乐于分享
好东西不私藏
夜雨聆风 > > 办公文件 > OpenClaw 已被玩坏:从爆红到安全噩梦只用了两周

OpenClaw 已被玩坏:从爆红到安全噩梦只用了两周

当前时间： 2026-08-11 11:21:17 分类：办公文件 评论(0)
OpenClaw 已被玩坏:从爆红到安全噩梦只用了两周

背景：一个 AI Agent 的爆炸式崛起

OpenClaw[1]（曾先后命名为 Clawdbot、Moltbot）是由开发者 Peter Steinberger 创建的开源自托管 AI Agent 平台。用户在本地运行一个名为 Gateway 的常驻进程，连接 Claude、ChatGPT 等大模型，通过 WhatsApp、Telegram、Discord 等消息渠道与 Agent 交互，并授权其执行 Shell 命令、读写文件、浏览网页、发送邮件、管理日历等真实世界操作。

2026 年 1 月，OpenClaw 以 GitHub 历史上最快速度之一冲上 180,000 stars，两周内成为全球最热的开源项目。然而，极速增长的背后是同样极速暴露的安全隐患：Cisco 将其称为"网络安全灾难"[2]，Gartner 将其定性为"对 Agentic AI 的危险预演"，CrowdStrike 发布专项检测指南[3]。

OpenClaw 的安全危机并非源于单一漏洞，而是代表了 AI Agent 这一新型计算范式与传统安全边界之间系统性摩擦的集中爆发。

现状：2026 年初的连环危机

危机时间线

2026 年 1 月 27–29 日：ClawHavoc 供应链投毒

攻击者在 ClawHub 上批量上传 335 个精心伪装的恶意 Skill，使用 solana-wallet-tracker、youtube-summarize-pro 等专业外观名称，以 ClickFix 风格的社会工程学诱导用户执行外部命令，在 macOS 上植入 Atomic Stealer（AMOS）窃密木马，在 Windows 上安装键盘记录器和反向 Shell。Koi Security 命名此次行动为 ClawHavoc[4]，确认恶意 Skill 总数 341 个，占注册表 2,857 个 Skill 的约 12%。

2026 年 1 月 30 日：CVE-2026-25253 一键 RCE（CVSS 8.8）

OpenClaw Control UI 盲目读取 URL 参数 gatewayUrl 并自动连接，用户只需访问一个恶意网页，认证令牌即被窃取，攻击者获得 Gateway 完整控制权。该漏洞对绑定到 localhost 的实例同样有效（攻击链由受害者浏览器主动发起）。补丁在报告后不足 24 小时内随 2026.1.29 版本发布。详见 SonicWall 技术分析[5] 与 ProArch 漏洞说明[6]。

2026 年 1 月 31 日：40,000+ 实例暴露互联网

SecurityScorecard STRIKE[7] 扫描发现超过 40,000 个实例直接暴露公网，63% 可被远程利用，12,000+ 实例确认存在 RCE 风险。默认安装无需认证即可访问 Gateway。

2026 年 2 月：规模持续扩大

  • Bitdefender[8] 标记近 900 个恶意 Skill，约占总量 20%
  • Snyk ToxicSkills 研究[9]发现 36% 的 Skill 存在安全缺陷，76 个含确认恶意载荷
  • Wiz 研究[10]发现 Moltbook Supabase 数据库泄露 150 万 API Token 和 35,000 个邮箱地址
  • OpenClaw 与 VirusTotal 达成合作，开始对 Skill 进行意图分析

2026 年 3 月（最新动态）

  • ClawSecure 审计[11]显示恶意 Skill 增至 539 个（约 18.7%）
  • CVE-2026-22169[12] 披露 safeBins 白名单绕过漏洞，影响 2026.2.22 之前所有版本，已在 2026.2.24 修复
  • Deutsche Telekom Security、荷兰数据保护局、韩国监管机构相继发布安全警告

核心攻击面

攻击面
描述
典型场景
Skill 供应链
任何人均可提交 Skill，以 Agent 完整权限执行
ClawHavoc 恶意投毒
Prompt Injection
Agent 持续消费外部内容，攻击者可注入恶意指令
邮件/网页隐性指令投毒
Memory 污染
SOUL.md、MEMORY.md 被写入恶意内容后跨会话持续影响决策
持久化后门植入
基础设施暴露
Gateway 默认无认证、令牌明文存储
CVE-2026-25253 RCE 利用链

加固方向：多层纵深防御

OpenClaw 的安全加固不是单一配置项的调整，而是需要覆盖网络层、运行时层、Skill 层、Agent 认知层的完整防御矩阵。

1. 网络隔离（最高优先级）

  • 将 Gateway 严格绑定到 localhost，通过 SSH 隧道或 Tailscale 访问，绝不暴露于公网
  • 启用强认证令牌（2026.1.29 起已强制要求）
  • 白名单出口流量，拒绝到内网 CIDR 的回环访问，防止 SSRF

2. 容器化隔离

  • seccomp-BPF 过滤（仅约 50 个系统调用）
  • 非 root 用户运行，只读根文件系统
  • 不挂载宿主机 Docker Socket，仅挂载 Agent 实际需要的目录

容器化是对抗恶意 Skill 逃逸的核心防线。即便 Skill 突破 OpenClaw 沙箱，仍被限制在容器边界内。

3. Skill 供应链管理

  1. 安装前用 skillvet、clawscan、VirusTotal 意图分析扫描
  2. 拒绝含 curl | bash、外部二进制下载前置条件的 Skill
  3. 固定版本，避免自动升级带入新恶意载荷
  4. 建立 SHA256 哈希基线，定期校验完整性

慢雾发布的 openclaw-security-practice-guide[13] 提供了完整的 Skill 安装审计协议，可作为参考基准。

4. 工具权限最小化

  • 仅在业务需要时启用 Shell 执行、浏览器控制、文件写入等高危工具
  • 不可逆操作强制 Human-in-the-Loop 确认
  • 红线（绝不执行）/ 黄线（需人工确认）分级控制

5. 密钥与凭证保护

  • 通过环境变量注入，禁止明文写入配置文件
  • 使用 Keychain 或独立密钥管理服务替代默认明文存储
  • 生产环境 90 天、开发环境 30 天轮换；历史提交含 Key 立即轮换

6. Prompt Injection 防御

  • 对所有外部消费内容进行正则审计
  • 安装 prompt-guard、agent-hardening 防注入 Skill
  • 注意：同 UID 下的权限收窄无法阻止恶意代码读取同用户资源，彻底隔离需独立用户 + 容器化

7. 持续审计与响应

夜间自动巡检覆盖（慢雾安全实践指南 13 项核心指标）：

  • Gateway 存活、版本、配置哈希完整性
  • 进程/网络异常、磁盘新增大文件
  • 凭证明文 DLP 扫描
  • Skill/MCP 哈希基线 diff
  • ~/.openclaw/ 增量 Git commit 推送私有仓库

未来加固趋势

方向
描述
时间线
企业级认证
SAML/SCIM Enterprise SSO
Q3 2026 计划
Skill 沙箱隔离
Skill 在独立进程/容器中执行，彻底收窄爆炸半径
开发中
实时威胁情报clawsec-feed
 NVD CVE 订阅 + IOC 自动拦截
社区探索
HitL 标准化
高权限操作的标准化人工确认协议，超越 AGENTS.md 自定义规则
社区探索
Multi-Agent 安全
Agent 间信任边界、权限传递、指令来源验证
研究阶段
AI 认知层防御
高智能模型 + 思维链可审计性对抗 Prompt Injection
长期研究

结语

OpenClaw 的安全危机是 Agentic AI 时代的一次预演。AI Agent 的价值在于广泛的系统权限和自主执行能力，而这恰恰也是它成为高价值攻击目标的根本原因。Palo Alto Networks 将其总结为"致命三角"：

访问私密数据 × 暴露于不可信内容 × 具备代表用户执行工具的能力

当前没有任何配置能使 OpenClaw"完全安全"，官方文档本身也明确声明这一点。但通过网络隔离、容器化、Skill 审计、权限最小化、持续巡检的多层纵深防御，可以将风险控制在可接受范围内。

慢雾发布的 openclaw-security-practice-guide[14] 代表了目前社区最完整的 Agent 侧防御方案，其核心范式——从"基于主机的静态防御"转向"Agentic Zero-Trust Architecture"——将是 AI Agent 安全加固的长期主线。

参考资料

  • slowmist/openclaw-security-practice-guide[15] — 慢雾 OpenClaw 安全实践指南（Agent 驱动部署）
  • ClawHavoc: Analysis of Large-Scale Poisoning Campaign[16] — 安天对 ClawHavoc 供应链投毒事件的技术分析
  • CVE-2026-25253: OpenClaw One-Click RCE[17] — ProArch 对一键 RCE 漏洞的详细说明
  • From Token Theft to Full System Takeover[18] — SonicWall 对 CVE-2026-25253 的技术深度分析
  • CVE-2026-22169: safeBins Allowlist Bypass RCE[19] — SentinelOne 漏洞数据库
  • OpenClaw: The AI Agent Security Crisis Unfolding Right Now[20] — Reco 对 2026 年初连环危机的完整时间线梳理
  • OpenClaw Went from Viral AI Agent to Security Crisis in Just Three Weeks[21] — AdminByRequest 危机全景综述
  • ClawHavoc Malware Found in 539 OpenClaw Skills[22] — ClawSecure 3 月最新审计报告
  • OpenClaw Security Risks & Best Practices 2026[23] — PacGenesis 企业安全团队实践指南
  • OpenClaw Security Engineer's Cheat Sheet[24] — Semgrep 安全工程师速查手册
  • OpenClaw Hardening for MSPs[25] — Guardz 面向 MSP 的加固配置详解
  • Technical Best Practices to Securely Deploy OpenClaw[26] — Repello AI 技术部署清单
  • openclaw/SECURITY.md[27] — OpenClaw 官方安全策略文档
  • openclaw-security-monitor[28] — 59 项自动化检测脚本 + IOC 数据库 + Web 仪表板
  • Personal AI Agents like OpenClaw Are a Security Nightmare[29] — Cisco Talos 安全研究报告

引用链接

[1]OpenClaw: https://github.com/openclaw/openclaw

[2]Cisco 将其称为"网络安全灾难": https://blogs.cisco.com/security/personal-ai-agents-like-openclaw-are-a-security-nightmare

[3]CrowdStrike 发布专项检测指南: https://www.crowdstrike.com/en-us/blog/detecting-and-preventing-malicious-openclaw-activity/

[4]Koi Security 命名此次行动为 ClawHavoc: https://www.antiy.net/p/clawhavoc-analysis-of-large-scale-poisoning-campaign-targeting-the-openclaw-skill-market-for-ai-agents/

[5]SonicWall 技术分析: https://www.sonicwall.com/blog/openclaw-auth-token-theft-leading-to-rce-cve-2026-25253

[6]ProArch 漏洞说明: https://www.proarch.com/blog/threats-vulnerabilities/openclaw-rce-vulnerability-cve-2026-25253

[7]SecurityScorecard STRIKE: https://blog.cyberdesserts.com/openclaw-malicious-skills-security/

[8]Bitdefender: https://www.adminbyrequest.com/en/blogs/openclaw-went-from-viral-ai-agent-to-security-crisis-in-just-three-weeks

[9]Snyk ToxicSkills 研究: https://blog.cyberdesserts.com/openclaw-malicious-skills-security/

[10]Wiz 研究: https://blog.cyberdesserts.com/openclaw-malicious-skills-security/

[11]ClawSecure 审计: https://www.registerguard.com/press-release/story/44494/clawhavoc-malware-found-in-539-openclaw-skills-clawsecure-reports/

[12]CVE-2026-22169: https://www.sentinelone.com/vulnerability-database/cve-2026-22169/

[13]openclaw-security-practice-guide: https://github.com/slowmist/openclaw-security-practice-guide

[14]openclaw-security-practice-guide: https://github.com/slowmist/openclaw-security-practice-guide

[15]slowmist/openclaw-security-practice-guide: https://github.com/slowmist/openclaw-security-practice-guide

[16]ClawHavoc: Analysis of Large-Scale Poisoning Campaign: https://www.antiy.net/p/clawhavoc-analysis-of-large-scale-poisoning-campaign-targeting-the-openclaw-skill-market-for-ai-agents/

[17]CVE-2026-25253: OpenClaw One-Click RCE: https://www.proarch.com/blog/threats-vulnerabilities/openclaw-rce-vulnerability-cve-2026-25253

[18]From Token Theft to Full System Takeover: https://www.sonicwall.com/blog/openclaw-auth-token-theft-leading-to-rce-cve-2026-25253

[19]CVE-2026-22169: safeBins Allowlist Bypass RCE: https://www.sentinelone.com/vulnerability-database/cve-2026-22169/

[20]OpenClaw: The AI Agent Security Crisis Unfolding Right Now: https://www.reco.ai/blog/openclaw-the-ai-agent-security-crisis-unfolding-right-now

[21]OpenClaw Went from Viral AI Agent to Security Crisis in Just Three Weeks: https://www.adminbyrequest.com/en/blogs/openclaw-went-from-viral-ai-agent-to-security-crisis-in-just-three-weeks

[22]ClawHavoc Malware Found in 539 OpenClaw Skills: https://www.registerguard.com/press-release/story/44494/clawhavoc-malware-found-in-539-openclaw-skills-clawsecure-reports/

[23]OpenClaw Security Risks & Best Practices 2026: https://pacgenesis.com/openclaw-security-risks-what-security-teams-need-to-know-about-ai-agents-like-openclaw-in-2026/

[24]OpenClaw Security Engineer's Cheat Sheet: https://semgrep.dev/blog/2026/openclaw-security-engineers-cheat-sheet

[25]OpenClaw Hardening for MSPs: https://guardz.com/blog/openclaw-hardening-for-msps/

[26]Technical Best Practices to Securely Deploy OpenClaw: https://repello.ai/blog/technical-best-practices-to-securely-deploy-openclaw

[27]openclaw/SECURITY.md: https://github.com/openclaw/openclaw/blob/main/SECURITY.md

[28]openclaw-security-monitor: https://github.com/adibirzu/openclaw-security-monitor

[29]Personal AI Agents like OpenClaw Are a Security Nightmare: https://blogs.cisco.com/security/personal-ai-agents-like-openclaw-are-a-security-nightmare