KNOWLEDGE BASE · AI动态

OpenClaw AI 扩展程序惊现大量恶意软件，安全隐患令人担忧

OpenClaw 是一款最近大火的 AI 助手应用，它可以通过 WhatsApp、Telegram 等聊天软件，帮助用户完成日程管理、航班值机、清理邮箱等任务。然而，这款看似便捷的工具却因安全问题引发了广泛担忧。研究人员在 OpenClaw 的技能扩展商店 ClawHub 中发现了大量恶意扩展程序，这些程序被伪装成各种实用工具，悄悄潜入用户的设备。

安全研究机构 OpenSourceMalware 透露，在 1 月 27 日至 29 日期间，ClawHub 上出现了 28 个恶意扩展程序，而 1 月 31 日至 2 月 2 日期间，这一数字更是激增至 386 个。这些恶意程序大多伪装成加密货币交易工具，实际上却在后台窃取用户的加密货币 API 密钥、钱包私钥、SSH 凭证以及浏览器密码等敏感信息。

更令人不安的是，OpenClaw 的扩展程序通常以 Markdown 文件的形式存在，这些文件中可能包含针对用户和 AI 助手的恶意指令。例如，研究人员发现一个名为“Twitter”的热门扩展程序中包含一个链接，用户点击后，AI 助手会执行一个下载信息窃取型恶意软件的命令。

OpenClaw 的创始人 Peter Steinberger 意识到问题的严重性，并采取了一些措施来应对风险。目前，ClawHub 要求用户在发布扩展程序时必须拥有一个至少一周历史的 GitHub 账号，并且新增了举报功能。然而，这些措施并不能完全杜绝恶意软件的出现，用户仍然面临潜在的安全威胁。

对于普通用户来说，OpenClaw 的便捷性虽然吸引人，但使用这些扩展程序时需要格外谨慎。AI 助手被赋予的权限越高，恶意软件造成的危害就越大。如果 AI 助手被授权访问用户的整个设备，那么恶意软件就能轻易地窃取用户数据，甚至控制用户的设备。

网络安全专家建议，用户在安装任何扩展程序之前，应仔细检查其来源和权限请求，并尽量选择来自可信开发者的程序。此外，定期检查设备的安全状态，及时更新软件，也能有效降低被恶意软件攻击的风险。

OpenClaw 的案例再次提醒我们，在享受 AI 带来的便利的同时，不能忽视潜在的安全风险。随着 AI 技术的不断发展，如何在功能性和安全性之间找到平衡，将成为开发者和管理者面临的重要课题。

📖 原文链接：https://studyopenclaw.cn/?p=2625

OpenClaw 知识库 · AI动态