Centre national de réponse d'urgence Internet de Chine (CNCERT) et l'Association chinoise de sécurité du cyberespace ont publié conjointement le 22 mars le « Guide pratique de sécurité pour OpenClaw », proposant des recommandations de protection par niveaux pour les utilisateurs ordinaires, les entreprises, les fournisseurs de services cloud et les développeurs techniques. La publication de ce guide répond directement à la popularité croissante d'OpenClaw (surnommé « Lobster ») en Chine, qui se voit conférer des permissions système très élevées lors de son exécution.
Pourquoi le niveau élevé de permissions système d'OpenClaw alerte-t-il les régulateurs ?
En tant qu'outil open source d'IA agent, la conception centrale d'OpenClaw vise à permettre au système d'IA d'accomplir de manière autonome des tâches multi-étapes, y compris la manipulation de fichiers locaux, l'initiation de requêtes réseau et la coordination entre applications. Cette architecture exige qu'il obtienne des permissions système bien supérieures à celles des logiciels traditionnels, ce qui signifie qu'en cas d'exploitation malveillante ou de vulnérabilités de sécurité, un attaquant pourrait prendre le contrôle total de l'appareil de l'utilisateur, voler des données sensibles, voire infiltrer latéralement le réseau interne de l'entreprise.
La publication de ce guide officiel marque la mise en place par les autorités chinoises d’un cadre de sécurité pour les outils d’IA, tout en encourageant leur commercialisation.
Quatre conseils de sécurité pour les utilisateurs ordinaires
Recommandations principales du CNCERT pour les utilisateurs généraux
Isolation de l’environnement : Installer OpenClaw sur un appareil dédié, une machine virtuelle ou un conteneur, en assurant une isolation de l’environnement. Il ne faut pas l’installer sur un ordinateur de bureau utilisé quotidiennement.
Limiter les droits d’exécution : Ne pas exécuter OpenClaw avec des droits administrateur ou super utilisateur (root), afin d’éviter que des opérations malveillantes potentielles n’obtiennent le contrôle maximal du système.
Interdire le traitement de données privées : Ne pas stocker ni traiter de données personnelles ou sensibles dans l’environnement OpenClaw, pour éviter toute fuite d’informations sensibles lors de l’exécution des tâches par l’agent IA.
Mettre à jour rapidement : Maintenir OpenClaw à jour avec la dernière version pour corriger les vulnérabilités de sécurité connues.
Exigences renforcées pour les entreprises et fournisseurs cloud
Comparé aux utilisateurs ordinaires, le guide officiel impose des exigences plus strictes aux entreprises. Celles-ci doivent établir des règles internes d’utilisation d’OpenClaw et des processus d’approbation. Lors de l’introduction de nouvelles applications d’IA ou de fonctionnalités à permissions élevées, une évaluation de sécurité et une approbation par la direction sont obligatoires avant la mise en service.
Sur le plan technique, les entreprises doivent activer un système de détection d’intrusion sur leurs serveurs hébergeant OpenClaw, générer des journaux d’audit inviolables pour les opérations critiques et les événements de sécurité, afin d’assurer la traçabilité. Elles doivent également réaliser régulièrement des formations en sécurité pour le personnel et des exercices d’urgence pour renforcer leur capacité de réponse globale.
Pour les fournisseurs cloud, le guide exige une évaluation complète et un renforcement de la sécurité de l’infrastructure de base, le déploiement de protections robustes, et une attention particulière à la sécurité de la chaîne d’approvisionnement et des données, afin de prévenir l’introduction de risques via des dépendances tierces.
Questions fréquentes
Quelle est la principale raison pour laquelle le CNCERT a publié ce guide ?
OpenClaw nécessite des permissions système très élevées lors de son exécution, lui permettant de manipuler fichiers, réseaux et applications de manière autonome, ce qui rend les vulnérabilités potentielles beaucoup plus graves que celles des logiciels traditionnels. Avec la rapide adoption d’OpenClaw en Chine, les régulateurs ont placé la prévention des fuites de données et des risques pour la sécurité du système en priorité absolue.
Pourquoi les utilisateurs ordinaires ne devraient-ils pas installer OpenClaw sur leur ordinateur de bureau ?
Les ordinateurs de bureau utilisés quotidiennement sont souvent connectés au réseau interne de l’entreprise et contiennent de nombreux fichiers sensibles. Installer OpenClaw sans isolation environnementale peut entraîner la fuite de données de travail, de certificats d’entreprise ou d’informations personnelles si l’outil présente une faille de sécurité. L’utilisation d’un appareil dédié ou d’une machine virtuelle peut limiter efficacement les dommages potentiels.
La publication de ce guide de sécurité signifie-t-elle que la Chine va restreindre totalement l’utilisation d’OpenClaw ?
Pour l’instant, ce guide constitue une recommandation de sécurité plutôt qu’une interdiction obligatoire. Il vise à fournir un cadre de protection sans limiter l’usage. La politique chinoise continue de soutenir le développement de l’IA commerciale par des subventions locales, tout en exigeant que les entreprises et utilisateurs respectent des normes de sécurité, poursuivant ainsi une politique de double approche.
