ARTICLE · 1301254
给智能体装插件前,先想想手机流氓软件
智能体的技能市场，正在复刻十年前安卓应用市场的乱局。而且这次，恶意软件会自己干活。
一、上架：一个账号，三百个技能
2026年2月1日，安全公司Koi Security公布了对ClawHub（开源智能体OpenClaw官方技能市场）的第一轮全量审计：在架2,857个技能里，341个是恶意的，约占12%。
更扎眼的是来源：341个里，335个出自同一伙人的协同行动，后来被命名为ClawHavoc。它们批量上架了记账的、加密行情追踪的、YouTube下载的、仿冒官方命令行的工具，投放的全是同一种macOS窃密木马。浏览器密码、钥匙串、加密钱包、SSH私钥、聊天记录，一锅端。
为什么能批量上架？因为门槛几乎不存在：发布者只要有一个注册满一周的GitHub账号，没有身份核验，没有代码前置审计。这个发布门槛，比2010年的安卓第三方市场还松。
二、伪装：钩子藏在说明书里
恶意技能的说明书写得比很多正经项目还认真：功能描述详细、文档配图齐全，先靠这些建立信任。然后，在说明书的“前置条件”一节里放一句话：使用本技能前，请先运行这条命令安装必要组件。
读到这里的人会照做。AI也会照做。那行“必要组件”，就是木马本体。传统杀毒软件盯的是可执行文件，而这一整段是自然语言，长得和正经文档一模一样。
USENIX Security 2026的一篇论文把这件事量化了：对98,380个技能做行为验证，确认157个恶意、632个漏洞，其中84.2%的漏洞藏在SKILL.md说明书的文字里，不在脚本代码里。流传很广的建议“装前先看代码”，就此失效。你不会去看说明书，就算看了，一句请先安装前置依赖混在几十行正常说明里，也读不出是攻击。
三、进网：技能还会中途变脸
从市场到内网的路很短。员工装一个看起来无害的效率工具，智能体按说明书执行安装命令，木马借这个动作落地；企业环境里，它顺手就能摸到代码库、凭证和内网服务。Koi方面估算，ClawHavoc的目标用户量级在30万。
还有一招更阴的：技能内容跟着代码仓库的提交走。上架时干干净净，过了审核，两周后改一版，你确认过的东西，已经不是原来那个。到3月初Koi的第二轮审计，市场扩到10,700个技能，确认恶意数翻倍到820多个。4月，国家计算机病毒应急处理中心发布了针对“龙虾”技能包投毒攻击活动的预警。
Snyk后来扫了ClawHub和另一个市场上的3,984个技能：36.8%至少存在一处安全缺陷，13.4%属于严重级，人工复核确认76个带活跃恶意载荷。口径不同不能直接相加，但四轮审计撞到了同一堵墙：一个开放且无门槛的技能发布平台，恶意内容的比例超出想象。
四、为什么这次不一样
有人会说，npm这些年不也天天爆投毒吗。这次的雷是另一个量级：npm装的是纯代码，数据和指令分得开；技能把提示词、代码、权限三样捏在一起，一份说明书就能改写智能体的行为，还直通你的文件系统、网络和shell。npm的雷顶多炸构建产物，技能的雷直通本地凭证和整个代码库。
一句话概括这条链：技能就是提示词，提示词就是权限。2010年装一个流氓应用，它偷的是手机里的数据；今天装一个恶意技能，它借的是智能体的合法权限，还能替攻击者干活。应用商店当年靠审核上线止了血，技能市场连审核环节都还没有。
五、装之前，过三条
企业侧不需要等生态成熟，入口能自己管住。第一条，看来源：只从有人工审核的市场或内部白名单装技能，下载量大不等于安全，该看的是发布者和权限。
第二条，看权限：一个查天气的技能，张口要读SSH密钥，它要这个干什么？权限清单和功能对不上的，一律不装。
第三条，锁版本：技能引用外部内容的，锁定哈希或把内容复制进仓库，防止它在你确认之后悄悄改版。装完不等于审完，一次审批挡不住两周后的那次提交。
十年前，我们学会了不从不明渠道装应用；十年后，同样的功课要再学一遍，只是这次要防的，是一段写给AI看的说明书。装下一个技能之前，先想想当年那部中过招的手机。
