משבר האבטחה של OpenClaw: מסיבת ה-Vibe Coding שהפכה לסיוט RCE

תקציר לממהרים: הפלטפורמה הוויראלית OpenClaw (לשעבר Moltbot) נמצאת תחת מתקפה. חולשת RCE קריטית (CVE-2026-25253) מאפשרת השתלטות מלאה על המכונה בלחיצה אחת, בעוד ששוק ה-Skills שלה מוצף בנוזקות.

ה-Dumpster Fire של עולם הסוכנים

OpenClaw, שהתפוצץ ב-GitHub עם מעל 150,000 כוכבים תוך שבוע, משלם כעת את מחיר ה-"Vibe Coding". מה שהתחיל כפרויקט קהילתי מלהיב הפך למשטח תקיפה עצום.

ציר הזמן של הכאוס:

• CVE-2026-25253 (One-Click RCE): חוקרים גילו כי ה-Control UI בוטח בפרמטר gatewayUrl ללא אימות. תוקף יכול לשלוח לינק זדוני שגונב את ה-Auth Token ומשתלט על ה-WebSocket של הסוכן.

• ההפקרות ב-ClawHub: סריקה של Snyk ו-Cisco חשפה כי כ-7.1% מה-Skills במרקטפלייס מכילים דליפות Credentials או נוזקות מכוונות לגניבת ארנקי קריפטו. קמפיין בשם "ClawHavoc" זוהה כמי שעומד מאחורי מאות סקילס זדוניים.

• בריחת תקציב (Compute Burn): משתמשים מדווחים על עלויות הזויות – סוכן ששרף 20$ בלילה רק כדי לבדוק את השעה, בשל לולאות טוקנים אינסופיות ל-Claude Opus.

ניתוח ארכיטקטוני: איפה טעינו?

הבעיה של OpenClaw אינה רק "באג", אלא פגם תכנוני. הסוכן רץ עם הרשאות Shell וגישה לקבצים ללא Sandbox דיפולטיבי או אימות Origin ב-WebSockets.

מה עושים עכשיו?

1. Update: עדכנו מיד לגרסה 2026.1.29 שמוסיפה אימות Gateway.

2. Rotate: החליפו כל API Key שהיה נגיש לסוכן.

3. Sandbox: השתמשו ב-Docker מבודד ואל תתנו לסוכן גישה ל-Host machine.