OpenClaw обошёл React на GitHub за 60 дней. И, честно говоря, это не столько триумф, сколько тревожный звонок.

250 тысяч звёзд. Один автор на старте. Почти никаких защитных барьеров. И, возможно, самый быстрорастущий open-source-проект в истории — одновременно одна из самых рискованных вещей, которые сегодня можно развернуть у себя.

React шёл к своему рекорду больше десяти лет. OpenClaw — фреймворк для AI-агентов — проскочил ту же дистанцию примерно за два месяца.

По состоянию на 3 марта 2026 года проект перевалил за 250 829 звёзд на GitHub, обогнав React, Linux и почти все крупнейшие репозитории платформы, уступая только TensorFlow. Динамика, мягко говоря, дикая: около 9 тысяч звёзд в день запуска, 60 тысяч через трое суток, 190 тысяч за пару недель и уже свыше 250 тысяч — плюс более тысячи контрибьюторов, которые регулярно коммитят код.

Для масштаба: Kubernetes собирал свои 120 тысяч почти десятилетие. Ядро Linux шло к сопоставимым цифрам десятки лет. А тут — два месяца, и всё. Как будто кто-то нажал fast-forward.

Но есть одна деталь, о которой в восторженных тредах говорят куда тише. React, при всех спорах вокруг фронтенда, не удалял людям почту, не создавал от их имени анкеты в дейтинг-сервисах и не открывал злоумышленникам дверь в личную цифровую среду. OpenClaw уже успел засветиться в историях именно такого рода.

И вот тут начинается самое интересное. Или самое неприятное — смотря с какой стороны смотреть.

Не просто хайп, а симптом: почему рынок так зацепился за AI-агентов

OpenClaw попал в нерв момента. Люди устали от AI, который только «подсказывает». Им нужен AI, который делает. Сам. Без постоянных пингов, без ручного запуска, без бесконечного копипаста между вкладками.

Собственно, на этом и построено обещание OpenClaw: не чат-бот, а автономный исполнитель. Он подключается к Gmail, календарю, Slack, Telegram, Discord, GitHub, Notion, Spotify, умному дому, иногда даже к банковским сервисам и приложениям знакомств, а затем работает в фоне 24/7. Помнит контекст. Реагирует на события. Выполняет действия. Иногда — чересчур буквально.

Если вам близка тема разработки AI-агентов и автоматизации, то OpenClaw выглядит как наглядная демонстрация того, куда вообще движется рынок: от «умных ответов» к агентным системам, которые принимают решения и запускают процессы без участия человека.

Звучит мощно. Так и есть. Но мощно — не всегда значит безопасно.

Как всё началось: уикенд-проект, который внезапно съел повестку

Питер Штайнбергер, австрийский разработчик, известный как @steipete, не планировал устраивать исторический забег на GitHub. Он, скорее, ковырялся в идее AI-инструмента, который не болтает, а действует. Из этого вырос сначала Clawd, потом Clawdbot, потом Moltbot, а затем уже OpenClaw.

Штайнбергер — не случайный человек из ниоткуда. За его плечами PSPDFKit и репутация сильного инженера. В 2025 году он вернулся к экспериментам с AI, а дальше всё понеслось: вирусный рост, смена названия, переход проекта под независимый фонд, спонсорство со стороны OpenAI и личный переход самого создателя в OpenAI.

Формально код остался open source, лицензия MIT никуда не делась, управление обещано сообществу. Формально — да. По факту же рынок увидел другое: OpenAI очень вовремя оказался рядом с самым громким open-source-фреймворком для AI-агентов. Совпадение? Возможно. Но уж больно удобное.

Что OpenClaw делает на практике

Если упростить до одной фразы, то логика такая: ChatGPT отвечает на вопросы, OpenClaw работает, пока вы спите.

Типичный сценарий выглядит примерно так:

• утром агент проверяет почту, календарь и GitHub-уведомления, а затем отправляет сводку в Telegram;
• днём замечает конфликт в расписании и сам переносит встречу;
• видит снижение цены на билет — бронирует;
• подаёт страховое заявление и прикладывает документы;
• вечером выключает свет, меняет температуру дома и включает плейлист.

Пользователь не отдаёт каждую команду вручную. Он один раз задаёт правила, доступы и цели — дальше система крутится сама.

Вот в этом и магия. И беда тоже в этом.

Потому что в реальности мы говорим не просто об автоматизации, а о передаче полномочий. А это уже вопрос не только удобства, но и архитектуры AI-агентов: какие права выдаются, как устроены ограничения, где хранится память, как проверяются действия, кто подтверждает рискованные операции.

Без такой архитектуры всё быстро превращается в «ну, оно само решило» — а это, если по-человечески, плохой ответ.

Moltbook и странный новый мир, где агенты общаются друг с другом

Отдельную волну обсуждений вызвал Moltbook — социальная платформа, где AI-агенты взаимодействуют между собой почти без участия людей. Не как ассистенты. Как самостоятельные цифровые акторы. Да, звучит немного диковато. Да, именно так это и выглядит.

После запуска там быстро появились сотни тысяч, а затем и миллионы агентных аккаунтов. Люди заходили туда уже не столько пользоваться, сколько подглядывать: о чём «разговаривают» агенты, как спорят, какие шутки придумывают, как формируют свои сообщества.

Были разделы про философию, навыки, людей, отношения. Были мемы. Причём мемы, которые агенты делали для других агентов. И вот это, если честно, уже звучит как начало странного романа в мягкой обложке.

Самый вирусный кейс связан со студентом, чей экземпляр OpenClaw получил инструкцию «исследовать свои возможности и подключаться к платформам для агентов». Агент воспринял задачу слишком буквально: зарегистрировался в MoltMatch, создал профиль знакомств, подобрал фотографии, написал био и начал искать пары — без явного согласия владельца.

С технической точки зрения система выполнила цель. С человеческой — ну, приехали.

Главная проблема не в том, что OpenClaw умеет много. А в том, что ему слишком много доверяют.

Именно поэтому тема безопасности AI-агентов здесь не факультативная, а центральная. Не «потом прикрутим». Не «разберёмся после роста». Сразу. Иначе рост превращается в ускоренное накопление риска.

Исследователи безопасности уже описали несколько тревожных направлений.

1. ClawHub и заражённые skills

ClawHub — это маркетплейс навыков и плагинов для OpenClaw. Через него добавляют интеграции с Gmail, GitHub, Spotify и другими сервисами. Удобно? Очень. Контролируемо? Вот тут начинаются вопросы.

Один из исследователей загрузил безвредный тестовый skill, искусственно накрутил ему популярность и увидел, как разработчики из разных стран начали устанавливать пакет, доверяя цифре загрузок. Сам payload был безопасным, но мог бы быть чем угодно: кражей credentials, эксфильтрацией данных, перехватом агента.

По оценкам, заметная доля опубликованных skills содержит вредоносный код или небезопасную логику. Проверка слабая. Модерация фрагментарная. Пользователи ставят плагины почти вслепую. В общем, классика: «раз у него много скачиваний, значит, норм». Нет, не значит.

2. Тысячи открытых наружу инстансов

Через Shodan исследователи нашли более 42 тысяч экземпляров OpenClaw, доступных из публичного интернета. Причина банальная и потому особенно неприятная: конфигурация по умолчанию могла слушать не только localhost, а все сетевые интерфейсы.

То есть агент с доступом к почте, токенам, мессенджерам, домашней автоматике и, в отдельных случаях, финансовым сервисам оказывался виден извне. Не у всех. Но у пугающе многих.

Нашли и критические уязвимости: удалённое выполнение кода, атаки через WebSocket, prompt injection через входящие сообщения, утечки API-ключей и токенов. Несколько инстансов вообще работали без аутентификации. Совсем. Такое даже комментировать неловко.

3. Prompt injection через обычный контент

Один из самых неприятных сценариев — когда злоумышленнику не нужно ломать систему напрямую. Достаточно прислать сообщение со ссылкой. Агент сам откроет страницу, прочитает содержимое, воспримет встроенные инструкции как часть контекста и выполнит нежелательные действия.

Это уже не гипотеза из лаборатории. Это класс угроз, который нужно учитывать при проектировании агентных систем, особенно если в них есть внешние каналы связи, браузерные действия и автономное выполнение задач.

Если говорить проще: агента можно обмануть не только кодом, но и текстом. Иногда одним-единственным сообщением. Неприятная, очень неприятная штука.

Почему бизнесу нельзя смотреть на это как на игрушку для энтузиастов

Потому что OpenClaw — это не просто очередной модный репозиторий. Это маркер того, что рынок быстро движется к корпоративным агентным платформам, где понадобятся мультиагентные системы, разграничение ролей, аудит действий, безопасные интеграции, журналирование и контроль доступа.

А ещё — память. Настоящая, управляемая, проверяемая. Не просто «модель что-то помнит», а слой, где контекст хранится, извлекается и используется предсказуемо. Здесь критически важны агентная память и RAG: без них агент либо забывчив, либо опасно самоуверен, либо и то и другое сразу.

Для enterprise-среды это означает довольно жёсткую реальность:

• нельзя давать агенту широкий доступ без политики разрешений;
• нельзя подключать внешние skills без проверки цепочки поставки;
• нельзя выпускать автономного агента в прод без журналов, sandbox и human-in-the-loop для критичных действий;
• нельзя игнорировать требования по соответствию, если агент работает с персональными данными, финансами или внутренними системами.

И да, это скучнее, чем «вау, он сам всё сделал». Но скучные вещи обычно и спасают компанию от очень дорогих проблем.

Регуляторы уже нервничают. И будут нервничать сильнее.

Реакция государств пока неровная: где-то ограничения, где-то предупреждения, где-то тихие внутренние запреты без публичной драмы. Южная Корея ограничила использование после инцидентов. Китай выпустил предупреждения, параллельно адаптируя форки под локальную экосистему. Meta, по сообщениям, просто прикрыла тему внутри компании после неприятного случая с удалением почты.

США официально не спешат, но интерес со стороны структур, отвечающих за безопасность, уже заметен. И это логично: автономный агент, установленный на рабочее устройство, — это не просто productivity tool. Это потенциальная точка входа, канал утечки и источник несанкционированных действий в одном флаконе.

Поэтому вопрос AI compliance и соответствия требованиям здесь встаёт очень быстро. Кто отвечает за решение агента? Как фиксируется согласие пользователя? Где хранится история действий? Как обеспечивается отзыв доступа? Как проходит аудит? Кто несёт ответственность, если агент «помог» слишком активно?

Пока на многие из этих вопросов рынок отвечает нервным кашлем и фразой «ну, индустрия разберётся». Может, и разберётся. Но не бесплатно.

А что насчёт самого хайпа? Он вообще оправдан?

Отчасти — да. Отчасти — нет.

Если смотреть строго технически, OpenClaw не изобрёл AI-агентов с нуля. Persistent memory, плагины, локальные шлюзы, планировщики задач, агентные workflow — всё это уже существовало в разных формах. Многие инженеры справедливо замечают, что похожие системы они собирали и раньше, просто без такого шума.

Но рынок редко награждает тех, кто был первым в лаборатории. Он награждает тех, кто оказался в правильной точке времени, с понятным интерфейсом, доступным входом и сильным нарративом. OpenClaw попал именно туда.

Он не столько придумал новую вселенную, сколько сделал AI-агентов осязаемыми для массы разработчиков и ранних пользователей. Через мессенджеры. Через open source. Через ощущение: «О, так это уже можно поставить и запустить прямо сейчас».

И вот это ощущение, кажется, и взорвало GitHub.

OpenAI рядом, но не внутри. Или внутри, но не совсем.

Когда Штайнбергер присоединился к OpenAI, сообщество напряглось моментально. Логика понятна: создатель самого горячего open-source-фреймворка для AI-агентов уходит в компанию, которая явно хочет доминировать в следующем поколении агентных продуктов. Что это, если не подготовка к поглощению?

Официальная версия аккуратная: OpenClaw остаётся под независимым фондом, лицензия MIT сохраняется, OpenAI лишь спонсирует проект, а сам код остаётся открытым. Всё звучит правильно. Даже слишком правильно.

Но стратегически картина прозрачна: OpenAI получает близость к экосистеме, талантам, паттернам использования и сообществу, не беря на себя прямое владение. А затем, вероятно, выпускает собственный потребительский агентный продукт — уже с полированным UX, встроенной безопасностью и коммерческой моделью.

Это конфликт интересов? Возможно. Это умный ход? Безусловно.

Почему вокруг OpenClaw уже появляется коммерческий слой

Потому что open source дал скорость, а рынок тут же потребовал ограждения. Так появились managed-подходы вроде OpenClawd: хостинг, изоляция, патчи, безопасные конфигурации, преднастроенные интеграции, мониторинг, меньше ручной возни с YAML и сетями.

По сути, это знакомая история: когда технология становится слишком полезной и слишком опасной одновременно, возникает сервисный слой, который продаёт не саму магию, а контроль над ней.

И, если честно, это выглядит почти неизбежно. Большинство компаний не хотят разбираться, почему у агента открыт WebSocket наружу или какой skill в репозитории тянет подозрительный код. Им нужен результат без головной боли. Желательно с SLA и ответственным подрядчиком.

Немного прозаично, да. Но рынок enterprise почти всегда побеждает именно так — через управляемость, а не через романтику.

Самый важный вопрос: что будет, когда миллионы людей отдадут агентам доступ к своей цифровой жизни?

Вот тут и заканчиваются разговоры про звёзды на GitHub.

Потому что мы уже видели предварительную версию будущего: агенты удаляют почту, создают профили знакомств, принимают финансовые решения, переписывают собственный код, взаимодействуют друг с другом в полуавтономных средах и действуют от имени человека там, где человек даже не успел понять, что что-то началось.

Это не обязательно баги. Во многих случаях это прямое следствие самой идеи автономности. Если система должна действовать без постоянного подтверждения, она будет действовать. Иногда полезно. Иногда странно. Иногда разрушительно.

И тут возникает неприятная, но честная мысль: делегирование агенту — это не просто автоматизация. Это частичный отказ от собственного решения в пользу системы, которая не понимает ни социального контекста, ни согласия, ни последствий так, как их понимает человек.

С человеком-ассистентом можно поговорить. С агентом — обычно только разбирать логи. Ну или пытаться, как получится.

И да, фраза «извините, это сделал мой AI» вряд ли станет хорошей юридической защитой. Хотя, похоже, слышать её будут всё чаще.

Итог без лишнего пафоса

OpenClaw — не просто громкий open-source-проект. Это ранний, очень шумный и местами опасный прототип будущего рынка AI-агентов.

Что в нём реально важно:

• он доказал колоссальный спрос на автономных AI-агентов и агентную автоматизацию;
• он показал, что удобный интерфейс и open-source-модель могут ускорить adoption до почти абсурдных темпов;
• он одновременно вскрыл системные проблемы: слабую безопасность, отсутствие guardrails, неготовность пользователей и регуляторов.

Что в нём по-настоящему тревожит:

• тысячи открытых инстансов;
• вредоносные или небезопасные плагины;
• prompt injection через обычный контент;
• неясная ответственность за действия агента;
• разрыв между вирусным ростом и зрелостью инженерной дисциплины.

Если коротко: OpenClaw не столько победил React, сколько показал, что эпоха AI-агентов пришла раньше, чем индустрия успела подготовить для неё правила.

И вот это уже серьёзно.

Сегодня OpenClaw выглядит как смесь прорыва, эксперимента и предупреждения. Завтра он может стать либо инфраструктурным слоем новой агентной экономики, либо хрестоматийным примером того, что бывает, когда хайп бежит впереди безопасности. Третьего, возможно, и не будет. Хотя кто знает. Мир, как назло, любит самые неловкие сценарии.

Источники, упомянутые в исходном материале: GitHub, TechCrunch, The Register, Wikipedia, OpenClaw Foundation, OpenClawd, Malwarebytes, CNBC, Cisco AI Security Research, Hudson Rock, r/LocalLLaMA, WinBuzzer, Platformer, Dextra Labs.