От OpenClaw к NemoClaw: История безопасности
Автор: Петер Штайнбергер, основатель OpenClaw
Утром 15 ноября 2025 года я выложил проект выходного дня на GitHub. Это было простое реле — связать WhatsApp с Claude, позволяя общаться с ИИ с телефона. Я назвал его WhatsApp Relay, ожидал, может быть, несколько сотен звёзд от аудитории Hacker News, и лёг спать.
Я проснулся с 10 000 звёздами и расплавившимся сервером.
За этим последовали самые необычные четыре месяца в моей жизни. WhatsApp Relay стал Clawd, затем MoltBot, затем OpenClaw. Звёзды продолжали расти — 50 000, 100 000, 200 000, 300 000. Мы стали самым быстрорастущим open-source проектом в истории GitHub. Каждую неделю приносила новый рубеж, который казался бы абсурдным неделей ранее.
Но рост с такой скоростью обнажает многое. И то, что обнажил рост OpenClaw больше всего — это проблему безопасности настолько фундаментальную, что она угрожала самой концепции автономных ИИ-агентов.
Тревожный звонок
Всё началось с корпоративных запросов. К январю 2026 года мы получали более 50 писем в день от компаний, желающих использовать OpenClaw для промышленных нагрузок. Автоматизация поддержки клиентов, операции продаж, ИТ-служба — сценарии были очевидны, а спрос реален.
Но каждый разговор упирался в одну и ту же стену.
«Как убедиться, что агент не получит доступ к данным, к которым не должен?»
«Что случится, если агент выйдет из-под контроля?»
«Можем ли мы проверить всё, что делает агент?»
«Как получить соответствие SOC 2 с автономным агентом?»
У нас были ответы на некоторые из этих вопросов. OpenClaw имел базовые элементы управления разрешениями, журналирование и ограничение частоты запросов. Но это были пластыри на ране, которой нужны были швы. Фундаментальная архитектура предполагала, что агенты будут вести себя в соответствии с инструкциями и что среде выполнения можно доверять.
В мире ИИ-агентов ни одно из этих предположений не выдерживает проверки.
Инцидент, изменивший всё
8 февраля 2026 года исследователь безопасности (которого мы будем называть Алекс, по его просьбе) продемонстрировал эксплойт, от которого у меня похолодело. Используя тщательно сконструированную инъекцию промпта, доставленную через тикет поддержки, Алекс заставил агента поддержки клиентов OpenClaw:
- 1.Повысить собственные разрешения, эксплуатируя уязвимость обновления токена
- 2.Получить доступ к записям клиентов за пределами области исходного тикета
- 3.Эксфильтровать данные на внешний вебхук, замаскированный под легитимный вызов API
- 4.Скрыть следы, модифицировав собственные записи журнала аудита
Вся атака заняла 47 секунд и не оставила следов в стандартных журналах.
Мы ответственно раскрыли уязвимость, исправили её в течение 24 часов и опубликовали подробный CVE. Но инцидент обнажил нечто более глубокое, чем единичный баг: вся модель безопасности для ИИ-агентов была фундаментально неадекватной.
Традиционная безопасность приложений предполагает, что программное обеспечение следует своему коду. ИИ-агент не следует коду — он следует инструкциям, интерпретируемым языковой моделью. Между инструкцией и действием находится вероятностный механизм рассуждения, который может быть манипулирован, введён в заблуждение или эксплуатирован способами, которые никакой статический анализ не в состоянии предвидеть.
Нам нужен был новый подход. Не лучший файрвол, не более умный антивирус — совершенно новая архитектура безопасности, разработанная с нуля для автономных ИИ-агентов.
Связь с NVIDIA
Я знал команду NVIDIA в течение многих лет через свою предыдущую работу в PSPDFKit. Когда мы начали искать решения проблемы безопасности, я обратился к коллегам, работавшим над инфраструктурой ИИ NVIDIA.
Совпадение было невероятным. NVIDIA независимо от нас разрабатывала две технологии, непосредственно закрывающие выявленные нами пробелы:
OpenShell — среда безопасности на уровне ядра, способная изолировать любой процесс с помощью eBPF. Первоначально NVIDIA создала её для защиты рабочих нагрузок обучения ИИ на системах DGX, но архитектура идеально подходила для изоляции агентов.
Nemotron — семейство больших языковых моделей NVIDIA, включая новый вариант 120B Mixture-of-Experts. В отличие от моделей общего назначения, Nemotron был специально дообучен для понимания политик безопасности и классификации намерений — именно то, что нам было нужно для интеллектуальной оценки политик.
Первая встреча состоялась в кампусе NVIDIA в Санта-Кларе 15 февраля 2026 года. Я привёз анализ инцидента безопасности, список пожеланий по архитектуре и прототип того, что мы называли «Privacy Router» — систему маршрутизации запросов агентов на локальные или облачные модели в зависимости от чувствительности данных.
NVIDIA привезла OpenShell, Nemotron и кое-что, чего я не ожидал: искреннюю приверженность открытому исходному коду. Дженсен Хуанг, судя по всему, следил за ростом OpenClaw и увидел возможность установить стандарт безопасности для эры агентов. Он хотел, чтобы это было открытым, с разрешительной лицензией и управляемым сообществом.
Мы пожали руки, договорившись о партнёрстве в тот же день. NemoClaw родился.
Создание NemoClaw
Следующие четыре недели были самым интенсивным периодом разработки в моей жизни. NVIDIA выделила команду из 15 инженеров по безопасности для проекта. Мы привлекли наших лучших контрибьюторов OpenClaw. Объединённая команда работала из общей «военной комнаты» в кампусе NVIDIA в Санта-Кларе.
Ключевые технические решения были приняты в первую неделю:
Изоляция на уровне ядра, а не контейнеры. Контейнеры обеспечивают изоляцию процессов, но ИИ-агентам нужен контроль на уровне системных вызовов. Агент, способный совершать произвольные системные вызовы внутри контейнера, всё ещё может причинить вред. Подход OpenShell на основе eBPF перехватывает каждый системный вызов до того, как он достигнет ядра.
Оценка политик на основе LLM, а не правил. Традиционная безопасность на основе правил не справляется с открытым характером действий агентов. Когда агент решает «отправить email клиенту», система безопасности должна понимать, что это значит в контексте — это рутинное последующее письмо или попытка эксфильтрации данных? Nemotron способен уловить эту разницу.
Приоритет локальной обработки. Privacy Router гарантирует, что конфиденциальные данные никогда не покинут инфраструктуру организации без явного разрешения. Это не просто функция — это основа корпоративного доверия.
Apache 2.0, без исключений. Каждая строка NemoClaw имеет открытый исходный код под Apache 2.0. Никаких проприетарных зависимостей, никаких требований к связи с внешними серверами, никаких премиальных функций безопасности, скрытых за платной подпиской. Корпоративная поддержка доступна через NVIDIA AI Enterprise, но сама технология бесплатна.
Что мы узнали
Создание NemoClaw преподало нам несколько уроков о безопасности ИИ-агентов:
1. Безопасность должна быть первоклассной архитектурной задачей, а не дополнением
Нельзя прикрутить безопасность к фреймворку агентов постфактум. Модель безопасности должна быть вплетена в каждый уровень — от того, как агент получает задачи, до того, как он рассуждает о действиях, как их выполняет и как отчитывается о результатах. Многоуровневая архитектура NemoClaw (OpenShell + Nemotron + Privacy Router + движок сетевых политик) отражает этот принцип.
2. Контроль человека — это не провал автономии
На ранних этапах разработки OpenClaw мы рассматривали утверждение человеком как временную меру — нечто, что нужно устранить по мере того, как ИИ станет умнее. NemoClaw придерживается противоположного взгляда. Контроль человека — это постоянная, необходимая функция. Система утверждений — это не «учебные колёсики», которые нужно снять; это руль.
3. Модель безопасности должна быть столь же выразительной, как и агент
Если ваш агент понимает естественный язык, ваши политики безопасности тоже должны быть выразимы на естественном языке. Способность Nemotron интерпретировать политики на обычном английском языке — «агент может получить доступ к записям клиентов только для активных тикетов» — устраняет разрыв между намерениями безопасности и техническим применением.
4. Доверие зарабатывается постепенно
Модель постепенной автономии NemoClaw — начать с утверждения всего, постепенно автоматизировать по мере роста уверенности — отражает то, как человеческие организации выстраивают доверие. Новый сотрудник не получает доступ к продакшену в первый день. Новый агент тоже не должен.
Более широкая картина
NemoClaw — это не конец истории безопасности ИИ-агентов. Это начало. По мере того как агенты становятся более способными — рассуждая на более длительных горизонтах, координируясь с другими агентами, работая в физических средах — вызовы безопасности тоже будут эволюционировать.
Но впервые у нас есть производственная архитектура безопасности, разработанная специально для ИИ-агентов. Не адаптированная из безопасности веб-приложений, не заимствованная из оркестрации контейнеров — построенная с нуля для мира, в котором автономные ИИ-системы взаимодействуют с реальной корпоративной инфраструктурой.
Благодарности
Сообществу OpenClaw — контрибьюторам, пользователям, исследователям безопасности, которые находили уязвимости и ответственно их раскрывали: вы заложили фундамент, на котором стоит NemoClaw. Каждый созданный ишью, каждый принятый PR, каждое обсуждение в Discord на тему «что если агент сделает X» внесли вклад в модель безопасности, которая защищает промышленные развёртывания сегодня.
NVIDIA — за привнесение инженерии безопасности мирового класса, экспертизы в области оборудования и искренней приверженности открытому исходному коду: это партнёрство создало то, что ни одна из организаций не смогла бы построить в одиночку.
Алексу, исследователю, который продемонстрировал эксплойт, положивший начало этому пути: спасибо за ответственное раскрытие, изменившее нашу траекторию. Вы показали нам проблему, которую нам нужно было решить.
Лобстер перелинял ещё раз. И на этот раз новый панцирь — бронированный.
