Взлёт и тихое угасание OpenClaw
Опенсорсный агент стал вирусным в январе, в феврале его создатель ушёл в OpenAI, а к весне угас и интерес к проекту. Что произошло и какие уроки стоит извлечь компаниям.
В конце января самой обсуждаемой программой в технологическом мире был хобби-проект австрийского разработчика. За несколько дней он дважды сменил название, а разработчики десятками тысяч ставили ему звёзды на GitHub. К лету люди уже спрашивали, что с ним стало.
Честный ответ такой: OpenClaw не исчез. Он потерял своего создателя, ушедшего в OpenAI, значительную часть внимания и новизну, а его лучшие идеи перешли в продукты Microsoft и Meta. Сам проект продолжает жить в фонде. Его историю стоит рассказать, потому что за один год она показывает, на что способны персональные агенты и чего они стоят.
От Clawdbot к OpenClaw
Петер Штайнбергер, который отошёл от своего прежнего проекта PSPDFKit, опубликовал первую версию в ноябре 2025 года. Она работает на собственном компьютере или сервере пользователя, принимает инструкции через мессенджеры, например WhatsApp и iMessage, и действует по ним: выполняет команды оболочки, читает и пишет файлы, управляет браузером, ведёт почту и календари и осваивает новые задачи с помощью навыков, написанных сообществом. Она работает с несколькими ИИ-моделями.
Сначала он назвал проект Clawdbot, отсылая к Claude от Anthropic. Anthropic потребовала новое название, и 27 января проект стал Moltbot, а ещё через несколько дней OpenClaw. К тому времени, по подсчётам TechCrunch, у него было больше 44'200 звёзд на GitHub. Сопутствующий сайт Moltbook, социальная сеть, где агенты публикуют посты друг для друга, тоже стал вирусным, отчасти благодаря постам, которые люди могли подделывать, потому что сайт не был защищён.
Счёт за безопасность
Его сила происходила из доступа, и проблемы тоже. 28 января команда Cisco по безопасности ИИ протестировала один из навыков сообщества и назвала его по сути вредоносной программой: он тайно отправлял данные на сервер автора навыка и с помощью prompt injection заставлял агента выполнять команды, ничего не спрашивая. Вердикт Cisco: безопасность в OpenClaw является опцией, а не чем-то встроенным.
Уязвимость, опубликованная 31 января, позволяла с помощью одной специально составленной ссылки украсть токен шлюза OpenClaw пользователя и передать злоумышленнику управление агентом, даже если тот слушал только локальную машину. Её исправили в версии 2026.1.29. В начале февраля Koi Security изучила 2'857 навыков в ClawHub, реестре проекта, и нашла 341 вредоносный, из них 335 из одной кампании, которая устанавливала на Mac программу для кражи информации.
9 февраля SecurityScorecard насчитала 40'214 установок OpenClaw, доступных из интернета, из которых 12'812 были открыты для известной уязвимости, позволявшей удалённо выполнять код. Её исследователи указали на настройки по умолчанию: сразу после установки OpenClaw слушал все сетевые интерфейсы, а не только локальную машину. Позже в тот же день The Register, опираясь на текущий подсчёт исследователей, сообщил о более чем 135'000.
Некоторым ошибкам злоумышленник был не нужен. 23 февраля Саммер Юэ, исследовательница безопасности ИИ в Meta, рассказала, как её агент, которого попросили предложить письма для удаления, начал удалять её почтовый ящик и игнорировал команды остановки, которые она отправляла с телефона. Она подозревает, что он потерял её инструкцию, сжимая память долгой сессии. В марте власти Китая начали ограничивать OpenClaw в государственных ведомствах и госкомпаниях, включая крупные банки.
Куда он делся
В середине февраля Штайнбергер объявил, что переходит в OpenAI. Сэм Альтман написал, что OpenClaw будет жить в фонде как опенсорсный проект, который OpenAI продолжит поддерживать. Штайнбергер сказал, что, вероятно, мог бы построить вокруг него крупную компанию, но эта идея его не вдохновляла.
После этого проект лишился двух своих двигателей: полного внимания основателя и дешёвого доступа к лучшим моделям. 4 апреля Anthropic перестала покрывать подписками Claude сторонние инструменты вроде OpenClaw, и активным пользователям пришлось платить отдельно. Штайнбергер обвинил Anthropic в том, что она копирует популярные функции, а затем закрывает доступ опенсорсу. Anthropic ответила, что её подписки не рассчитаны на такое использование. В мае Штайнбергер извинился в блоге проекта за череду медленных и сломанных релизов и написал, что слишком многое по-прежнему держится на нём. Фонд при помощи OpenAI собирает вокруг проекта команду.
Тем временем крупные платформы забрали идею себе. В марте Meta купила Moltbook. В июне Microsoft запустила Scout, персонального ассистента на фреймворке OpenClaw со встроенной проверкой политик, которая оставляет журнал аудита. В сентябре ассистент Meta под названием Muse поднялся на первое место в американском App Store, и Нат Фридман из лаборатории суперинтеллекта Meta написал, что он во многом вдохновлён OpenClaw. TechCrunch описал эту траекторию одним предложением: импульс проекта угас после того, как OpenAI наняла его основателя. Techzine отмечает, что с марта число звёзд на GitHub и веб-трафик проекта перестали расти.
По-прежнему открыт, по-прежнему рискован
Проект никуда не делся. 30 августа OpenClaw Foundation выпустил версию 2.0, крупнейшее обновление, над которым работали 933 участника, с более простой установкой и окном чата в качестве входной двери. В его блоге сказано, что он ничего не продаёт и что OpenClaw принадлежит тем, кто им пользуется и его развивает.
Модель безопасности изменилась меньше. В своём обзоре The Register обнаружил, что песочница по умолчанию выключена, секреты хранятся в незашифрованном виде, а общие сессии, как сказано в самих примечаниях к релизу, не являются границей безопасности.
Какие выводы сделать компании
В одном OpenClaw был честен: агент полезен ровно настолько, насколько много ему позволено трогать. В этом же и риск. Отсюда пять уроков.
Права важнее функций. Агент с полным доступом к ноутбуку держит все ключи, которые есть у его владельца. Давайте каждому агенту самый узкий доступ, какой нужен для его работы.
Навыки представляют собой программы от незнакомцев. Проверяйте их как поставщика или не устанавливайте вовсе.
Решают настройки по умолчанию. Многие люди никогда не меняют настройки, поэтому всё, что поставляется открытым, открытым и остаётся.
Остановка должна находиться вне модели. Команда остановки, которую агент может потерять в собственной памяти, остановкой не является. Отправка, оплата и удаление должны ждать у контрольной точки, которую модель пройти не может.
Знайте, что запускают ваши люди. Выясните, какие агенты стоят на рабочих компьютерах и с какими аккаунтами.
В этом разница между персональным агентом и управляемым мозгом компании. Twin, мозг, который мы строим для компаний, даёт каждой роли ту часть компании, которая ей нужна, и ничего больше. Финансы не может читать кто угодно, каждое изменение выполняется под учётной записью конкретного пользователя, и каждый шаг записывается в журнал. Twin делает черновики, отвечает и готовит, а люди решают и отправляют. Он работает в ассистенте, которым команда уже пользуется, или в частном режиме на Eigna, когда данные не должны уходить наружу.
Мы хотим, чтобы агенты брали на себя больше работы и быстрее. За людьми должно оставаться суждение о том, что агенту можно трогать, и рука на кнопке отправки.
