◆ Agenti Locali — Agenti che agiscono sul tuo computer, senza cloud · 24 € · o tutti i kit 49 € →

#Che cos'è concretamente una skill OpenClaw

Una skill non è un plugin compilato né un'estensione nel senso di un browser. È una cartella che contiene almeno un file SKILL.md: un'intestazione in formato YAML con un nome e una descrizione, seguita da istruzioni in Markdown che spiegano all'agente quando e come svolgere un'attività. La cartella può contenere anche script, modelli di file o documenti di riferimento. OpenClaw utilizza a questo scopo un formato aperto condiviso con altri agenti, descritto nella sua documentazione.

All'avvio, il gateway non carica il contenuto completo di ogni skill. Inserisce nel prompt di sistema l'elenco delle skill disponibili con il relativo nome e la descrizione. Quando il modello ritiene che una skill corrisponda alla richiesta, legge per intero il file SKILL.md e ne segue le istruzioni, chiamando se necessario gli script che contiene. Una skill è quindi innanzitutto testo che entra nel contesto del modello, proprio come le tue istruzioni.

SKILL.md — esempio didattico di struttura

---
name: resume-flux-rss
description: Résume en trois points les nouveaux articles d'un flux RSS donné.
metadata: {"openclaw": {"requires": {"bins": ["curl"]}}}
---
# Résumer un flux RSS

1. Récupérer le flux avec curl et ne garder que les entrées des 24 dernières heures.
2. Pour chaque entrée, lire le titre et le résumé fourni par le flux.
3. Rédiger trois points en français, sans ouvrir de lien supplémentaire.

L'intestazione può dichiarare condizioni di attivazione: eseguibili richiesti sulla macchina, variabili d'ambiente, chiavi di configurazione o un sistema operativo. Se manca una condizione, la skill resta visibile nell'inventario ma non viene proposta al modello. Queste dichiarazioni servono all'affidabilità, non alla sicurezza: non limitano ciò che una skill attivata può fare.

Skill incluse: Fornite con OpenClaw e attivate in base alla configurazione. Sono mantenute dal progetto, ma questo non esime dal conoscerle.
Skill gestite: Installate per tutti gli agenti della macchina, nella cartella skills della directory ~/.openclaw.
Skill dell'area di lavoro: Inserite nella sottocartella skills dell'area di lavoro dell'agente, per impostazione predefinita ~/.openclaw/workspace. È lì che ClawHub installa per impostazione predefinita.
Ordine di priorità: Una skill dello spazio di lavoro prevale su una skill gestita con lo stesso nome, che prevale su una skill fornita. Una skill di terze parti può quindi sostituire una skill ufficiale senza che nulla ve lo segnali.

ClawHub è il registro pubblico del progetto. Uno strumento a riga di comando con lo stesso nome permette di cercare una skill, installarla e aggiornarla. Chiunque può pubblicarvi contenuti: la presenza di una skill nel registro non implica che sia stata revisionata. Se il concetto di agente e strumenti non vi è ancora chiaro, la nostra guida sul protocollo MCP spiega cosa significa fornire strumenti a un modello e perché ogni strumento aggiunto amplia la superficie d'attacco.

#Perché una skill OpenClaw è un rischio per sua stessa natura

Il kit Agenti Locali

Agenti che agiscono sulla tua macchina: Cline agentico, MCP, n8n + Ollama, automazioni locali.

Spazio online a vita
PDF + file
Rimborso in 30 g

Il kit Agenti Locali →oppure tutti i kit a vita — 49 € →

Il problema non dipende da un difetto di OpenClaw. Dipende da ciò che è una skill: istruzioni di cui il modello si fida, eseguite da un agente che dispone di un terminale, dei vostri file, di un browser e dei vostri sistemi di messaggistica. Tutto ciò che l'agente può fare, una skill può farglielo fare. E, a differenza di un'iniezione di prompt proveniente da una pagina web, che il modello può talvolta identificare come contenuto esterno, una skill arriva attraverso il canale delle istruzioni legittime.

Falsa dipendenza: La skill chiede, in nome di un prerequisito tecnico, di scaricare ed eseguire uno script di installazione esterno. L'agente obbedisce e lo script installa un malware. È lo schema più documentato su ClawHub all'inizio del 2026.
Exfiltration: Le istruzioni prevedono di inviare a un indirizzo esterno il contenuto della conversazione, un file di configurazione o delle credenziali, spesso con il pretesto della «registrazione» o della «sincronizzazione».
Dirottamento persistente: La skill modifica la memoria o le istruzioni dell'agente, oppure aggiunge un'attività pianificata. L'effetto persiste dopo la sua disinstallazione se non rileggi questi file.
Usurpation: Un nome simile a quello di una skill nota, una descrizione copiata, un autore creato il giorno prima. Il registro non protegge dagli omonimi.
Aggiornamento compromesso: Una skill che appare affidabile al momento dell'installazione può cambiare contenuto nella versione successiva. La revisione deve essere ripetuta a ogni aggiornamento.

Un modello locale non cambia nulla

Eseguire il modello sulla propria GPU protegge le vostre conversazioni da un fornitore online. Non protegge da una skill malevola: le istruzioni vengono eseguite dagli strumenti dell'agente, sulla vostra macchina, indipendentemente da dove venga eseguito il modello. La documentazione di OpenClaw consiglia il modello più capace di cui disponete perché resiste meglio alle istruzioni ingannevoli, senza che nessun modello ne sia immune. La nostra guida sull'iniezione di prompt in locale illustra in dettaglio questo meccanismo.

#Cosa hanno scoperto i ricercatori di sicurezza su ClawHub

Diversi team hanno analizzato il registro durante l'ondata di popolarità del progetto, tra la fine di gennaio e marzo 2026. Non abbiamo riprodotto le loro analisi. I numeri qui sotto sono quelli di ciascun rapporto, alla sua data di pubblicazione, e da allora il registro è cambiato. In conformità con la nostra linea editoriale, non pubblichiamo né un elenco di skill malevole né un link che rimandi a esse.

Koi Security, 1er février 2026: I ricercatori descrivono una campagna che chiamano ClawHavoc: nel loro primo rapporto, 341 skill pubblicate su ClawHub sono identificate come malevole. Molte usavano lo schema della falsa dipendenza per installare un infostealer su macOS. Gli stessi ricercatori hanno poi rivisto al rialzo questo totale in pubblicazioni successive.
Cisco, febbraio 2026: Il team di ricerca di Cisco ha analizzato una skill popolare del registro e ha dimostrato che conteneva istruzioni che portavano l'agente a trasmettere dati a un server di terze parti, all'insaputa dell'utente. Cisco ha subito pubblicato uno strumento open source per analizzare le skill e conclude che gli agenti personali di questo tipo richiedono un quadro di sicurezza che la maggior parte degli utenti ancora non possiede.
Snyk, febbraio 2026: Nel suo rapporto ToxicSkills, Snyk afferma di aver analizzato 3 984 skill di ClawHub. Secondo il rapporto, il 13,4% presentava almeno un problema di sicurezza e 76 erano considerate malevole, con in testa l'esfiltrazione di credenziali e gli script di installazione malevoli.
Kaspersky, inizio 2026: L'analisi pubblicata su Securelist inserisce le skill in un quadro più ampio: gateway esposti su Internet, vulnerabilità CVE-2026-25253 corretta alla fine di gennaio 2026, segreti archiviati in chiaro nella cartella di configurazione. Le sue raccomandazioni coincidono con quelle di questa guida: isolare, limitare i privilegi, non esporre nulla.

Il progetto ha reagito. Secondo i suoi annunci di febbraio 2026, ClawHub sottopone ora le skill pubblicate a un'analisi automatica del codice malevolo, in collaborazione con VirusTotal, e rimuove quelle segnalate. È utile, ma insufficiente: un'analisi automatica individua script noti e schemi evidenti, non una frase d'istruzione formulata con abilità. La lettura rimane una vostra responsabilità.

Ciò che rende efficaci questi attacchi

In tutti i casi documentati, l'utente non ha eseguito nulla personalmente. Ha installato una skill, poi l'agente ne ha seguito le istruzioni. La popolarità di una skill, il numero di download o la sua valutazione non dicono nulla sul suo contenuto: diverse skill compromesse figuravano tra quelle più scaricate al momento dei rapporti.

#Il quadro da definire prima della prima skill

Questa guida presuppone che OpenClaw sia già installato. In caso contrario, la nostra guida all'installazione con Docker descrive nel dettaglio la configurazione, mentre la nostra presentazione di OpenClaw aiuta a decidere se lo strumento fa al caso vostro. Prima di aggiungere una qualsiasi skill di terze parti, verificate questi quattro punti.

Una versione aggiornata: Le skill sono solo una delle superfici d'attacco. Un gateway obsoleto rimane vulnerabile a falle corrette da tempo, tra cui CVE-2026-25253. Aggiornate, quindi eseguite nuovamente la diagnostica.
Un audit accurato: Il comando di audit integrato segnala le impostazioni pericolose: gateway esposto, pairing disattivato, strumenti aperti a tutti. Correggete tutto prima di estendere l'agente.
Una macchina dedicata: Non il tuo computer di lavoro, né la macchina che contiene il tuo gestore di password o le tue chiavi SSH personali. Una macchina virtuale, un mini-PC o un server a noleggio.
Un'esigenza denominata: Una skill risponde a un compito preciso che già svolgi. Installare una skill «nel caso serva» aggiunge rischio senza benefici.

Terminale — situazione prima di qualsiasi installazione

# Mettre à jour OpenClaw puis vérifier l'installation
openclaw update
openclaw doctor

# Audit de sécurité de la passerelle et de ses réglages
openclaw security audit --deep

# Inventaire des skills déjà présentes et de leurs prérequis
openclaw skills list
openclaw skills check

L'inventario potrebbe sorprenderti: alcune skill fornite con OpenClaw sono già attive. Dedica del tempo a leggere quelle che non conosci e disattiva quelle che non ti servono. Il principio è lo stesso di un server: ogni componente attivo deve avere una ragione d'essere.

#Leggere una skill di OpenClaw prima di attivarla: il metodo

L'errore classico è installare prima e leggere dopo. Non appena una skill è presente in una cartella caricata da OpenClaw, l'agente può leggerla e seguirla. Il metodo consiste quindi nel recuperare la skill in una cartella di quarantena che il gateway non monitora, esaminarla e solo dopo spostarla. Metti in conto dai dieci ai quindici minuti per una skill di dimensioni ragionevoli. Se la skill è troppo lunga da leggere, è già un'informazione.

01
Recuperare senza attivare
Create una cartella di quarantena al di fuori delle cartelle caricate da OpenClaw ed entrateci prima di avviare lo strumento ClawHub. Per impostazione predefinita, lo strumento installa nella sottocartella skills della directory corrente o dello spazio di lavoro rilevato: verificate il percorso che mostra alla fine. Potete anche leggere la skill sulla sua pagina del registro prima di scaricare qualsiasi cosa.
02
Leggere interamente SKILL.md
Prima l'intestazione: il nome corrisponde a ciò che stavate cercando? I prerequisiti dichiarati sono coerenti con l'attività? Una skill per riassumere i feed RSS non ha bisogno delle vostre variabili d'ambiente contenenti chiavi. Poi il corpo, frase per frase, chiedendovi a ogni istruzione: se l'agente fa esattamente questo, che cosa succede sulla mia macchina?
03
Inventariare i file
Elencate tutto il contenuto della cartella, compresi i file nascosti. Ogni script, archivio o binario deve essere giustificato dalle istruzioni. Un file che SKILL.md non menziona mai è un segnale d'allarme. I binari e gli archivi compressi vanno rifiutati: non potete leggerli.
04
Cercare gli schemi noti
Download seguito da esecuzione, decodifica base64, valutazione dinamica del codice, elevazione dei privilegi, indirizzi esterni, percorsi verso la cartella di configurazione o verso le chiavi. I comandi qui sotto automatizzano questo primo controllo. Cercate anche i caratteri invisibili: le istruzioni possono essere nascoste in un testo che sembra vuoto.
05
Verificare l'autore e la cronologia
Data di creazione dell'account, altre pubblicazioni, versioni successive, repository di codice citato e corrispondente al contenuto scaricato. Una skill «ufficiale» di un servizio noto pubblicata da un account anonimo è una contraffazione fino a prova contraria.
06
Decidere e annotare il motivo
Un'istruzione che chiede di eseguire uno script recuperato online è sufficiente per rifiutare, anche se tutto il resto è in ordine. Se accettate, conservate una copia della versione letta: è quella che confronterete con il prossimo aggiornamento.

Terminale — primo passaggio su una skill in quarantena

cd ~/quarantaine-skills/nom-de-la-skill

# Tout le contenu, fichiers cachés compris
find . -type f | sort

# Téléchargement + exécution, décodage, évaluation dynamique, droits
grep -rniE 'curl|wget|bash -c|sh -c|base64|eval|chmod \+x|sudo' .

# Toutes les adresses externes citées
grep -rnoE 'https?://[^ )"]+' . | sort -u

# Accès aux secrets et à la configuration de l'agent
grep -rniE '\.openclaw|openclaw\.json|\.ssh|keychain|token|api[_-]?key|password' .

# Caractères invisibles (espaces de largeur nulle, marque d'ordre des octets)
grep -rnP '[\x{200B}\x{200C}\x{200D}\x{2060}\x{FEFF}]' . || echo "Aucun caractère invisible trouvé"

Questi comandi non decidono al posto tuo. Una skill legittima può citare un indirizzo esterno perché interroga un'API pubblica, oppure usare curl perché è la sua funzione. Il segnale è la discrepanza tra ciò che la skill dichiara e ciò che fa. Un riepilogo di feed RSS che legge il tuo file di configurazione non ha scuse.

→

Far rileggere a un modello, senza fidarsi di lui

Puoi chiedere a un modello locale, in una sessione senza strumenti, di elencare cosa fa la skill e di segnalare ciò che va oltre la sua descrizione. È un aiuto per non dimenticare nulla, non un verdetto: il modello stesso può essere ingannato dal testo che rilegge. La decisione resta alla tua lettura.

#Installare con il minor numero possibile di privilegi

Una volta riletta la skill, spostala nella cartella skills dell'area di lavoro oppure lascia che lo strumento ClawHub la installi nella posizione corretta. La configurazione di OpenClaw, nel file openclaw.json della cartella ~/.openclaw, permette poi di disattivarla, fornirle una chiave dedicata e limitare le skill fornite a quelle che utilizzi. I nomi esatti di queste chiavi cambiano con le versioni: fa fede la pagina skills della documentazione.

~/.openclaw/openclaw.json — estratto, da adattare alla documentazione della vostra versione

{
  "skills": {
    "allowBundled": ["nom-de-skill-livree-que-vous-utilisez"],
    "entries": {
      "resume-flux-rss": { "enabled": true },
      "skill-en-cours-de-relecture": { "enabled": false },
      "skill-qui-appelle-un-service": {
        "enabled": true,
        "apiKey": "cle-dediee-a-cet-usage-et-plafonnee"
      }
    }
  }
}

Disattivata per impostazione predefinita: Una skill installata ma non ancora riletta, o riletta ma non ancora necessaria, deve essere disattivata esplicitamente. Una voce disattivata non viene proposta al modello.
Chiavi dedicate: Se una skill ha bisogno di accedere a un servizio, crea una chiave riservata a questo uso, con un limite di spesa e l'ambito più ristretto possibile. Mai la tua chiave principale, mai una chiave condivisa tra skill.
Account dedicati: La stessa logica vale per gli account: una skill che legge un calendario o una casella di posta riceve un account creato per l'agente, non il tuo.
Skill incluse ridotte: Limita l'elenco delle skill distribuite a quelle che ti servono. Meno opzioni ha il modello, meno leve ha un'istruzione ingannevole.
Nessun aggiornamento automatico: Non avviate un aggiornamento collettivo di tutte le skill. Aggiornate una skill alla volta, confrontate la nuova versione con la copia che avete conservato, quindi riattivatela.

Dopo ogni modifica, rilancia l'inventario e la diagnostica. Il comando di verifica delle skill ti dirà se la skill è attiva, se i suoi prerequisiti sono soddisfatti e quali variabili si aspetta. Se richiede una variabile che non avevi previsto, torna alla lettura.

#Isolare l'agente: limitare ciò che una skill compromessa può raggiungere

La lettura riduce la probabilità di installare una skill compromessa. L'isolamento riduce le conseguenze se hai commesso un errore. Entrambe sono necessarie, e la seconda conta più della prima: un giorno leggerai male, oppure ti sfuggirà un aggiornamento. L'obiettivo è che una skill che tenta di esfiltrare i tuoi segreti non trovi nulla da esfiltrare e che uno script che tenta di installarsi non abbia nessun posto dove farlo.

Sandbox per l'esecuzione: OpenClaw può eseguire gli strumenti dell'agente in un container Docker anziché direttamente sulla macchina. Per impostazione predefinita, questo isolamento riguarda le conversazioni diverse dalla tua; la documentazione descrive come estenderlo a tutte le sessioni. Con un container, un comando malevolo agisce su un sistema usa e getta, non sul tuo host.
Strumenti rimossi: La configurazione permette di vietare strumenti a un agente. Se nessuna delle vostre skill ha bisogno del browser o della scrittura di file al di fuori dello spazio di lavoro, rimuoveteli. Una skill non può usare uno strumento che l'agente non possiede.
Account di sistema dedicato: Il gateway funziona con un utente che non ha accesso alle vostre chiavi SSH, ai vostri documenti né ai privilegi di amministrazione. I mount Docker danno accesso solo alla directory ~/.openclaw.
Rete chiusa: Il gateway resta in ascolto localmente, su 127.0.0.1 e sulla porta 18789 per impostazione predefinita, mentre l'accesso remoto passa attraverso un tunnel SSH o una VPN. Se il firewall lo consente, limitate anche le connessioni in uscita dell'agente ai soli servizi che deve effettivamente raggiungere: per esfiltrare dati serve una via d'uscita.
Modello capace: Un modello che comprende bene le istruzioni resiste meglio a quelle ingannevoli. In locale, questo significa un modello di almeno 14 miliardi di parametri, ovvero circa 9 GB di VRAM in Q4_K_M, con un contesto ampio. La nostra guida su OpenClaw con Ollama illustra nel dettaglio questa scelta.

La sandbox non protegge i segreti dell'agente

Un container isola la macchina host. Non isola ciò che l'agente è autorizzato a leggere per sua stessa concezione: i suoi file di memoria, le chiavi che gli sono state affidate, i sistemi di messaggistica a cui è connesso. Una skill malevola può comunque far inviare questi elementi dall'agente stesso, tramite uno strumento legittimo. Da qui l'importanza di chiavi dedicate e con limiti, account separati e riletture regolari della memoria.

Se l'agente si connette a strumenti esterni tramite il protocollo MCP, le stesse regole si applicano a ogni server MCP: lettura prima dell'attivazione, privilegi minimi, isolamento. La nostra guida sul server Ollama e la nostra analisi del Top 10 OWASP per gli LLM definiscono il quadro generale di queste misure.

#Monitorare, rimuovere, segnalare

Una skill installata non è un risultato acquisito. Tre abitudini limitano le sorprese. La prima: rileggere ogni tanto i file di memoria e delle istruzioni dell'area di lavoro, che sono semplice Markdown. Una riga che non hai scritto tu va capita e poi eliminata. La seconda: esaminare i log del gateway dopo aver aggiunto una skill, per verificare che i comandi eseguiti e gli indirizzi contattati corrispondano a ciò che ti aspettavi. La terza: ripetere l'audit di sicurezza dopo ogni modifica della configurazione.

Terminale — rimuovere una skill e ripartire da zero

# 1. Désactiver la skill dans ~/.openclaw/openclaw.json (enabled: false),
#    puis supprimer son dossier
rm -rf ~/.openclaw/workspace/skills/nom-de-la-skill

# 2. Redémarrer la passerelle et vérifier l'inventaire
openclaw gateway restart
openclaw skills list

# 3. Relire la mémoire et les consignes de l'espace de travail
ls -la ~/.openclaw/workspace

# 4. Refaire l'audit
openclaw security audit --deep

Se scopri in un secondo momento che una skill era trappolata, considera compromesso tutto ciò che l'agente poteva raggiungere: revoca e ricrea le chiavi API che possedeva, cambia le password degli account che gli erano stati affidati ed esamina la macchina host se l'agente funzionava senza sandbox. Segnala poi la skill al registro e, se è servita a eseguire uno script malevolo, ai team che seguono queste campagne: tutti i rapporti citati più sopra sono iniziati da segnalazioni.

→

Scrivere le proprie skill

Per un'attività semplice, scrivere da soli uno SKILL.md di venti righe è spesso più rapido che rileggere una skill di terze parti di trecento righe. Conosci ogni istruzione, non ci sono script né dipendenze e l'aggiornamento non dipende da nessuno. Il formato è documentato e un modello locale può aiutarti a redigere una prima versione, che poi rileggerai.

#Fonti

Questa guida non contiene alcuna misurazione interna. I comandi e le chiavi di configurazione provengono dalla documentazione di OpenClaw, che evolve rapidamente: in caso di discrepanza, fa fede quest'ultima. Le conclusioni sulle skill malevole provengono dai seguenti rapporti, consultati per questa redazione; i rapporti di Koi Security e Snyk sono pubblicati sui blog delle due aziende.

Documentazione di OpenClaw: le skill

https://docs.openclaw.ai/tools/skills

Documentazione di OpenClaw: il registro ClawHub

https://docs.openclaw.ai/tools/clawhub

Documentazione di OpenClaw: sicurezza del gateway

https://docs.openclaw.ai/gateway/security

Kaspersky (Securelist): analisi della sicurezza di OpenClaw

https://securelist.com/openclaw-security/120484/

Cisco: gli agenti IA personali come OpenClaw, un incubo per la sicurezza

https://blogs.cisco.com/ai/personal-ai-agents-like-openclaw-are-a-security-nightmare

Scheda della vulnerabilità CVE-2026-25253

https://nvd.nist.gov/vuln/detail/CVE-2026-25253

#Per approfondire

Le skill sono solo un elemento della sicurezza di un agente locale. Queste guide del sito coprono il resto del quadro:

Prompt injection: l'esecuzione in locale non ti protegge: Il meccanismo con cui un testo letto dal modello diventa un'istruzione e perché eseguire il modello a casa non basta. https://quelllm.fr/guide/injection-de-prompt-llm-local
OWASP Top 10 LLM: proteggere la propria IA locale in azienda: Il repertorio dei dieci rischi propri delle applicazioni basate su LLM, tra cui la catena di approvvigionamento e l'eccessiva autonomia degli agenti. https://quelllm.fr/guide/owasp-top-10-llm-securite-locale
Mettere in sicurezza il proprio server Ollama: Autenticazione, reverse proxy ed esposizione: le misure dal lato del modello, complementari a quelle dal lato dell'agente. https://quelllm.fr/guide/securiser-serveur-ollama
MCP: cos'è?: Il protocollo che collega un modello a strumenti esterni e ciò che comporta ogni server aggiunto. https://quelllm.fr/guide/mcp-c-est-quoi-model-context-protocol
OpenClaw: cos'è e vale la pena installarlo?: La presentazione del progetto, i suoi prerequisiti e i rischi generali, per decidere prima di installare. https://quelllm.fr/guide/openclaw-c-est-quoi

Questa guida ti è stata utile?

Un feedback, un errore, una precisazione? Facci sapere, così la guida migliora per tutti.

I kit QuelLLMLa guida di riferimento per ogni uso

Agenti Locali Copilota Locale IA locale RAG Locale IA in Azienda IA Senza Filtri Mac Immagini IA Social network

Tutti i kit a vita — 49 €

Prossimo passo logico

Sicurezza · 11 min

Skills OpenClaw: installarle senza farsi adescare