Baru-baru ini saya perhatikan ada berita serius tentang keamanan yang patut diperhatikan semua pengguna AI dan developer. Ternyata pasar plugin ClawHub milik OpenClaw terkena serangan supply chain yang cukup besar-besaran.

Jadi ceritanya begini. Para peneliti dari Awesome Agents menemukan kalau ada 1.184 skill berbahaya yang beredar di ClawHub. Skill-skill ini bukan main-main, mereka bisa mencuri kunci SSH, wallet kripto, password browser, bahkan buka reverse shell. Jadi kalau kamu pernah install plugin dari sana, ada risiko serius.

Yang bikin miris, satu penyerang saja berhasil upload 677 paket jahat, itu 57% dari total malicious skill yang ada. Artinya ini bukan random attack, tapi terkoordinasi dengan baik. Lebih parah lagi, 36,8% dari semua skill di ClawHub punya minimal satu vulnerability. Bayangkan, ada lebih dari 135.000 instance OpenClaw yang terbuka di 82 negara berbeda.

Skill paling populer yang jahat namanya "What Would Elon Do". Ini skill sudah didownload 4.000 kali (palsu sih semuanya). Dia punya 9 vulnerability, 2 di antaranya level serius. Modus operandinya pakai social engineering "ClickFix" dan prompt injection untuk target user dan AI agent.

Untung ada pihak yang responsif. OpenClaw langsung kolaborasi dengan VirusTotal untuk scan semua skill dan bersihkan yang jahat. Ini penting karena VirusTotal bisa deteksi malware dengan database signature yang comprehensive.

Kalau kamu pernah pakai ClawHub, jangan santai. Security expert menyarankan untuk immediately reset semua credential kamu, revoke semua API key, dan audit security setting. Cek juga browser kamu kalau ada yang suspicious. Ini bukan paranoia, tapi keharusan di era sekarang dimana supply chain attack semakin umum.