấy mã khai thác thực thi từ xa trong quá trình hoạt động bình thường.

Skill này đã vượt qua các kiểm tra tĩnh và AI, khi kết quả quét của VirusTotal vẫn còn trạng thái “chờ xử lý”, vẫn có thể cài đặt bình thường mà không có cảnh báo an ninh nào; cuối cùng, chỉ cần gửi lệnh từ xa qua Telegram, nó đã kích hoạt thành công lỗ hổng, thực thi lệnh tùy ý trên thiết bị chủ, thậm chí trong demo còn trực tiếp mở ra trình tính toán.

Trong nghiên cứu, CertiK nhấn mạnh rằng những vấn đề này không phải lỗi riêng của OpenClaw, mà là nhận thức sai phổ biến trong toàn ngành AI thông minh: ngành thường xem “quét mã” là ranh giới an toàn cốt lõi, nhưng bỏ qua nền tảng an toàn thực sự nằm ở cách cô lập bắt buộc khi vận hành và kiểm soát quyền hạn tinh vi. Điều này giống như hệ sinh thái iOS của Apple, nơi an toàn không dựa vào kiểm duyệt gắt gao của App Store, mà dựa vào cơ chế sandbox bắt buộc của hệ thống, kiểm soát quyền hạn chặt chẽ, mỗi ứng dụng chỉ chạy trong “khu vực cách ly” riêng biệt, không thể tùy ý truy cập quyền hệ thống. Trong khi đó, cơ chế sandbox của OpenClaw hiện là tùy chọn, không bắt buộc, phụ thuộc nhiều vào cấu hình thủ công của người dùng. Phần lớn người dùng, để đảm bảo chức năng của Skill hoạt động, sẽ tắt sandbox, dẫn đến trạng thái “lộ thiên”, dễ dẫn đến hậu quả thảm khốc nếu cài đặt Skill chứa lỗ hổng hoặc mã độc.

Về vấn đề này, CertiK cũng đưa ra các hướng dẫn an toàn:

● Đối với các nhà phát triển AI như OpenClaw, cần đặt chế độ cô lập sandbox làm cấu hình mặc định bắt buộc cho các Skill của bên thứ ba, xây dựng mô hình kiểm soát quyền hạn tinh vi, tuyệt đối không để mã của bên thứ ba mặc định thừa hưởng quyền cao của hệ thống chủ.

● Đối với người dùng phổ thông, các Skill có nhãn “an toàn” chỉ thể hiện rằng chúng chưa bị phát hiện có rủi ro, không đồng nghĩa hoàn toàn an toàn. Trước khi hệ thống kiểm duyệt nền tảng được thiết lập chế độ cô lập mạnh mẽ làm mặc định, nên cài đặt OpenClaw trên thiết bị không quan trọng hoặc máy ảo, tuyệt đối không để gần các tệp nhạy cảm, mật khẩu, hoặc tài sản mã hóa có giá trị cao.

Hiện tại, lĩnh vực AI thông minh đang bước vào giai đoạn bùng nổ, tốc độ mở rộng hệ sinh thái không thể vượt quá khả năng xây dựng an toàn. Quét mã chỉ có thể ngăn chặn các cuộc tấn công sơ cấp, nhưng không thể làm giới hạn an toàn cốt lõi của các AI có quyền cao. Chỉ có chuyển từ “đánh giá phát hiện hoàn hảo” sang “ngăn chặn thiệt hại do rủi ro tồn tại mặc định”, từ việc bắt buộc cô lập ở tầng vận hành, mới có thể thực sự giữ vững giới hạn an toàn của AI, giúp cuộc cách mạng công nghệ này phát triển bền vững.