Clawdbot (он же Moltbot): Персональный ИИ-дворецкий, который грабит ваш дом, пока вы ему объясняете задачу

В цирке современных технологий появился новый главный клоун, и имя ему - Clawdbot (он же, по требованию юристов Anthropic, Moltbot). Австрийский разработчик Петер Штайнбергер создал не просто игрушку, а цифровую мечту параноика: персональный ИИ-ассистент, который работает локально на твоём устройстве, не пожирает данные в облаках Big Tech и общается с тобой прямо в привычных мессенджерах - Telegram, WhatsApp, Signal. Идиллия? Ещё какая. Пока не выясняется, что твой «личный дворецкий» оставил парадную дверь нараспашку, а в гостиной уже пируют все желающие хакеры интернета.

Суть идеи гениальна в своей простоте: загружаешь себе этого бота, подключаешь свою любимую большую языковую модель (Claude, GPT, что угодно), и вот он - цифровой Джарвис, который работает на твоём собственном железе. Никаких подписок, никакой слежки (в теории). Он может читать твои сообщения, управлять календарём, выполнять команды. Настоящая кибер-утопия для гиков, которые умеют читать инструкции на GitHub. Ключевая фраза - «которые умеют». И так, история в трёх актах.

Акт 1: Золотая лихорадка и золотые жилы для хакеров

Пока айтишники ликовали, скачивая проект, набравший десятки тысяч звёзд, специалисты по кибербезопасности из SlowMist и просто любопытный исследователь Джеймисон О'Рейли включили свои сканеры. И что же они увидели? Сотни экземпляров Clawdbot, торчащих в интернете без какого-либо пароля, как голые задницы на нудистском пляже.

Проблема оказалась до идиотизма элегантной. В системе есть аутентификация, но она автоматически доверяет всем подключениям с localhost (127.0.0.1). Логично? Да, если ты тестируешь у себя на компе. Но 99% пользователей ставят эту штуку за reverse proxy (типа nginx или Caddy), который проксирует запросы снаружи. И система, видя, что запрос пришёл от прокси (который для неё «локальный»), радушно открывает двери любому прохожему из глобальной сети. Опция для настройки доверенных прокси есть, но по умолчанию она пуста. Типичная история: мощный функционал, настроенный на «просто-работай-из-коробки», с безопасностью на уровне «надейся-на-чудо».

Акт 2: Сокровищница на улице, или Что нашли в открытых инстансах

О'Рейли, вооружившись Shodan (сканером для поиска интернет-устройств), за пару секунд нашёл сотни таких «открытых контролей». Что внутри? Полный фарш цифровой жизни пользователя:

API-ключи к Anthropic Claude и OpenAI.

Токены ботов для Telegram, Slack, Discord.

OAuth-секреты для доступа к другим сервисам.

Полные истории переписок за месяцы со всех подключённых мессенджеров.

Но и это ещё не пик абсурда. О'Рейли наткнулся на инстанс, где пользователь подключил Signal. Временные файлы с данными для подключения (включая QR-коды) лежали в открытом доступе. Любой мог подключиться к чужому Signal-аккаунту простым тапом на телефоне.

Апофеозом стал случай с сервером некой AI-компании Archestra AI. Там публично доступный Clawdbot работал с правами root (суперпользователя). Гендиректор компании Матвей Кукуй за пять минут через prompt-инъекцию вытащил из системы приватный SSH-ключ. Пять минут от входа до полного контроля. «Дворецкий» не просто впустил вора - он вручил ему ключи от сейфа и показал, где лежат бриллианты.

Акт 3: Фундаментальный конфликт: Мощь vs. Безопасность

И вот здесь мы подходим к самому сочному противоречию. Clawdbot - не игрушка. Это автономный агент с доступом на уровне системы. Чтобы быть полезным, он ДОЛЖЕН:

Читать ваши сообщения.

Хранить ваши учётные данные (токены, ключи).

Выполнять команды в системе (запускать скрипты, управлять браузером).

Иметь постоянный доступ к сети.

Как метко отмечает сам проект в своём FAQ, «не существует идеально безопасной настройки для ИИ-агента с доступом к оболочке (shell)». Угрозы включают как попытки зловредов обмануть самого ИИ, так и прямые атаки на инфраструктуру, где он работает.

Вывод, который бьёт по лбу: архитектура, делающая таких агентов полезными, напрямую противоречит всем канонам безопасности, выстроенным за последние 20 лет. Песочницы, изоляция процессов, минимальные привилегии - всё это летит в тартарары, когда твоему ассистенту нужен полный доступ ко всему, чтобы заказать тебе пиццу или отправить email.

Эпилог: Будущее уже здесь, и оно просит пароль

SlowMist отчаянно рекомендует настраивать белые списки IP-адресов. О'Рейли отправил pull request с предложениями по усилению защиты. Все кричат, что софт, который обычно ставят за reverse proxy, должен сразу на это рассчитывать.

Но мораль этой истории глубже. Clawdbot/Moltbot - это первый массовый звоночек. Он показал, что экономика и удобство автономных ИИ-агентов неумолимы. Они будут плодиться. Но их безопасность - это не просто «поставь и забудь». Это постоянный осознанный выбор между функциональностью и риском, который сейчас делают тысячи гиков, даже не подозревая, что их «крутой локальный помощник» уже несколько дней как - публичный экспонат в музее чужих цифровых секретов.

Так что, прежде чем жать git clone, задайте себе простой вопрос: вы готовы быть не только пользователем будущего, но и его администратором безопасности? Потому что ваш ИИ-дворецкий уже ждёт инструкций. И эти инструкции могут прийти не только от вас.