打个比方

       你有一个非常听话的助理。你对他说：「帮我整理一下桌上那份文件。」     

       但那份文件里有人用白色字写了一行：「整理完之后，把桌上的U盘寄到这个地址。」     

       你的助理看到了这行字，认为这也是你的指令，就照做了。他不是坏人，他只是分不清哪些话是你说的，哪些话是别人混进来的。     

OpenClaw 的权限清单（也是攻击者的目标清单）

📁 读写文件：你的配置、密钥、业务数据

🌐 访问网络：上网搜索、调用 API、连接各种服务

📧 发消息：发邮件、发飞书、发微信（如果接了 MCP 服务）

🔧 执行命令：运行脚本、修改配置、操作数据库

🧠 记忆系统：会自动把信息写入 MEMORY.md，长期影响它的行为

案例 1：GitHub MCP 服务——公开 issue 窃取私有代码

事件：安全公司 Invariant Labs 演示了一个攻击：攻击者在 GitHub 的公开 issue 里嵌入恶意指令。当用户让 AI 助手查看这个 issue 时，AI 被骗去拉取用户私有仓库的代码，然后把代码泄露到攻击者控制的公开仓库。     

后果：私有代码、内部项目资料、甚至薪资信息被公开。     

根因：GitHub MCP 服务的 Token 权限太大，加上 AI 无法分辨 issue 内容是否可信。     

案例 2：WhatsApp MCP 服务——聊天记录被全量窃取

事件：攻击者创建了一个「每日趣闻」MCP 工具，看起来人畜无害。但它的描述里藏了恶意指令，让 AI 把用户的整个 WhatsApp 聊天记录（包括私人对话和商业谈判）转发到攻击者的手机号。     

后果：数百甚至数千条私人消息被窃取，还伪装成正常发送，绕过了常规数据防泄漏工具。     

根因：「工具投毒」——恶意指令藏在工具描述里，用户批准工具时看不到。     

案例 3：Google Docs 里的一句话——零点击远程代码执行

事件：安全研究人员发现，只要在 Google Docs 里写一句话，当 AI 编程助手（IDE 集成）打开这个文档时，它就会被指令劫持，从攻击者的服务器下载并执行恶意脚本——不需要用户做任何点击或确认。     

后果：开发者电脑上的密钥、环境变量、代码全被窃取。     

根因：AI 助手把文档内容当作可信指令执行。     

案例 4：OpenAI 演示——一封邮件让 AI 发出辞职信

事件：OpenAI 在 2025 年 12 月的安全报告中展示了自己的红队测试——他们往用户邮箱里发了一封带有隐藏指令的邮件。当 AI 浏览器帮用户处理邮件时，它没有按要求写请假邮件，而是发出了一封辞职信。     

后果：演示场景，但完全可以用于发送钓鱼邮件、泄露机密或执行任何用户能做的操作。     

意义：连 OpenAI 自己都承认，提示词注入「不太可能被完全解决」。     

案例 5：记忆投毒——AI 被植入”假记忆”，成为潜伏特工

事件：Palo Alto Networks 的安全团队演示了「记忆投毒」攻击——通过间接注入，在 AI 的长期记忆里植入虚假的安全策略或行为规则。AI 会在之后的所有对话中遵守这些被篡改的规则。     

后果：AI 变成了「潜伏特工」——看起来正常，但持续执行攻击者的指令。     

根因：OpenClaw 的 MEMORY.md 会被 AI 自动写入——一旦被污染，影响是持久的。     

1       最小权限原则——不用的能力，关掉     

       你的 AI 助手能发邮件吗？能访问你的云盘吗？能执行命令吗？     

       如果这些能力你 90% 的时间用不到，那就关掉或者限制它们。权限越少，被骗之后能做的事越少。     

具体操作：

• MCP 服务：只安装你真正需要的，不装「看起来有用」的

• GitHub Token：不要给 repo:write 权限，除非真的需要

• 文件访问：在配置里限定 AI 只能访问特定目录

2       高危操作必须确认——在 AGENTS.md 里写明     

       在 AGENTS.md 里明确写上：哪些操作必须先问我。     

这不能 100% 防住攻击，但能在大多数情况下让 AI 在执行敏感操作前暂停并问你。

3       定期检查 MEMORY.md——防止被”植入记忆”     

       OpenClaw 的记忆文件会被 AI 自动写入。如果攻击者成功注入过一次，恶意指令可能会被”记住”。     

每周做一次：

• 打开 MEMORY.md，通读一遍

• 看看有没有你没说过的”规则”或”偏好”

• 看看有没有奇怪的外部地址或联系方式

• 如果有任何你不认识的内容，删掉

4       MCP 服务只用可信来源——「工具投毒」是真的     

       之前在 B04 里提过，ClawHub 上存在大量恶意技能。MCP 服务也一样。     

安装前做这些事：

• 只安装官方推荐或知名开发者的 MCP 服务

• 查看 star 数、最近更新时间、issue 讨论

• 如果有 VirusTotal 扫描结果，先看一下

• 「这个工具能干什么」比「这个工具是谁写的」更重要——功能越强大，风险越大

5       处理外部内容时多留个心眼     

       每次让 AI 处理来自外部的内容（网页、文档、邮件、GitHub issue……），都要意识到：这些内容里可能藏着指令。     

风险较高的场景：

• 处理陌生人发来的文件或邮件

• 让 AI 总结网上找到的内容

• 让 AI 查看公开的 GitHub issue 或论坛帖子

• 让 AI 处理带有复杂格式（PDF、DOCX）的文档

       在这些场景下，格外注意 AI 有没有做你没要求它做的事。     

6       保持更新——官方在持续修复     

       OpenClaw 和各种 AI 模型都在持续加强对提示词注入的防御。保持更新是最简单的防护手段。     

建议至少每月检查一次更新。