«Этот лобстер захватит мир». Как новый ИИ-помощник Moltbot (Clawdbot) бросил вызов ChatGPT

Почему такое название? На протяжении большей части января проект и его логотип-лобстер были известны как Clawdbot. Часть «claw» («коготь») созвучна с ИИ-помощником Claude от стартапа Anthropic. Неудивительно, что 27 января по просьбе конкурента название изменили на Moltbot — оно отсылает к линьке лобстеров (molting).

Разработчик Moltbot Петер Штайнбергер сделал ставку на локальность. Ассистент не плодит отдельных приложений: указания можно раздавать через WhatsApp, Telegram или другие популярные мессенджеры. Все «воспоминания» и настройки бота хранятся в обычных папках на диске. Базу знаний ежесекундно можно проверить или отредактировать.

Редактор MacStories Федерико Витиччи уже переложил часть своей рутины на ассистента Navi (так он назвал своего Moltbot), который работает на Mac mini M4. По его словам, ИИ управляет Notion, контролирует музыку в Spotify, а также каждое утро присылает ему голосовые отчеты с расписанием и списком дел. Для Витиччи локальный бот уже заменил большую часть взаимодействия с приложениями вроде Claude или ChatGPT.

ИИ, который обожают все

Среди техносообщества Moltbot уже наделал шума. Как пишет Business Insider, дошло до того, что в магазинах зафиксировали всплеск интереса к компактным компьютерам Apple Mac mini, с которым ассистента совмещать особенно удобно — например, в дороге.

А в сети X дифирамбы вокруг Moltbot не утихают несколько недель подряд. Как пишут первые пользователи, тот дает результат там, где конкуренты потерпели неудачу, пока их создатели обещали сделать 2025-й годом ИИ-агентов. Некоторые даже решаются называть это «ранним AGI« (общий искусственный интеллект), ведь бот становится полноценным цифровым двойником, который помнит каждую мелочь.

Соучредитель Nora Максимилиан Александр показал на видео, как тогда еще Clawdbot за 12 секунд научился управлять LED-лампами от Philips. Юзер Алекс Гарсия ответил: «Этот лобстер захватит мир».

Впрочем, за такое всемогущество приходится платить приватностью.

ИИ, который ворует ваши данные?

Для полноценной работы Moltbot получает полный доступ к системе: пользователи подключают его напрямую к своим компьютерам, мессенджерам и учетным записям. Благодаря этому агент и может читать и писать файлы, запускать команды, управлять браузером — словом, перенастраивать ваш компьютер под свои нужды. И это, по словам специалистов по кибербезопасности, тревожный сигнал.

Фирма SlowMist, которая специализируется на безопасности блокчейнов, уже обнаружила массовое «открытие шлюзов» в Clawdbot: сотни серверов управления были доступны из публичного интернета без всякой авторизации.

Как пишет Cointelegraph, исследователь Джеймисон О’Райли просто ввел запрос «Clawdbot Control» в поисковике Shodan и за считанные секунды получил сотни открытых результатов. Они позволяли любому видеть токены ботов, пароли, ключи подписи и полную историю переписки. Более того, злоумышленники могли отправлять сообщения или выполнять команды от имени пользователя.

Еще один наглядный пример уязвимости продемонстрировал Матвей Кукуй, руководитель Archestra AI. Он взломал сервер за пять минут, отправив боту специально оформленное электронное письмо, которое заставило ИИ самостоятельно извлечь приватный ключ из компьютера. Сценарий ограбления тех, кто использует Moltbot для работы с криптокошельками или торговыми ботами, готов.

Собственно, создатель Moltbot и не пытается приукрасить действительность. В документации проекта по безопасности он прямо называет свой инструмент экспериментом и призывает пользователей начинать с минимально возможного уровня доступа, расширяя разрешения очень медленно.

«Запуск AI-агента с доступом к оболочке на вашем компьютере — это… рискованно (spicy)», — говорится в документации Moltbot. «Вы подключаете поведение модели […] к реальным мессенджерам и инструментам. Не существует абсолютно безопасной конфигурации».

Как не потерять данные

Самый надежный способ — это четко контролировать, к чему Moltbot имеет доступ. Документация рекомендует держать шлюз бота только на локальном адресе и не выводить его в общую сеть. Также следует использовать «белые списки» для чатов, чтобы посторонние люди не могли отдавать боту команды. Для самопроверки есть команда «moltbot security audit», которая ищет уязвимые места в настройках.

Функция управления браузером — едва ли не самое удобное преимущество Moltbot, но одновременно и критическая уязвимость для вас. Ассистент может самостоятельно проходить регистрацию на рейсы, заходить в рабочие панели или собирать данные, недоступные через обычные программные интерфейсы.

Согласно документации, любой профиль браузера, в котором вы уже авторизованы, становится частью зоны риска. Модель способна действовать от вашего имени везде, куда такой профиль имеет доступ: в электронной почте, соцсетях, на банковских сайтах и т. д. Панацея — использовать для агента отдельный профиль.

Сообщество уже ищет другие способы защиты. Barron’s отмечает, что пользователи, среди которых и разработчики Cloudflare, призывают защищать инстанции Moltbot через Cloudflare Tunnel. Это позволяет сделать шлюз доступным через зашифрованный канал без открытия публичного IP-адреса.

Как метко подытожил исследователь Джеймисон О’Райли: «Дворецкий — замечательная находка. Только убедитесь, что он запирает дверь».