一、 生态威胁概览
OpenClaw 作为当前最活跃的开源 AI Agent 框架,其核心矛盾在于“极高的系统操作权限”与“脆弱的生态信任体系”之间的脱节,即:
①资产暴露面: 全球超过 23 万个互联网暴露实例(以中美为主)。
②攻击趋势: 从简单的代码注入转向语义级攻击(利用 LLM 逻辑漏洞控制宿主机)。
目前主要受害者包括: 缺乏隔离环境的个人开发者、内网部署且未加固的企业测试环境。
二、 核心攻击向量分析
(1)供应链投毒:恶意 Skill 插件
攻击者通过发布功能诱人的第三方技能包(Skills),并在其中埋伏后门:
①技术手段: 利用 .py 脚本执行混淆后的 Base64 载荷,或通过 SVG 图像隐写术触发 XSS。
②后果: 攻击者可直接读取宿主机的 SSH 密钥、浏览器 Cookie 或进行勒索加密。
(2)间接提示词注入
这是 Agent 特有的“逻辑病毒”,攻击者无需直接连接你的电脑,只需在网页或文档中埋下特定指令,步骤如下:
用户让 OpenClaw 总结网页 → OpenClaw 读取到隐藏指令→指令覆盖系统提示词 →执行恶意动作(如:发送敏感文件给攻击者)
(3)WebSocket 劫持与 RCE
OpenClaw 默认通信协议存在的严重设计缺陷:
①漏洞本质: Openclaw缺乏来源校验,允许恶意网页通过浏览器直接向本地运行的 OpenClaw 发送控制命令。
②影响: 造成“点击即入侵”。
三、 风险等级评估
| 风险项 | 严重程度 | 触发难度 | 影响范围 |
| 容器逃逸/物理机直接运行 | 极高 (Critical) | 低 | 全系统权限丢失 |
| 恶意 Skill 投毒 | 高 (High) | 中 | 特定数据/身份信息窃取 |
| 间接注入攻击 | 中 (Medium) | 极低 | 意外执行误操作/数据外泄 |
四、 针对性工程防御规范
(1)环境治理:强制隔离原则
①禁止物理机直连: 建议使用 Docker 或轻量化虚拟机运行。
②资源配额: 限制容器的 CPU与内存,防止被用于挖矿。
③网络白名单: 仅允许访问必要域名,严格禁止访问 192.168.x.x 等内网段。
(2)执行加固:人机协同
①动作确认机制: 修改 config.yaml,确保 confirm_before_action: true。
②敏感动作管控: 建立敏感操作黑名单(如 rm, curl | bash, cat ~/.ssh/*),检测到此类指令时强制熔断并人工介入。
(3)Skill 安全审计标准
①静态审查: 凡是涉及 subprocess 或 os.system 的 Skill 必须进行代码逐行审计。
②动态沙箱: 在独立的实验性容器中测试新 Skill 的网络请求行为。
五、 总结与建议
OpenClaw 的便捷性源于其强大的系统交互能力,但也正是其最危险的弱点。目前的防御重点应从“检测恶意代码”转向“限制智能体行为边界”,对于个人用户,建议迁移至 Docker 部署;对于企业用户,建议引入流量审计与动作准入控制。
夜雨聆风