OpenClaw 0-Click漏洞致恶意网站劫持开发者AI Agent

Oasis安全研究人员在OpenClaw中发现了一个关键的零交互漏洞。作为史上增长最快的开源AI Agent框架之一，该漏洞允许任何恶意网站无需插件、扩展或用户操作即可静默获取开发者AI Agent的完全控制权。

OpenClaw（前身为Clawdbot和MoltBot）是一款自托管AI Agent，仅用五天就获得超过10万GitHub星标，现已成为全球数千名开发者的默认个人助手。该工具在开发者笔记本电脑本地运行，可连接消息应用、日历、开发工具和本地文件系统，代表用户执行自主操作——这种广泛访问权限正是该漏洞危害性极高的关键所在。

OpenClaw通过绑定到本地主机的WebSocket网关运行，该网关作为Agent的核心协调层。macOS配套应用、iOS设备或其他机器等连接"节点"需向网关注册，并开放包括系统命令执行、文件访问和联系人读取等能力。

攻击只需满足一个条件：开发者在浏览器中访问恶意或被入侵网站。

完整攻击链如下：

根本原因在于三个错误的设计假设：本地主机连接本质可信、浏览器发起的流量无法到达本地服务、速率限制无需应用于环回地址——这些假设在现代浏览器环境中均不成立。

建立认证会话后，远程攻击者可直接与AI Agent交互，指令其搜索Slack历史记录中的API密钥、读取私密消息、从连接节点窃取文件以及执行任意shell命令。研究人员指出，对于使用典型OpenClaw集成的开发者而言，这等同于通过浏览器标签页实现的工作站完全沦陷，且受害者毫无察觉。

Oasis Security的PoC完整演示了端到端攻击链，成功破解网关密码并与实时Agent实例进行交互。