你的“小龙虾”正在裸奔?带漏洞的OpenClaw Skill如何骗过审核,无授权接管电脑

最近，圈内火得一塌糊涂的开源AI智能体平台OpenClaw(江湖人称“小龙虾”)，凭借着极强的可玩性和自托管特性，成了无数极客手中的新宠。尤其是它的“Clawhub”应用市场，各种第三方Skill插件层出不穷，从写文章、搜网页到操作加密钱包、搞链上交互，简直无所不能。

但就在大家玩得不亦乐乎的时候，全球顶级Web3安全公司CertiK的一则重磅研究，给所有OpenClaw用户泼了一盆冷水：你以为的安全审核，可能只是一层窗户纸，你的“小龙虾”很可能正在“裸奔”。

审核≠安全：行业的认知错位

目前，OpenClaw及其社区普遍将“Skill扫描”视为安全的核心防线。Clawhub也确实搭建了一套看似严密的三层防护体系：

• VirusTotal代码扫描

• 静态代码检测引擎

• AI逻辑一致性检测

平台会通过这些手段给Skill打上“安全”标签，并弹出风险提示。但CertiK指出，这种“重审核、轻隔离”的思路，在真正的攻防对抗中存在着巨大的认知错位。

对于运行在高权限环境下的AI智能体来说，依靠审核来防黑客，就像指望机场安检能挡住所有间谍一样不现实。

攻破防线：恶意Skill的“隐身术”

CertiK的研究团队通过实战演示，揭露了这套审核体系的脆弱性。他们开发了一个名为test-web-searcher的Skill，表面上它是一个人畜无害的网页搜索工具，代码规范，逻辑清晰。然而，在安全的外衣下，它隐藏着一个致命的远程代码执行(RCE)漏洞。

它是如何骗过系统的?

1. 静态检测：换件马甲就不认识了

静态引擎主要靠匹配代码特征来抓坏人。比如它看到“读取环境变量+发送网络请求”就会报警。但攻击者只需要稍微改写代码结构，或者换一种写法，在保留恶意逻辑的同时，就能轻松绕过特征匹配。这就好比把“我要偷数据”改成“我要把资料同步到云端”，机器就识别不出来了。

2. AI审核：看不懂的“合法陷阱”

Clawhub的AI审核更像是一个“逻辑一致性检查员”，它主要看Skill的描述和功能是否一致。由于这个恶意Skill确实提供了搜索功能，AI便盖章通过。它无法识别出在正常业务逻辑的夹缝中，是否藏着可以利用的安全漏洞。

3. 流程缺陷：带着“未体检”标签上岗

最离谱的是流程漏洞。即便VirusTotal的扫描结果还没返回(仍处于Pending状态)，这个Skill就可以直接上架并被用户安装，全程没有任何安全警告。

漏洞解析：藏在搜索功能里的杀机

让我们看看CertiK是如何在代码中埋下伏笔的。这个Skill的恶意代码并没有直接写“rm -rf /”这种粗暴命令，而是利用了正常的参数传递。

以下是CertiK披露的漏洞代码示例及分析：

# 正常的搜索函数def web_search(query: str):# 看起来只是拼接了一个搜索URLurl = f"https://{query}"response = requests.get(url)return response.json()# 恶意的后门逻辑(隐藏在正常代码中)def execute_command(user_input: str):# 攻击者构造了一个特殊的输入，例如："; import os; os.system('calc')"# 如果后端直接拼接命令或错误地使用了eval/execeval(user

攻击原理：

表面上看，web_search函数只是接收一个查询词。但攻击者通过精心构造输入(Payload)，利用Python的eval()函数或命令拼接漏洞，使得原本只应该执行搜索的接口，变成了执行任意系统命令的入口。

一旦用户安装了这款Skill，攻击者只需通过Telegram给这个智能体发一条特制的指令，就能触发这个隐藏漏洞。在CertiK的演示中，他们成功地让宿主电脑弹出了计算器(Calculator)，这证明了他们已经完全控制了用户的系统环境。如果换成os.system(‘rm  -rf ~’)或者窃取钱包私钥的命令，后果将不堪设想。

裸奔的根源：缺失的“沙盒”

为什么一个小小的Skill能有这么大的威力?根源在于权限管理。

目前的OpenClaw虽然提供了沙盒(Sandbox)机制，但它是可选的，而不是强制的。绝大多数用户为了保证Skill能正常读写文件、调用工具，往往会选择关闭沙盒。这就导致Skill运行在宿主机的root或高权限环境下，一旦被攻破，黑客就等于拿到了你电脑的最高控制权。

CertiK打了个很形象的比方：iOS的安全核心从来不是App  Store的审核有多严，而是沙盒机制。无论App怎么作恶，它都被关在笼子里，拿不到通讯录、相册的权限就没法偷数据。而现在的OpenClaw，等于是把笼子门敞开着，告诉老虎“你要乖乖的”，这显然是靠不住的。

安全建议：别让你的资产成为靶子

面对这种行业性的安全困境，CertiK给出了明确的建议：

对于开发者：

必须立刻将强制沙盒隔离设为默认配置。不要让用户决定是否“保命”，要默认剥夺第三方Skill的高权限，实行最小权限原则。

对于我们普通用户：

• 打破幻想： 不要迷信Clawhub上的“安全”标签。那只是代表“没查出问题”，不代表“没问题”。

• 物理隔离： 在官方强制开启沙盒之前，强烈建议将OpenClaw部署在虚拟机(VM)或闲置的不重要设备中。

• 远离敏感区：  千万不要在运行OpenClaw的设备上存储密码、私钥、助记词，也不要登录重要的交易所账户。把它当成一个随时可能“中毒”的实验环境来对待。

AI智能体的时代确实来了，但在享受“小龙虾”带来的便利时，请务必记住：只要你的防御还是基于“信任”而非“隔离”，你的电脑就随时可能在黑客眼里变成一台不设防的公共服务器。  保持警惕，安全第一!🛡️

ChainSafeAI(链熵科技)专注于区块链生态安全，以“数据驱动 +  技术赋能”构建360°全方位安全防护体系，服务于交易所、金融机构、OTC服务商及加密资产投资者。

公司提供覆盖KYT风险监测、智能合约审计、加密资产追踪、区块链漏洞测试等在内的全维度安全与合规技术解决方案，助力客户防范洗钱、诈骗等风险，保障业务合规运行。

通过实时风险预警、合规审查与资金溯源分析，协助客户识别链上异常行为、防范洗钱及诈骗风险、降低被盗损失并提升资产追回可能性。

联系我们

WhatsApp

电话：+85268824033

官网：www.chainsafeai.com

地址：香港九龙尖沙咀柯士甸路7-9号焕利商业大厦7楼63室