[漏洞播报]突发!OpenClaw爆致命0Day漏洞

💡 好靶场
团队宗旨：我们立志于为所有的网络安全同伴制作出好的靶场，让所有初学者都可以用最低的成本入门网络安全。所以我们团队名称就叫“好靶场”。

我们承诺每天至少更新1-2个新靶场，好靶场追求的是稳定日常更新而不仅仅是数量。

1.好靶场介绍

官网链接http://www.loveli.com.cn/

零基础入门不迷茫！专属网络安全从零到一体系化训练——配套完整靶场+精选学习资料，帮你快速搭建网安知识框架，迈出入门关键一步！全场景实战全覆盖！聚焦Web渗透工程师核心能力，深度拆解TOP10逻辑漏洞，精通PHP代码审计、Java代码审计等核心技能，从基础原理到实战攻防，覆盖行业高频应用场景！真实漏洞场景沉浸式体验！src训练专题重磅上线——1:1还原真实漏洞报告，让你亲身感受实战挖洞流程，积累符合企业需求的实战经验！

🚀哈喽～各位宝子们晚上好~~👋！今日为大家带来的是关于小龙虾的内容，这一次小龙虾OpenClaw又被揪出漏洞这次是0Day漏洞，宝子们在部署的时刻一定要注意不要暴露在公网，接下来进行详细的报道；以下的详细内容👇

2. 报道内容

AI安全圈昨夜突发重磅消息，彻底打破了行业的平静。3月22日，OpenClaw创始人Peter Steinberger通过官方邮件正式回信，确认了360安全云团队独家发现的WebSocket无认证升级漏洞真实存在——这是一枚CVSS 10.0满分的零日（0Day）漏洞，被业内称为“数字定时炸弹”，直接威胁全球超13万台OpenClaw智能体网关的安全。

先搞懂：OpenClaw是什么？这枚0Day漏洞有多致命？

在聊漏洞之前，先跟大家科普一个关键信息：OpenClaw，圈内俗称“小龙虾”，是海外现象级开源AI智能体网关，被广泛应用于企业AI服务、智能家居、工业控制等多个核心场景，简单说，它就是AI智能体的“中枢大门”，所有AI智能体的数据传输、指令执行，都要经过这个“大门”调度。而这次360发现的，是最危险的0Day漏洞——所谓0Day漏洞，就是指在被发现前，除了产品开发者，没有任何第三方（包括黑客、安全机构）知晓其存在，没有任何补丁和预警，攻击者可以直接利用，目标系统毫无防备。更可怕的是，这枚漏洞的CVSS评分高达10.0（满分），属于最高危级别。技术细节显示，攻击者只需获取共享令牌，在WebSocket连接时声明高权限作用域，就能静默绕过所有权限认证，直接夺取网关控制权，全程无弹窗、无提示、无日志记录，受害者根本无法通过常规方式察觉。一旦被黑产利用，后果不堪设想：攻击者可以读取API密钥、篡改网关配置、接管设备节点，甚至远程执行代码；对企业而言，核心数据、业务逻辑、接口密钥会被轻易窃取篡改；对个人开发者来说，本地文件、源代码、私密信息可能被静默外传，设备也可能被完全掌控。更值得警惕的是，据360漏洞研究院监测，公网中超过13万台OpenClaw实例默认暴露在公网，且大量设备未启用强认证，几乎处于“裸奔”状态，90%以上可直接被攻击，相当于全球有13万台“定时炸弹”随时可能引爆。

时间线梳理：360如何揪出这枚“隐形炸弹”？

这起漏洞事件的发酵，始于360安全云团队的一次常规扫描，整个过程严谨规范，完全遵循国际通用漏洞披露流程，每一步都尽显专业：

3月17日，360安全云团队通过“龙虾安全体检智能体”主动扫描，率先发现OpenClaw的WebSocket共享认证越权漏洞，这也是“以模治模”AI安全思路的一次典型落地；
发现漏洞后，360并未急于公开造势，而是第一时间向OpenClaw创始人Peter提交完整漏洞报告，同步报送国家信息安全漏洞共享平台（CNVD），全力推动官方修复，做到“先防护、后披露”，最大限度避免黑产提前利用；
短短几天内，OpenClaw创始人Peter通过官方邮件正式回应，明确承认漏洞存在、影响范围清晰，并已启动紧急修复方案；