我国官方今日正式发布OpenClaw安全使用指导,强调隔离部署、权限最小化与供应链防护。
OpenClaw技能市场12%-20%技能含恶意代码(ClawHavoc攻击链),供应链风险已成主流隐患。
近期多项高危CVE(授权绕过、路径绕过、TOCTOU RCE)获最新补丁,社区呼吁立即更新并严格隔离。
中国国家计算机网络应急技术处理协调中心(CNCERT/CC)与网络安全协会于3月23日(周日发布、今日广泛报道)联合发布《OpenClaw安全使用指导》。这是国家级监管首次针对这一爆红开源AI代理工具发出专项指引,核心内容包括:
普通用户必须在专用设备、虚拟机或容器中安装,严格环境隔离,禁止安装在日常工作机上;
禁止以管理员/超级用户权限运行;
禁止在OpenClaw环境中存储或处理私密/敏感数据;
必须及时更新至最新版本。
云服务商需进行基线加固、部署防护能力、强化供应链与数据安全。企业与开发者则需遵循最小权限与零信任原则。该指导直接回应OpenClaw快速普及带来的系统接管、密钥泄露、恶意插件等现实风险,是今日最核心的安全事件。
开发者@ k_aik_ou今日在Qiita发布长文,披露Koi Security审计ClawHub 2857个技能发现341个(约12%)含恶意代码,Bitdefender更大范围分析显示约20%;绝大多数与ClawHavoc协调攻击相关,携带AMOS窃密器、RAT、MCP后门等。 官方账号密集转发指导内容,引发“安全梦魇”“影子AI威胁”讨论。 同时,GhostClaw假npm包窃取Keychain/SSH/助记词的警告也在传播。OpenClaw供应链攻击已从“单个漏洞”升级为“生态级污染”,成为今日热度峰值。
| GHSA/CVE | 严重性 | 类型 | 影响版本 | 修复版本 |
CVE-2026-32051 | 8.7 | |||
CVE-2026-22180 | 4.8 | 路径限制绕过 | ||
CVE-2026-27670 | 5.8 |
社区与安全研究团队今日最关注的问题是以下三大技术点:供应链恶意技能污染:ClawHub审查机制缺失导致12%-20%技能携带base64 dropper、MSI安装器、bore.pub隧道。ClawHavoc战役利用OAuth token与持久内存,实现Slack/Gmail/Drive横向移动。社区呼吁强制`openclaw security audit --deep`并隔离权限。
WebSocket与审批机制缺陷:CVE-2026-25253核心链路(query参数gatewayUrl无origin验证 + WebSocket绕CORS)+ 近期TOCTOU/授权不一致,说明OpenClaw“信任本地连接”设计在浏览器环境中极易被劫持(ClawJacked同类风险)。
路径/文件写绕过与隔离失效:browser output、ZIP race、stageSandboxMedia路径遍历等,暴露“sandbox”实际保护力不足。社区共识:必须结合`settings.json`硬化(bind=127.0.0.1、workspaceOnly=true、corsOrigins白名单、read-only Docker)+ VM/容器才能真正降低风险。整体观点是“OpenClaw已从极客玩具变成企业基础设施,安全滞后于采用速度”。
PART 05 立即行动建议
立即升级:若仍在使用原版OpenClaw,升级至最新稳定版本(至少2026.3.7或更高),优先采用NemoClaw单命令部署(支持本地/云/RTX)。
强制隔离:Docker/container运行,禁用管理员权限,仅授权必要目录;管理端口(默认18789)绝不暴露公网,用VPN/反向代理访问。
技能与提示安全:仅用官方/验证skill,安装Skill Vetter扫描器;禁用自动技能更新;所有密钥用环境变量/密钥管理器,绝不明文存prompt。
操作确认:开启二次确认(删除、发邮件等不可逆操作);设置Token/消费上限;开启debug日志实时监控。
额外防护:禁用自动网页浏览或严格沙箱;企业/政府用户参考CNCERT建议,避免办公电脑直接运行;测试环境与生产彻底隔离。
立即执行以上措施,可将风险降至可控水平。持续关注GitHub advisories与NVD,OpenClaw安全仍处于“快速迭代补丁”阶段。
夜雨聆风