OpenClaw – co to jest, jak działa i czy jest bezpieczny

OpenClaw to darmowy agent AI open source (licencja MIT), który instalujesz na własnym komputerze lub serwerze i obsługujesz przez komunikatory: WhatsApp, Telegram, Slack, Discord czy iMessage. Czyta pocztę, prowadzi kalendarz, otwiera strony, zapisuje pliki i uruchamia polecenia w systemie. Właśnie ten szeroki dostęp sprawia, że bezpieczeństwo OpenClaw zależy głównie od tego, jak go skonfigurujesz.

Projekt wcześniej występował pod nazwami Warelay, Clawd (Clawdbot) i Moltbot. Dziś opiekuje się nim amerykańska fundacja non-profit OpenClaw Foundation, a repozytorium ma ponad 390 tysięcy gwiazdek na GitHubie. Ogólny mechanizm, na którym stoi każdy taki system, opisuje tekst o architekturze agenta AI. Tutaj skupiam się na tym, czym jest konkretnie OpenClaw, co się w nim zmieniło od stycznia 2026 i jak go uruchomić, żeby nie otworzyć komputera na oścież.

Fakty o projekcie pochodzą z repozytorium, dokumentacji i bloga OpenClaw, a dane o incydentach z raportów firm badających bezpieczeństwo. Przy każdej liczbie podaję, kto ją opublikował.

Czym jest OpenClaw

OpenClaw to lokalny asystent wykonawczy: program działający na twoim sprzęcie, który przyjmuje polecenia z komunikatora, przekazuje je do wybranego modelu językowego i wykonuje zaplanowane przez model kroki za pomocą narzędzi. Od zwykłego czatu różni się tym, że nie kończy na odpowiedzi tekstowej, tylko działa: wysyła wiadomość, zapisuje plik, uruchamia skrypt.

Serce systemu to gateway, czyli proces, który łączy kanały komunikacji, model i narzędzia. Według repozytorium projektu OpenClaw działa na macOS, Linuksie i Windows, ma aplikacje na iOS i Androida, a modele (Claude, Codex od OpenAI albo modele lokalne) podpina się jako wymienne wtyczki.

Skille działają podobnie jak w innych ekosystemach agentowych – zasadę pakietu instrukcji i skryptów dobrze widać na przykładzie Skills dla Claude. Różnica polega na tym, że w OpenClaw skill wykonuje się w kontekście agenta, który ma dostęp do twoich plików i kont.

Warelay, Clawd, Moltbot, OpenClaw – skąd tyle nazw

OpenClaw, Moltbot i Clawd (w mediach często „Clawdbot”) to ten sam projekt austriackiego programisty Petera Steinbergera. Pierwsze wydanie w repozytorium (v0.1.1, 25 listopada 2025) nosiło nazwę Warelay, publicznie projekt znano jako Clawd, a w styczniu 2026 zmienił nazwę dwa razy w ciągu trzech dni. Jeśli trafiasz na starsze poradniki o Moltbocie albo Clawdbocie, opisują one wcześniejsze wersje tego samego oprogramowania.

Przejście Steinbergera do OpenAI nie oznacza, że OpenClaw należy do OpenAI. Według wpisu założycielskiego fundacji, OpenAI jest jednym z darczyńców obok m.in. NVIDIA, Microsoftu, Red Hata i GitHuba; największym darczyńcą jest University of Michigan, a kod pozostaje na licencji MIT. Steinberger zachował rolę technicznego lidera projektu.

Co potrafi OpenClaw i czym różni się od chatbota

OpenClaw wykonuje zadania zamiast je opisywać: porządkuje skrzynkę pocztową, wysyła maile, zarządza kalendarzem, przegląda strony i wypełnia formularze, czyta i zapisuje pliki, uruchamia skrypty i może działać według harmonogramu, bez twojego udziału w danej chwili. Polecenie wydajesz zwykłą wiadomością w komunikatorze, a wynik dostajesz tą samą drogą.

Ostatni wiersz jest najważniejszy. Szerzej o tej różnicy, także w kontekście wdrożeń, piszę w porównaniu agenta AI i chatbota, a zestawienie OpenClaw z chmurowym agentem Anthropic jest w tekście Claude Cowork czy Clawdbot.

Polscy testerzy w publicznych relacjach zwracają uwagę na dwie słabości: OpenClaw bywa niestabilny na stronach z dużą ilością JavaScriptu i zużywa dużo tokenów, jeśli nie ograniczysz mu przesyłanego kontekstu. To narzędzie dla osób, które chcą i umieją je skonfigurować.

Czy OpenClaw jest darmowy

Tak, samo oprogramowanie OpenClaw jest darmowe: kod jest na licencji MIT, a strona projektu podkreśla, że nie ma abonamentu, wersji hostowanej ani płatnego planu. Płacisz za to, czego OpenClaw używa: za model językowy i ewentualnie za serwer.

Wersja 2.0 potrafi przy instalacji wykorzystać subskrypcje i klucze API, które masz już na komputerze. Jeśli chcesz, żeby treść zadań nie opuszczała twojego sprzętu, potrzebujesz modelu lokalnego – jakie modele da się uruchomić bez chmury i na jakim sprzęcie, opisuje poradnik o sztucznej inteligencji offline. Przy modelu w chmurze treść poleceń, maili i plików, które agent czyta, trafia do dostawcy modelu, nawet jeśli sam OpenClaw działa lokalnie.

Bezpieczeństwo OpenClaw – udokumentowane incydenty

OpenClaw jest tak bezpieczny, jak jego konfiguracja: projekt w 2026 roku przeszedł przez krytyczną podatność, kampanię złośliwych skilli i tysiące instancji wystawionych do internetu, a potem przez niezależny audyt, po którym poprawiono wszystkie zgłoszone błędy. Problemu, którego nie da się załatać aktualizacją, autorzy nie ukrywają: w ogłoszeniu nowej nazwy Peter Steinberger napisał wprost, że prompt injection jest wciąż „nierozwiązanym problemem całej branży”.

Prompt injection – ryzyko wpisane w każdego agenta

Prompt injection to polecenie ukryte w treści, którą agent czyta: w mailu, na stronie, w załączniku. Agent z dostępem do poczty i terminala może takie polecenie wykonać, jeśli model uzna je za część zadania. Dokumentacja OpenClaw przyznaje, że mechanizmy kontroli nadawcy nie uwierzytelniają ani nie oczyszczają reszty treści trafiającej do modelu: cytowanego tekstu, przekazanych wiadomości, pobranych stron, załączników i wyników narzędzi. Projekt opakowuje treści z zewnątrz jako niezaufane, co ogranicza ryzyko, ale go nie usuwa. Mechanikę takich ataków opisuje tekst o jailbreaku i atakach na modele LLM.

Złośliwe skille z ClawHub

Największy udokumentowany incydent dotyczył nie samego OpenClaw, tylko rozszerzeń. Na początku lutego 2026 firma Koi Security znalazła 341 złośliwych skilli wśród 2 857 przebadanych w katalogu ClawHub. Większość instalowała złodzieja danych Atomic Stealer na macOS, a ofiarę nakłaniano do uruchomienia „wymaganego” instalatora. Ustalenie potwierdził później zespół Unit 42 z Palo Alto Networks. Antiy CERT policzył co najmniej 1 184 złośliwe skille w całej historii katalogu, wymierzone w Windows i macOS.

Od lutego skille w ClawHub są skanowane przez VirusTotal, a od jesieni przez narzędzie ClawScan, rozwijane z NVIDIA i Tencentem. Sam projekt zaznacza jednak, że skaner sygnatur nie wykryje skilla, który językiem naturalnym nakłania agenta do szkodliwego działania. Ten sam problem dotyczy serwerów MCP, o czym piszę w tekście o bezpieczeństwie Model Context Protocol.

Instancje wystawione do internetu i CVE-2026-25253

Gateway OpenClaw domyślnie nasłuchuje tylko lokalnie, na porcie 18789, ale w styczniu 2026 Censys znalazł 21 639 instancji dostępnych z publicznej sieci. Większość wymagała tokena, lecz luka CVE-2026-25253 pokazała, że token da się ukraść: panel sterowania przyjmował adres gatewaya z parametru w linku i łączył się z nim automatycznie, wysyłając zapisany token. Według opisu w GitHub Advisory Database atak działał nawet przy gatewayu nasłuchującym tylko lokalnie, bo połączenie wychodziło z przeglądarki ofiary. Poprawka trafiła do wersji 2026.1.29.

Audyt Trail of Bits

We wrześniu 2026 projekt opublikował wyniki audytu firmy Trail of Bits, sfinansowanego w ramach programu OpenAI Patch the Planet. Audytorzy zgłosili 27 raportów: 24 podatności z oceną ważności (0 krytycznych, 2 wysokie, 16 średnich, 6 niskich) oraz 3 uwagi o głębszej obronie bez oceny. Według projektu wszystkie poprawki trafiły do wersji 2026.8.1 i 2026.7.33 LTS. Wniosek dla użytkownika jest prosty: wersja sprzed sierpnia 2026 zawiera znane i opisane błędy.

Co jest włączone domyślnie, a co trzeba włączyć samemu

Część zabezpieczeń OpenClaw działa od razu po instalacji (nasłuch lokalny, parowanie nieznanych nadawców), ale najważniejsza bariera, czyli sandbox dla narzędzi, jest domyślnie wyłączona. To najczęstsze nieporozumienie: projekt ma izolację, tylko trzeba ją świadomie włączyć.

Sandbox może korzystać z Dockera (domyślny lokalny backend), Podmana albo zdalnej maszyny przez SSH, a parametr workspaceAccess określa, ile z twoich plików widzi agent – od zera do pełnego dostępu.

Jak bezpiecznie uruchomić OpenClaw – 8 kroków

Bezpieczna instalacja OpenClaw sprowadza się do trzech zasad: osobna maszyna, najnowsza wersja i włączony sandbox. Poniższa lista łączy zalecenia z dokumentacji projektu z wnioskami z incydentów opisanych wyżej.

1. Osobna maszyna albo osobne konto systemowe. Dokumentacja zaleca oddzielne konto użytkownika, jeśli komputer jest współdzielony. Najbezpieczniej użyć osobnego komputera albo serwera bez twoich prywatnych plików.
2. Najnowsza wersja. Wszystko sprzed 2026.1.29 jest podatne na CVE-2026-25253, a wersje sprzed 2026.8.1 nie mają poprawek z audytu Trail of Bits.
3. Nasłuch lokalny i długi token. Nie zmieniaj ustawienia loopback bez potrzeby. Do zdalnego dostępu dokumentacja opisuje token, reverse proxy i Tailscale zamiast otwierania portu 18789.
4. Sandbox włączony. Włącz izolację narzędzi i ogranicz workspaceAccess do folderu roboczego. Nie włączaj tools.elevated, jeśli nie wiesz, po co.
5. Wąski profil narzędzi. Bazowa konfiguracja z dokumentacji używa profilu „messaging”, blokuje grupy narzędzi automatyzacji i wykonywania kodu oraz wyłącza komunikację agent-agent. Dodawaj uprawnienia pojedynczo.
6. Osobne konta dla agenta. Załóż agentowi osobną skrzynkę i osobne konta w usługach, zamiast dawać mu dostęp do głównej poczty i bankowości.
7. Ostrożnie ze skillami. Instaluj tylko te, których kod przeczytałeś albo których autora znasz. Skill proszący o uruchomienie „wymaganego” instalatora z zewnątrz to dokładnie schemat kampanii ClawHavoc.
8. Zatwierdzanie działań o realnych skutkach. Przelewy, wysyłka dokumentów i usuwanie danych powinny czekać na twoje „zatwierdź”. Jak projektuje się taki punkt kontroli, opisuje tekst o human in the loop.

Po każdej zmianie konfiguracji uruchom openclaw security audit.

OpenClaw w firmie – model zaufania i OpenClaw Enterprise

Zwykły OpenClaw nie jest zaprojektowany jako narzędzie dla wielu użytkowników, którzy sobie nie ufają: dokumentacja zakłada jedną granicę zaufania na gateway, czyli jednego operatora albo zespół, którego członkowie ufają sobie nawzajem. Dla osób, które mogą działać przeciwko sobie, projekt zaleca osobne gatewaye, najlepiej na osobnych kontach systemowych albo maszynach.

W praktyce firmowej oznacza to trzy rzeczy:

• Instalacja na służbowym laptopie bez wiedzy IT to Shadow AI. Agent dostaje dostęp do poczty, plików i komunikatorów firmy, a treść zadań trafia do dostawcy modelu. Jak wykryć takie narzędzia i ustawić zasady, opisuje tekst o Shadow AI i bezpieczeństwie danych firmowych.
• Ograniczenia w administracji już są. W marcu 2026 chińskie władze, według agencji prasowych, zakazały albo uzależniły od zgody przełożonych instalowanie OpenClaw na komputerach służbowych w części urzędów i spółek państwowych, w tym w dużych bankach.
• Wersja dla firm jest dopiero w pilotażu. 29 września 2026 fundacja zapowiedziała OpenClaw Enterprise – darmową platformę open source do zarządzania stałymi agentami w środowiskach wrażliwych, z wieloma najemcami, twardymi granicami między zaufanymi i niezaufanymi zadaniami, sandboxem, precyzyjnymi uprawnieniami i audytem. Projekt powstał w OpenAI, rozwijano go z Red Hatem i NVIDIA, a fundacja zaleca go na razie tylko do wewnętrznych pilotaży. Wersja 1.0 ma się ukazać jeszcze w 2026 roku.

Werdykt „zakaz bez wyjątków”, częsty w pierwszych analizach ze stycznia 2026, jest dziś za prosty. Uczciwiej brzmi tak: OpenClaw na prywatnym komputerze pracownika, z dostępem do firmowych kont i bez sandboxa, to ryzyko nie do przyjęcia. OpenClaw na wydzielonej maszynie, z osobnymi kontami, włączoną izolacją i zatwierdzaniem działań, to narzędzie do kontrolowanych testów.

FAQ

Źródła

• openclaw/openclaw – repozytorium projektu, GitHub – licencja MIT, platformy, kanały, modele, parowanie nadawców
• CVE-2026-25253: 1-Click RCE via Authentication Token Exfiltration From gatewayUrl, GitHub Advisory Database – opublikowane 31.01.2026
• Security – OpenClaw Docs, OpenClaw Foundation – model zaufania, ustawienia domyślne, sandbox, poświadczenia
• OpenClaw Completes Security Audit, OpenClaw Foundation – wyniki audytu Trail of Bits, 21.09.2026

Ostatnia aktualizacja: 3 października 2026 · Zgłoś poprawkę