Hackers inyectan 341 complementos maliciosos en OpenClaw AI
Un ataque de envenenamiento de la cadena de suministro a gran escala ha comprometido el proyecto de agente de IA de código abierto OpenClaw. Según los hallazgos del equipo de seguridad de SlowMist, los hackers subieron con éxito 341 complementos maliciosos, denominados «habilidades», a ClawHub, el mercado oficial de complementos del proyecto. El ataque se atribuye al grupo de hackers Poseidon y representa una importante brecha de seguridad dirigida a los usuarios y desarrolladores que construyen sobre la plataforma OpenClaw.
Los atacantes ocultaron su código malicioso dentro de archivos SKILL.md, que se utilizan típicamente para la documentación. Al incrustar comandos codificados en Base64, los complementos fueron diseñados para evadir la detección mientras ejecutaban comandos para robar contraseñas sensibles de los usuarios y exfiltrar datos del sistema anfitrión. Este método explota la confianza inherente en los ecosistemas de código abierto, convirtiendo una plataforma colaborativa en un vehículo para el robo de datos.
El ataque expone vulnerabilidades críticas en la seguridad de la IA
Este incidente destaca un vector de amenaza crítico y emergente para la industria de la inteligencia artificial. Al atacar la cadena de suministro de una plataforma de agente de IA, los atacantes no solo comprometen una sola aplicación, sino todo el ecosistema de desarrolladores y usuarios que dependen de sus componentes compartidos. La vulnerabilidad en ClawHub demuestra cómo los mercados de complementos y extensiones pueden convertirse en caballos de Troya para ataques sofisticados.
Las consecuencias de esta brecha podrían dañar gravemente la confianza de los desarrolladores y usuarios en el proyecto OpenClaw. De manera más amplia, sirve como una dura advertencia para todo el sector de agentes de IA, que depende en gran medida de la colaboración de código abierto. El ataque podría desencadenar un mayor escrutinio de seguridad en plataformas similares, lo que podría conducir a una desaceleración en la adopción a medida que la industria lucha por establecer protocolos de verificación y seguridad más robustos para las contribuciones de terceros.
