העלייה והדעיכה השקטה של OpenClaw
סוכן הקוד הפתוח הפך לוויראלי בינואר, איבד את היוצר שלו ל־OpenAI בפברואר ואת הזרקור עד האביב. מה קרה, ומה חברות צריכות ללמוד.
בסוף ינואר, התוכנה הכי מדוברת בעולם הטכנולוגיה הייתה פרויקט תחביב של מפתח אוסטרי. היא החליפה את שמה פעמיים בתוך כמה ימים, ומפתחים סימנו אותה בכוכב ב־GitHub בעשרות אלפים. עד הקיץ אנשים כבר שאלו מה קרה לה.
התשובה הכנה היא ש־OpenClaw לא נעלמה. היא איבדה את היוצר שלה ל־OpenAI, חלק גדול מתשומת הלב ואת החידוש שבה, והרעיונות הטובים ביותר שלה עברו למוצרים של Microsoft ו־Meta. הפרויקט עצמו ממשיך לחיות בקרן. כדאי לספר את הסיפור שלו, כי הוא מראה, בשנה אחת, מה סוכנים אישיים יכולים לעשות ומה הם עולים.
מ־Clawdbot ל־OpenClaw
פיטר שטיינברגר, שהתרחק קודם לכן מהפרויקט הקודם שלו PSPDFKit, פרסם את הגרסה הראשונה בנובמבר 2025. היא רצה על המחשב או השרת של המשתמש עצמו, מקבלת הוראות דרך אפליקציות מסרים כמו WhatsApp ו־iMessage, ופועלת לפיהן: מריצה פקודות shell, קוראת וכותבת קבצים, שולטת בדפדפן, מנהלת אימייל ויומנים, ולומדת משימות חדשות ממיומנויות שכותבת הקהילה שלה. היא עובדת עם כמה מודלי בינה מלאכותית.
בהתחלה הוא קרא לה Clawdbot, קריצה ל־Claude של Anthropic. Anthropic דרשה שם חדש, וב־27 בינואר היא הפכה ל־Moltbot, ואחרי כמה ימים ל־OpenClaw. עד אז היו לה יותר מ־44,200 כוכבים ב־GitHub, לפי הספירה של TechCrunch. אתר נלווה, Moltbook, רשת חברתית שבה סוכנים מפרסמים פוסטים זה לזה, הפך גם הוא לוויראלי, בין השאר בזכות פוסטים שאנשים יכלו לזייף כי האתר לא היה מאובטח.
החשבון של האבטחה
הכוח שלה בא מהגישה, וכך גם הבעיות שלה. ב־28 בינואר בדק צוות אבטחת ה־AI של Cisco מיומנות של הקהילה וקבע שהיא, מבחינה תפקודית, נוזקה: היא שלחה בשקט נתונים לשרת שמפעיל כותב המיומנות, והשתמשה בהזרקת פרומפטים כדי לגרום לסוכן להריץ פקודות בלי לשאול. השורה התחתונה של Cisco הייתה שאבטחה ב־OpenClaw היא אופציה, לא משהו מובנה.
פרצה שפורסמה ב־31 בינואר אפשרה לקישור אחד שנבנה במיוחד לגנוב את הטוקן של שער ה־OpenClaw של המשתמש ולתת לתוקף שליטה בסוכן, גם כשהוא האזין רק למחשב המקומי. היא תוקנה בגרסה 2026.1.29. בתחילת פברואר בדקה Koi Security את המיומנויות ב־ClawHub, המאגר של הפרויקט: מתוך 2,857 שנבדקו, 341 היו זדוניות, ו־335 מהן הגיעו מקמפיין אחד שהתקין גונב מידע על מחשבי Mac.
ב־9 בפברואר מצאה SecurityScorecard שיש 40,214 התקנות של OpenClaw שאפשר להגיע אליהן מהאינטרנט, ו־12,812 מהן חשופות לפרצה ידועה שאפשרה הרצת קוד מרחוק. החוקרים שלה הצביעו על ברירת המחדל: מהקופסה, OpenClaw האזינה בכל ממשקי הרשת, לא רק במחשב המקומי. מאוחר יותר באותו יום דיווח The Register, לפי הספירה החיה של החוקרים, על יותר מ־135,000.
חלק מהטעויות לא היו צריכות תוקף. ב־23 בפברואר תיארה סאמר יו, חוקרת אבטחת בינה מלאכותית ב־Meta, איך הסוכן שלה, שהתבקש להציע מיילים למחיקה, התחיל למחוק את תיבת הדואר שלה והתעלם מפקודות העצירה ששלחה מהטלפון. היא חושדת שהוא איבד את ההוראה שלה בזמן שדחס את הזיכרון של סשן ארוך. במרץ פעלו הרשויות בסין להגביל את OpenClaw בסוכנויות ממשלתיות ובחברות בבעלות המדינה, כולל בנקים גדולים.
לאן היא הלכה
באמצע פברואר הודיע שטיינברגר שהוא מצטרף ל־OpenAI. סם אלטמן כתב ש־OpenClaw תמשיך לחיות בקרן כפרויקט קוד פתוח ש־OpenAI תמשיך לתמוך בו. שטיינברגר אמר שכנראה יכול היה לבנות סביבו חברה גדולה, ושהרעיון לא הלהיב אותו.
מכאן איבד הפרויקט שניים מהמנועים שלו: תשומת הלב המלאה של המייסד וגישה זולה למודלים הטובים ביותר. ב־4 באפריל הפסיקה Anthropic לאפשר למינויי Claude לכסות כלים של צד שלישי כמו OpenClaw, כך שמשתמשים כבדים נאלצו לשלם בנפרד. שטיינברגר האשים את Anthropic בהעתקת יכולות פופולריות ואז בנעילת הקוד הפתוח בחוץ. Anthropic אמרה שהמינויים שלה לא נבנו לשימוש מהסוג הזה. במאי התנצל שטיינברגר בבלוג של הפרויקט על רצף של גרסאות איטיות ושבורות, וכתב שעדיין יותר מדי נשען עליו. הקרן, בעזרת OpenAI, בונה צוות סביב הפרויקט.
בינתיים הפלטפורמות הגדולות לקחו את הרעיון. במרץ קנתה Meta את Moltbook. ביוני השיקה Microsoft את Scout, עוזר אישי שנבנה על מסגרת OpenClaw, עם בדיקת מדיניות מובנית שמשאירה עקבות לביקורת. בספטמבר הגיע העוזר Muse של Meta לראש ה־App Store האמריקאי, ונאט פרידמן ממעבדת הסופר־אינטליגנציה של Meta כתב שהוא שאב השראה רבה מ־OpenClaw. TechCrunch סיכם את הקשת במשפט אחד: התנופה של הפרויקט דעכה אחרי ש־OpenAI גייסה את המייסד שלו. Techzine מציין שהכוכבים שלו ב־GitHub ותנועת הגולשים שלו התייצבו מאז מרץ.
עדיין פתוח, עדיין מסוכן
הפרויקט לא נעלם. ב־30 באוגוסט שחררה OpenClaw Foundation את גרסה 2.0, העדכון הגדול ביותר שלה, שנבנה בידי 933 תורמים, עם התקנה פשוטה יותר וחלון צ׳אט כדלת הכניסה. בבלוג שלה נכתב שהיא לא מוכרת שום דבר, וש־OpenClaw שייכת לאנשים שמשתמשים בה ובונים אותה.
מודל האבטחה השתנה פחות. בסקירה שלו מצא The Register שארגז החול כבוי כברירת מחדל, שסודות שמורים לא מוצפנים במנוחה, ושסשנים משותפים, כפי שכתוב בהערות הגרסה עצמן, אינם גבול אבטחה.
מה חברה צריכה לקחת מזה
OpenClaw הייתה כנה לגבי דבר אחד: סוכן מועיל ביחס ישר למה שמותר לו לגעת בו. זה גם הסיכון. מכאן נובעים חמישה לקחים.
הרשאות לפני יכולות. לסוכן עם גישה מלאה למחשב נייד יש כל מפתח שיש לבעלים שלו. תנו לכל סוכן את הגישה הצרה ביותר שהתפקיד שלו דורש.
מיומנויות הן תוכנה מזרים. בדקו אותן כמו שבודקים ספק, או אל תתקינו אותן.
ברירות המחדל מכריעות. אנשים רבים אף פעם לא משנים הגדרה, אז כל מה שיוצא פתוח נשאר פתוח.
העצירה שייכת למקום מחוץ למודל. פקודת עצירה שהסוכן יכול לאבד בזיכרון של עצמו אינה עצירה. שליחה, תשלום ומחיקה צריכים להמתין בשער שהמודל לא יכול לעבור.
דעו מה האנשים שלכם מריצים. שאלו אילו סוכנים נמצאים על מחשבי החברה, ועם אילו חשבונות.
זה ההבדל בין סוכן אישי לבין מוח חברה מנוהל. Twin, המוח שאנחנו בונים לחברות, נותן לכל תפקיד את החלק בחברה שהוא צריך, ולא יותר. נתוני הכספים לא פתוחים לכולם, כל פעולת כתיבה מאומתת לפי משתמש, וכל צעד מתועד. Twin מנסח, עונה ומכין, ואנשים מחליטים ושולחים. הוא עובד בעוזר שהצוות כבר משתמש בו, או באופן פרטי על Eigna כשהנתונים לא יכולים לצאת.
אנחנו רוצים שסוכנים ייקחו על עצמם יותר מהעבודה, ומהר יותר. מה שצריך להישאר בידי אנשים הוא שיקול הדעת לגבי מה מותר לסוכן לגעת בו, והיד על הכפתור ששולח.
