OpenClaw 2.0: agent AI po fali ataków dostaje przebudowane zabezpieczenia

Zespół stojący za OpenClaw, jednym z najszerzej używanych otwartoźródłowych agentów AI, wypuścił 30 sierpnia wersję oznaczoną numerem 2026.8.1, którą sam nazwał OpenClaw 2.0. To pierwsze duże wydanie od blisko dwóch miesięcy i zarazem, jak twierdzi projekt, największa zmiana w jego historii - obejmująca instalację, pamięć agenta, wtyczki, obsługę poświadczeń i kontrolę sesji.

OpenClaw to samodzielnie hostowany, otwartoźródłowy asystent AI, który tłumaczy polecenia w naturalnym języku na konkretne działania - obsługuje pocztę, kalendarz, przeglądarkę, komunikatory czy pliki na komputerze użytkownika lub w chmurze. Wielu użytkowników przerobiło go w praktyce na agenta kodującego albo osobistego sekretarza pilnującego codziennych spraw, co w ciągu kilku miesięcy 2026 roku przełożyło się na gwałtowny wzrost popularności projektu na GitHubie.

Rekordowa skala prac

Skala samego wydania jest nietypowa jak na projekt open source. Ponad 900 osób złożyło się na ponad 16 tysięcy pull requestów obejmujących instalację, agentów, wtyczki, poświadczenia, kontrolę przeglądarki, komunikatory, automatyzacje, pamięć i aplikacje natywne. Ponad 60 procent kontrybutorów zgłosiło swój pierwszy wkład właśnie przy tym wydaniu, co pokazuje, jak bardzo rozrosła się społeczność wokół projektu w ostatnim roku.

Zespół OpenClaw wyjaśnił, że rezygnacja z dotychczasowego rytmu częstych, drobnych wydań na rzecz jednej dużej aktualizacji miała dać projektowi mocniejsze fundamenty techniczne i bezpieczniejszą ścieżkę migracji zarówno dla nowych, jak i istniejących instalacji. W praktyce oznaczało to przebudowę sposobu przechowywania sesji i transkryptów - dane przenoszą się z plików do bazy SQLite, co wymaga wykonania kopii zapasowej przed ewentualnym powrotem do starszej wersji, bo dawne wydania nie rozpoznają już nowych sesji.

Prostsze uruchomienie i praca zespołowa

Druga oś zmian dotyczy dostępności. Nowy proces pierwszego uruchomienia ma prowadzić użytkownika od pobrania programu do pierwszej użytecznej rozmowy z mniejszą liczbą ręcznych kroków konfiguracyjnych, z obsługą Mac, Linuksa, Windowsa i urządzeń mobilnych. OpenClaw automatycznie wykrywa już dostępne zasoby - istniejące subskrypcje ChatGPT czy Claude, klucze API albo lokalnie uruchomione modele - zamiast wymuszać ich ponowną konfigurację od zera.

Przebudowany interfejs webowy stawia rozmowę w centrum ekranu, z plikami, zatwierdzeniami i ustawieniami dostępnymi tuż obok. Dla zespołów pojawiły się współdzielone sesje w chmurze, pozwalające kilku osobom pracować nad tym samym agentem jednocześnie, oraz wyszukiwarka przeszukująca historię wcześniejszych rozmów po dokładnym tekście czy frazach. Na telefonach parowanie nowego urządzenia odbywa się teraz przez kod QR, z wyraźnym rozróżnieniem między dostępem pełnym a ograniczonym.

Zabezpieczenia po fali ataków

Nacisk na bezpieczeństwo nie jest przypadkowy. Na początku 2026 roku badacze z SecurityScorecard i Bitsight opisali dziesiątki tysięcy publicznie dostępnych instalacji OpenClaw, z których znaczna część miała odsłonięty interfejs bez włączonego uwierzytelniania - domyślnie usługa startowała na porcie 8080 bez wymuszonego logowania. W tym samym okresie ujawniono kilka krytycznych luk, w tym CVE-2026-25253 umożliwiającą zdalne wykonanie kodu jednym kliknięciem, a atak ClawHavoc podrzucił do oficjalnego sklepu z wtyczkami ClawHub ponad tysiąc złośliwych "skilli" rozsiewających złośliwe oprogramowanie kradnące dane z macOS.

OpenClaw 2.0 odpowiada na to wprowadzeniem prywatnych żądań poświadczeń - agent może poprosić o hasło czy klucz przez zamaskowane pole, bez zapisywania jego wartości w historii czatu ani w kontekście modelu. Opcjonalny serwer proxy ogranicza podstawianie chronionych sekretów wyłącznie do zatwierdzonych adresów docelowych, a zespoły dostają współdzielony magazyn poświadczeń zarządzany przez administratorów, w którym wartości sekretów są dostępne wyłącznie do zapisu. Dodano też integrację z brokerem 1Password, obejmującą uwierzytelnianie kont usługowych, zatwierdzenia dla pojedynczych sekretów oraz zapisy audytowe bez ujawniania ich wartości.

Dla samego wykonywania zadań przez agenta wprowadzono jawne tryby uprawnień sesji i ograniczenia obszaru roboczego - dostęp do systemu plików jest zakotwiczony w zarejestrowanym workspace, co ma zmniejszyć ryzyko, że agent sięgnie po pliki spoza zatwierdzonego zakresu. Powtarzające się automatyzacje wymagają teraz zatwierdzenia, a użytkownik może później sprawdzić i cofnąć nadane uprawnienia.

These controls are collaboration features and should not be treated as hostile multi-tenant isolation - zespół OpenClaw, dokumentacja wydania 2026.8.1

To zastrzeżenie jest istotne - nowe role operatorów zespołu ograniczają dostęp do agentów i sesji w ramach współpracy, ale nie zostały pomyślane jako izolacja chroniąca przed złośliwym współużytkownikiem tego samego wdrożenia. Innymi słowy, firmy udostępniające jedną instancję OpenClaw wielu zespołom nadal powinny traktować ją jak środowisko oparte na zaufaniu, a nie w pełni odseparowane od siebie konta.

Co to znaczy dla użytkowników

Dla osób i firm, które już uruchamiają OpenClaw, aktualizacja 2.0 oznacza w praktyce migrację danych do nowego formatu i przegląd konfiguracji zabezpieczeń - zwłaszcza tam, gdzie instalacje wystawione są na publiczny internet bez uwierzytelniania. Biorąc pod uwagę skalę wcześniejszych incydentów, wymuszenie jawnych trybów uprawnień i ograniczeń workspace to zmiana, która realnie zawęża pole do nadużyć, choć nie eliminuje go całkowicie.

Dla szerszego rynku agentów AI wydanie potwierdza trend widoczny również u innych dostawców w 2026 roku - po serii publicznych wpadek bezpieczeństwo poświadczeń i kontrola uprawnień agentów stają się priorytetem numer jeden, wyprzedzając nawet tempo dodawania nowych funkcji. Projekt świadomie zrezygnował z dotychczasowej częstotliwości wydań na rzecz jednego dużego, przetestowanego kroku, co może stać się wzorcem dla innych otwartoźródłowych narzędzi agentowych mierzących się z podobną presją.