ARTICLE · 1301950

OpenClaw四重暗礁拆解:从提示词注入到150万密钥裸奔

发布时间：2026-11-03 14:29:19 最近访问：2026-11-03 14:29:20

2026 年 3 月，CNCERT（国家互联网应急中心）罕见地针对一个开源软件发布专项预警，《关于防范 OpenClaw 开源 AI 智能体安全风险的预警提示》。这份文件把风险总结成四类：提示词注入、误操作、功能插件与技能包、安全漏洞。一个 AI 智能体框架能惊动国家级应急机构，直接原因是它已经出过大事：2026 年 2 月，Wiz 安全研究员发现 OpenClaw 官方社交平台 Moltbook 的数据库完全开放，无需认证即可读写，泄露约 150 万条 Agent API Token、3.5 万个邮箱地址和 4.6 万条私信（硅基沉思、智动新纪元等多个独立信源交叉印证，2026 年 2-3 月）。同一时期，国内「养龙虾」热潮让大量不具备安全能力的普通用户把具备本机执行权限的智能体跑在了自己的电脑上。

这篇文章面向企业安全团队，把四类风险逐个拆开：攻击路径是什么、真实数据在哪、现在能做什么。

提示词注入：Moltbook 事件里它就是攻击入口

提示词注入（prompt injection）的原理不新鲜：攻击者在智能体要读取的内容里埋藏恶意指令，智能体把网页内容当成用户指令执行。CNCERT 预警的原话是「网络攻击者通过在网页中构造隐藏的恶意指令」（央视财经、人民网江苏频道 2026 年 3 月 10 日报道）。

Moltbook 事件给这条路径补上了完整演示。Moltbook 是一个专为 Agent 设计的社交网络，Agent 之间互发帖子。Wiz 研究员的发现过程：数据库没有认证，任何人拿到连接串就能直接读写整个生产库。研究者测试时不到 3 分钟拿到完全访问权限，库里有 Agent 配置、API 密钥、邮箱、私信（区块链研习社、何玺，2026 年 2 月）。对一个能调用外部工具的智能体来说，读到恶意帖子只是时间问题，读到的内容会被塞进上下文，后面跟什么指令就看攻击者心情了。

企业侧要抓的一个重点：注入的载体已经从网页扩展到邮件、文档、PDF、工单评论。检测上给两条能落地的。

其一，把 Agent 读取的外部内容在日志里标记来源字段。Logstash 里给每条 Agent 输入加 source_type: web|email|file|tool_output，异常行为（Agent 突然调用发邮件工具）先查来源链，能快很多定位是哪次外部输入触发的。这个字段成本接近零，多数团队没做。

其二，工具调用白名单走配置而非提示词。很多框架允许在 system prompt 里写「不要执行危险操作」，这层约束在注入面前形同虚设，攻击指令完全可以写「忽略之前的规则」。白名单要落在代码层：每个 Agent 角色绑定允许调用的工具列表，未列出的工具直接抛异常，提示词只负责描述怎么用，不负责决定能不能用。

误操作：权限给太宽，模型理解偏差就是事故

第二重风险是误操作。OpenClaw 这类智能体的卖点是自主执行任务，自主性和权限边界天然冲突。模型对模糊指令的理解偏差，配上过宽的授权，就是删错文件、发错邮件、把生产配置改坏（中经网总编时评，2026 年 3 月）。

启明星辰 3 月的分析里提到一个被低估的点：用户安装时给 OpenClaw 配置的 Docker 密钥可能已经暴露，多个黑客组织正在主动扫描互联网上暴露的相关端口（启明星辰集团，2026 年 3 月 11 日）。这属于误操作风险的变体：用户以为只是装个聊天助手，实际交出去的是容器环境的控制面。

处置上，生产环境的 Agent 遵循最小权限三件套：单独的低权限系统账户跑 Agent 进程，绝不复用运维个人账户；文件系统用只读挂载，需要写的目录显式列出；敏感操作（删除、支付、对外发送）加人工确认环节，Agent 生成请求，人点确认才执行。这三条都不需要新采购，是流程和配置层面的事。

插件与技能包：ClawHub 上多数技能没有经过审计

第三重风险来自生态。OpenClaw 的插件、技能包（Skills）由社区开发者自发上传，缺乏统一审计（全天候思考者，2026 年 3 月 11 日）。 ClawHub 完全开放，恶意技能导致损害时的责任划分也还不清晰（广东坤凡律师事务所，2026 年 3 月 12 日）。

恶意技能的形态不复杂：一个正常功能的技能包里夹带一段读取环境变量的代码，把 OPENAI_API_KEY、云厂商凭证发到外部地址。安装的人看技能描述是个翻译插件，不会去读它的源码。这和 npm 投毒、PyPI 恶意包是同一套打法，区别在于技能包能直接操作 Agent 的工具链，拿到的不只是凭证，还有 Agent 的会话上下文。

企业侧如果允许使用开源 Agent 框架，技能包管理要对齐已有的供应链规范：所有第三方技能包从私有镜像安装，入库前过一遍代码审查，重点是网络外联地址和文件读写点；运行环境里禁用技能包的自动更新，版本锁定后统一升级。检测层面，Agent 运行环境的出口流量默认拒绝，按域名白名单放行，一个翻译技能要连境外 IP 就是最直接的告警信号。

安全漏洞：已被曝出多个高中危，先做暴露面收敛

第四重是产品自身的漏洞。截至目前 OpenClaw 已被曝出多个高中危漏洞（中经网，2026 年 3 月），涉及沙箱逃逸、未授权访问等方向。开源框架的漏洞响应依赖社区节奏，从漏洞公开到用户实际更新之间有个窗口期，攻击者扫的就是这个窗口。

比追单个 CVE 更有效的是暴露面收敛。安全团队本周就能做的三件事：用 Censys 或 FOFA 类测绘平台查本企业 IP 段内是否存在 OpenClaw 相关端口和特征路径，清理已下线实例的残留；对必须存活的实例，管理接口加 IP 白名单和反向代理认证，禁止直接暴露；建立版本跟踪，订阅项目安全公告，漏洞披露后 72 小时内完成评估和升级。启明星辰的报告已经确认有黑客组织在主动扫描，这个动作不能再拖。