Национальный центр исследований развития промышленной информационной безопасности: опубликовано предупреждение о рисках применения OpenClaw в промышленной сфере

Национальный центр исследований по развитию промышленной информационной безопасности опубликовал уведомление о раннем предупреждении о рисках «О предупреждении рисков, связанных с применением OpenClaw в промышленной сфере»: OpenClaw в настоящее время ускоряет внедрение и применение в промышленной сфере на таких этапах, как разработка и проектирование, производство и изготовление, а также управление эксплуатацией и обслуживанием. Однако из-за таких особенностей OpenClaw, как размытая граница доверия, унифицированный доступ по множеству каналов, гибкое использование больших моделей, а также двурежимная персистентная память, при отсутствии эффективной стратегии контроля разрешений или механизмов безопасного аудита возможна злонамеренная передача управления, например вследствие наведения инструкциями, отравления цепочки поставок и т. п., что может привести к целому ряду рисков безопасности, включая потерю управляемости промышленными АСУ и утечку конфиденциальной информации. Конкретно к ним относятся: риск превышения полномочий промышленными хостами и потери управления производством; риск утечки промышленной конфиденциальной информации; риск расширения поверхности атаки промышленных предприятий и усиления эффектов атак. Поэтому рекомендуется промышленным предприятиям, руководствуясь соответствующими требованиями, включая «Руководство по сетевой безопасности и защите промышленных систем управления», «Метод управления классификацией и уровнями безопасности в промышленном интернете» и др., а также рекомендациями «шести „надо“ и шести „не надо“», уже опубликованными на платформе обмена информацией о сетевых угрозах и уязвимостях в сфере сетевой безопасности Министерства промышленности и информатизации (NVDB), при развертывании и применении OpenClaw усилить меры защиты, включая: усиление управления контрольными полномочиями; усиление сетевой изоляции границ; выполнение ремонта и установки исправлений уязвимостей.