OpenClaw风险全链路分析及安全提示

OpenClaw由奥地利开发者 Peter Steinberger创建，最初是一个人的周末项目，目标是构建一个通过 WhatsApp 消息控制的本地 AI 助手。其项目核心设计理念是：“让 AI 通过你已经在用的聊天 App 跟随你”。OpenClaw与传统 AI 工具不同，它不在浏览器沙盒中运行，而是直接在宿主机操作系统层运行，拥有执行 Shell 命令、读写文件、控制浏览器的权限。

OpenClaw架构

• Gateway网关

核心控制面，默认监听 0.0.0.0:18789（旧版）或 localhost:18789（新版），接收来自微信等社交媒体或 Control UI 的指令；

• Control UI控制面板

基于 Web 的管理界面，负责配置 Agent、工具权限、集成服务；

• Nodes节点

远程执行主机，Agent 可在其上执行命令、控制浏览器；

• Skills技能/插件

第三方扩展插件，通过 ClawHub分发；

• Memory记忆

长期上下文存储，以明文 Markdown/JSON 形式保存于宿主机。

OpenClaw安全风险

OpenClaw漏洞风险

OpenClaw配置错误风险

场景一：反向代理未配置 trustedProxies

部署在 Nginx/Caddy 后方的 OpenClaw，若 trustedProxies 未正确配置，所有来自反向代理的请求都以 127.0.0.1 到达网关，被视为可信本地连接。效果等同于对全互联网开放无认证访问。

影响：攻击者无需密码，可通过反向代理直接访问控制界面、配置存储、凭据、会话历史。

场景二：凭据明文存储

OpenClaw将 API 密钥、密码、LLM Provider Token 以明文形式存储于 ~/.openclaw/ 目录下的 Markdown 和 JSON 文件中。RedLine、Lumma 等主流信息窃取木马已将OpenClaw的文件路径加入其默认采集列表。

影响：任何能访问文件系统的恶意软件（包括 ClawHub 上的恶意技能）均可直接读取全部凭据。

场景三：公开群组策略

在公开群组中部署OpenClaw，任何群成员均可发送 Prompt 指令，触发工具调用、文件读取和配置变更，无需管理员审批。

影响：群组成员可将OpenClaw用作跳板，进入具有更高权限的服务器。

事件一：Shodan 扫描暴露实例（2026年1月末）

安全研究员 Jamieson O'Reilly 通过 Shodan 发现数百个无认证OpenClaw实例，经手动验证后，成功访问了多个实例的 Anthropic API 密钥、Telegram Bot Token、Slack OAuth 凭据和数月完整聊天记录，能以用户身份发送消息、以完整系统管理员权限执行命令。

事件二：Moltbook 数据库泄露（2026年2月）

Wiz 研究团队发现并披露，Moltbook（OpenClaw 的配套 AI 社交网络）的 Supabase 数据库因 Row Level Security 未启用，暴露约 150万个 API 认证 Token、35,000 个电子邮件地址和 4,000 条私信。

事件三：Vidar 信息窃取木马感染（2026年2月25日）

Hudson Rock 披露，一名用户的OpenClaw配置目录被 Vidar 变种信息窃取木马窃取，完整的 Agent 操作上下文及所有集成服务凭据被回传。

OpenClaw技能生态与供应链风险

ClawHub作为OpenClaw的官方公共技能注册中心，其规模在短短数周内经历了爆发式增长：

• 截至2026年3月9日，ClawHub共收录18,140个社区构建的技能。

• 二月初技能注册表仅有约2,800个技能，2026年2月26日已飙升至超过10,700个，三周内增长约280%。

• GitHub上VoltAgent的awesome-openclaw-skills项目从13,729个原始技能中筛选出5,494个技能纳入推荐列表，排除6,940个未通过筛选的技能，排除比例约为50.5%。

这种超高速增长远超传统软件包仓库的历史增长曲线，也加剧了安全审计和恶意内容筛查的难度。

ClawHub面临的供应链安全风险较为严重。此平台的技能发布门槛极低，仅要求发布者拥有创建超过一周的 GitHub 账户即可完成上传，既无严格的身份核验机制，也未对技能代码开展前置审计，而用户出于对官方市场的天然信任，进一步放大了恶意技能流入生态并被广泛使用的风险。

面对庞大的技能库，社区维护者已开始实施系统性的质量筛选工作：

这种大规模的内容筛选实践揭示了一个令人警醒的现实：在一个开放且无门槛的技能发布平台上，低质量和恶意内容的比例超出了人们想象。

ClawHavoc攻击活动在2026年2月爆发，是对ClawHub平台最大规模的供应链攻击。Koi Security团队在对2,857个技能进行安全审计时发现341个恶意技能中，有335个属于ClawHavoc攻击活动。

攻击者采用了高度伪装的社会工程学策略下发多平台载荷，发布看似合法的技能如solana-wallet-tracker、youtube-summarize-pro等，通过详细的README文档与用户建立可信度，在README文档的“前置条件”部分，以安装依赖为名，要求用户执行恶意的安装命令，下载信息窃取木马。

ClawHavoc攻击活动的一个显著特点是其伪装策略的多样性和针对性：

1. 加密货币用户：111个恶意技能伪装成Solana钱包工具、Phantom钱包工具、钱包追踪器等；

2. 预测市场用户：34个恶意技能以polymarket-trader、polymarket-pro等名称出现；

3. YouTube内容创作者：57个恶意技能伪装成youtube-summarize、youtube-thumbnail-grabber、youtube-video-downloader等工具；

4. 开发者群体：28个恶意技能伪装成自动更新工具；

5. 普通用户：51个恶意技能伪装成金融与社交工具、17个伪装成Google Workspace集成工具、15个伪装成Ethereum Gas追踪器、3个伪装成比特币找回工具。

攻击的技术执行路径体现了对目标用户群体的精准理解：

Windows系统攻击链：

1. 要求用户从GitHub仓库下载名为“openclaw-agent.zip”的加密压缩包；

2. 密码设置为“openclaw”以绕过自动化杀毒扫描；

3. 压缩包内包含带有键盘记录功能的木马程序；

4. 可捕获机器上的API密钥、凭证以及AI助手已获取的所有敏感数据。

macOS系统攻击链：

1. 诱导用户复制glot.io托管的安装脚本并粘贴到终端执行；

2. 脚本包含混淆的shell命令，会从攻击者控制的基础设施获取后续载荷；

3. 联系IP地址91.92.242.30获取通用Mach-O二进制文件；

4. 该文件符合Atomic macOS Stealer（AMOS）的特征。

ClawHavoc攻击活动背后的威胁行为者展现出了高度的组织化和自动化特征：

1. 域名抢注：29个技能使用clawhub、clawhub1、clawhubb等仿冒名称；

2. 虚假系统提示：在技能安装时通过显示虚假“苹果软件更新”提示，静默建立加密隧道；

3. 时间延迟攻击：恶意代码在安装后数小时或数天后才激活；

4. 批量生成：使用自动化工具和脚本批量生成、上传和命名恶意技能；

5. 账号农场：注册大量GitHub账号，每个账号使用时长超过一周以满足平台要求；

6. 快速扩散：单个上传者发布677个恶意包，此规模攻击模式在传统的开源软件供应链攻击中极为罕见；

7. 恶意.md技能文件：技能可以包含UI不可见的Mermaid markdown恶意指令，由于本地扫描器不扫描该类型文件，实现安全检测绕过；

8. 碎片化攻击载荷：将恶意代码分散在多个文件中，只有在特定条件下才会组合执行；

9. 环境感知攻击：恶意技能能够检测运行环境（开发/生产、操作系统类型等）并调整攻击行为。

ClawHub上的恶意Skills攻击载荷呈现多样化演进趋势：

1. 外部恶意软件分发：技能安装指令包含恶意软件下载链接，常使用加密压缩包绕过安全检测；

2. 混淆数据外溢：通过base64、Unicode混淆命令，窃取用户凭证并发送至攻击者服务器；

3. 安全禁用与破坏性操作：诱导Agent关闭安全机制、修改系统配置或删除关键文件。

为应对供应链风险，OpenClaw已与 VirusTotal 合作，对新上传的技能进行恶意代码扫描与 LLM 内容语义分析，并对技能包进行基础结构审查。

ClawHub局限性体现在以下三方面：

一是 ClawHub 作为公开注册的软件市场，缺乏足够人力开展逐包人工审核，自动化检测又难以覆盖所有恶意变种；

二是恶意行为者可通过持续迭代规避手段，绕过平台检测能力；

三是事后管控缺失。即使恶意技能被发现后从 ClawHub 下架，已安装该技能的用户设备仍会保留并运行恶意程序，难以实现批量清除。

OpenClaw部署风险

内外网攻击者的暴露面

本地浏览器攻击

典型攻击链分析

OpenClaw加固建议

对企业用户的建议

1. 漏洞闭环与凭据管理

• 将所有 OpenClaw 升级至最新版本

• 全面轮换关联凭证，包括 LLM API 密钥、消息应用Token、邮件OAuth等

• 核查所有实例是否存在公网暴露情况，及时整改暴露风险

2. 网络层面防护

• 强制网关仅监听127.0.0.1:18789，禁用0.0.0.0全网监听模式

• 配置防火墙，拒绝18789端口的公网入向流量

3. 认证与权限管控

• 启用密码认证，设置16位以上强密码

• 定期轮换 Gateway Token，避免静态凭证泄露风险

• 启用短期配对码，替代静态 Token 用于身份验证

• 为 Control UI 配置独立浏览器 Profile，防御跨站劫持攻击

1. 供应链与插件管理

• 仅安装经官方审核的 ClawHub 技能

• 定期清理来源可疑或长期闲置的插件

• 新技能部署前，需在隔离环境完成代码审查和行为验证

2. 监控与审计机制

• 监控 18789 端口的异常连接行为

• 审计~/.openclaw/ 目录的访问记录，追踪异常操作

• 监控 mDNS 广播，发现内网中未申报的 OpenClaw 实例

3. 企业政策与流程管控

• 制定 OpenClaw 专项使用政策，明确使用规范与安全要求

• 将 OpenClaw 纳入影子 IT 扫描范围，防止未授权部署

• 开展员工安全意识培训，提升对相关风险的认知与防范能力

• 将 OpenClaw 实例安装、插件部署纳入标准变更管理流程，规范审批与实施环节

对个人用户的建议

结语