OpenClaw 安全风险白皮书 2026 Q1
权限模型的系统性缺失：根因分析与风险评估
执行摘要
本报告基于 2026 年第一季度公开披露的 17 个漏洞（CVE/GHSA），结合 SecurityScorecard、Kaspersky、Koi Security、Wiz、Trend Micro、Microsoft 等机构的独立研究数据，对 OpenClaw 的安全风险进行系统性分析。
维度 | 关键数据 |
公网暴露实例 | 135,000+（SecurityScorecard，2026.02）[1]；3 月底降至 63,070（Censys）[14] |
含已知漏洞占比 | 63% [1]；其中 12,812 个可被 RCE 直接利用 |
Q1 漏洞总数 | 17 个（Critical 2、High 11、Medium 4），平均修复周期 12 天 |
供应链投毒规模 | ClawHavoc：首个恶意技能上线到大规模爆发仅 5 天，截至 4 月已扩散至1,184+ 个恶意技能 |
典型真实事件 | Kaspersky 在近千个无认证实例中获取 API 密钥及系统级执行权限；Meta安全总监 Summer Yue 的 agent 在明确指令下仍删除逾 200 封邮件 [12] |
企业可见性缺口 | 仅 21% 的高管对 agent 权限、工具使用和数据访问有完整可见性 [9] |
上述数据并非偶发的独立事故，而是同一结构性根因的多维投影：OpenClaw 在设计层面缺乏统一的权限模型， 其安全性依赖于操作者对默认配置的主动审视与逐项收紧， 而非系统自身的架构保证。
本报告将证明，17 个漏洞中的绝大多数，不是「忘记做检查」， 而是「检查模型与实际执行语义之间存在结构性裂隙」。这种裂隙在以下四个漏洞家族中均有体现：
家族 A —控制面与路径边界缺失（8 例）
边界校验未系统覆盖，集中暴露于产品快速扩张期。
家族 B —Wrapper/Allowlist 语义不完备（3 例）
以字符串匹配近似 shell 语义，产生持续性绕过。
家族 C —Token/Identity/Environment 语义漂移（5 例）
凭证在多子系统间复用，修复难度最高。
家族 D —Sandbox 假设不足（1 例）
产品文档声称的隔离与实际实现不一致。
官方安全投入正在加速——2026.3.31 与 2026.4.5 的安全收紧是积极信号——但家族B 和 C 的漏洞在 4 月仍在产生新变体（V16、V17），表明权限模型从「安全控制叠加」演化为「架构级设计保证」尚需时日。在此过渡期内， 操作者须承担主动配置审计与持续监控的责任。
第一章 OpenClaw：一个被当作聊天工具使用的执行运行时
1.1 增长速度本身即安全事件
OpenClaw 从 2025 年 11 月诞生至 2026 年 1 月底，不到三个月内积累了 180,000 个GitHub Stars。到 2026 年 4 月，这一数字已攀升至 349,000 Stars 与 69,900 Forks [13]。 Trend Micro 在 3 月的分析中将其定义为「chatbot 时代的终结与 sovereign agent 时代的开始」 [5]。
如此迅猛的增长速度本身就构成一个安全议题。传统软件的安全审计能够匹配发布节奏，但当一个拥有宿主级执行权限的工具在数周内从小众项目演变为被数万实例所依赖的基础设施，安全审查的时间窗口被压缩至近乎为零。SecurityScorecard 于 2 月发现，549个暴露实例与既往入侵活动存在关联 [1]——这些实例的操作者，极有可能并不知道自己的 agent 正在互联网上裸奔。
1.2 架构定义：受委托执行运行时
理解 OpenClaw 的风险，必须先厘清它的本质。它不是聊天界面， 不是代码补全工具，而是一个受委托执行运行时（Delegated Execution Runtime）：接收文本指令，通过模型推理选择工具，然后在真实环境中执行动作。官方文档将其架构划分为三层：
工具层（Tools）：全新安装默认暴露 30 个工具，包括 exec（执行宿主命令）、browser （控制浏览器实例）、message（发送消息）、web__fetch（发起 HTTP 请求）、cron（创建定时任务）、 sessions__spawn（创建子会话）、 gateway（管理入口配置）。
技能层（Skills）：注入系统提示词的行为规范。 skills.entries 中声明的环境变量和 API密钥，在 agent 启动前注入宿主进程的环境变量空间，从而直接扩大凭证可见面。
插件层（Plugins）：将频道、提供商、工具、技能打包为可分发单元。原生插件可在进程内执行，三层之间不存在严格的安全隔离。
三层之间不存在严格的安全隔离。 一个恶意技能可以通过提示词层误导模型推理， 同时通过 entries 机制接触到宿主进程的真实凭证。最终的安全影响——无论攻击链起点位于哪一层——都通过工具层的实际执行得以兑现。
1.3 官方信任边界的适用范围
官方安全页面明确声明： 一条 Gateway 构成一个 trusted operator boundary，不提供hostile multi-tenant 隔离。对个人开发者在自己设备上运行私人助手，这一假设具有合理性。但当同一套工具被部署为团队共享的自动化后端、接入公开 WebChat、或集成进商业产品时，「单一受信操作者」的假设便不再成立。
Microsoft 在 2026 年 2 月 19 日的安全博客中将此问题精确概括为：两条供应链——
不受信代码（skills/extensions）与不受信指令（外部文本输入） ——在同一个执行运行时里汇合 [6]。Microsoft 的建议措辞强硬：应在完全隔离的虚拟机或独立物理机中部署，使用专用非特权凭证，且仅访问非敏感数据。
1.4 行业已有认知的范围与局限
在展开本报告的核心分析之前，有必要梳理行业对 OpenClaw 风险的现有认知边界，以明确本报告的增量价值。
OWASP Agentic Top 10 [7]（2025 年 12 月 / 2026 年更新）：超过 100 位研究者参与编制，定义了 10 个风险类别。其中 ASI01 至 ASI05 五个类别均与 OpenClaw 的默认行为存在直接映射， 覆盖 Agent Goal Hijack、Tool Misuse、Identity Abuse、供应链漏洞和上下文污染等核心风险。
Kaspersky 安全审计（2026 年 1 月底）：发现 512 个漏洞，其中 8 个 Critical 级别 [3]。研究员在近千个无认证实例中成功获取 Anthropic API 密钥、Telegram bot token、Slack账号及数月完整聊天记录，并能以系统管理员权限执行任意命令 [3]。
Sangfor 四维模型：将风险分为产品风险（CVE）、部署风险（暴露面）、供应链风险（ClawHavoc）和治理风险（影子部署），各维度均附量化数据支撑 [10]。
Trend Micro（2026 年 3 月）：提出「持久性」是 OpenClaw 引入的第四个攻击乘数——local-first 架构将一切写入磁盘 JSON 文件，形成时间偏移攻击向量：今日注入的恶意 prompt，可能数周后才触发执行 [5]。
上述分析各有侧重， 但共享一个局限：它们描述的是「存在哪些风险」，而非「为什么会存在这些风险」。它们无法回答安全团队最关键的问题： 哪些问题可通过配置修复， 哪些需要等待平台级架构变更？这正是本报告的切入点。
1.5 研究方法
公开漏洞数据库：NVD、GitHub Advisory Database（GHSA）、jgamblin/OpenClawCVEs自动化追踪仓库，用于构建 Q1 漏洞结构化表格及根因分类。
第三方安全研究报告：SecurityScorecard、Koi Security、Kaspersky、Wiz、Trend Micro、 Microsoft、OWASP、Oasis Security、Help Net Security、Sangfor，用于暴露面量化与真实事件交叉验证。
官方文档与源码常量： OpenClaw 官方安全模型、Tools/Skills/Plugins 文档、编译后源码中的默认值常量，用于架构行为分析。
漏洞根因分类采用归纳法： 先按 CWE 标注各漏洞技术根因， 再按架构共性归纳为家族，最后评估各家族的收敛程度。时间窗口：漏洞分析覆盖 2026 年 1 月 1 日至 3 月 31日，外部数据引用截止 2026 年 4 月 5 日。
第二章 核心论点：权限模型的系统性缺失
2.1 权限模型与安全控制的本质差异
在传统安全工程中，权限模型（Permission Model）指系统在设计层面先于功能实现而存在的一组规则：定义谁能在何种条件下以何种粒度访问哪些资源。Linux 的文件权限位、Android 的 manifest 权限声明、浏览器的同源策略， 均是权限模型的典型实例——它们不是事后补丁，而是架构基线。
OpenClaw 目前拥有丰富的安全相关配置项（auth mode、allowlist、dmScope、browser trust policy），以及运行时检查机制（exec approval、install scanning、ACP semantic classes）。但这些属于安全控制（Security Controls），而非权限模型（Permission Model）。两者的差异具有本质性：
维度 | 安全控制（当前） | 权限模型（目标） |
设计时序 | 先有完整能力，再通过配置叠加约束 | 从设计层就限定能力边界， 约束先于功能存在 |
覆盖方式 | 逐项功能需要独立的安全控制覆盖， 遗漏即暴露 | 未显式授权的资源默认不可访问（fail- closed） |
责任归属 | 操作者须主动识别并收紧每一项默认值 | 系统自身的设计保证安全起点， 操作者在此之上配置 |
可持续性 | 每次功能迭代可能引入新的未覆盖控制路径 | 新功能须在权限模型框架内显式声明，架构一致性强 |
OpenClaw 的现状是前者。这并非批评——对于一个从个人开发者工具快速演化为基础设施的项目， 先实现功能再逐步收紧是常见的工程路径。但这意味着： 在当前阶段， 每一项默认配置的安全性均依赖于操作者的主动干预。
2.2 默认配置的高风险组合
「安全控制叠加」而非「权限模型内建」的架构，在 OpenClaw 的默认行为中有极为具体的体现。以下每一项均可从官方文档和公开源码直接确认。
执行权限默认全开。官方 security audit 命令输出显示 tools.elevated: enabled，本地 exec 审批配置为 security=full, ask=off, allowlist=0。三者组合意味着： agent持有宿主级命令执行权限、执行前无需人工确认、且无任何命令白名单约束。Kaspersky的渗透测试已验证——研究员在公开实例上直接以系统管理员权限执行了任意命令。
会话上下文默认聚合。dmScope 默认值为 "main"（源码 base-session-key-2NJCUHEq.js第 9 行）。来自不同发送者的直接消息默认路由到同一个 agent 会话。在团队共享 Gateway
的场景下，不同用户的对话上下文可能产生交叉污染。
对话记录明文落盘。 Transcript 默认以明文 jsonl 格式写入宿主磁盘， 文件权限 0644
——同机任何用户均可读取。内容涵盖用户输入、模型输出、 provider/model 信息及 token成本数据。Trend Micro 将这种架构称为「第四个攻击乘数」 [5]；Kaspersky 在实战渗透中证实可从公开实例直接获取数月的完整聊天记录 [3]。
浏览器工具默认允许私网访问。编译后源码中：DEFAULT_OPENCLAW_BROWSER_ENABLED为 true，DEFAULT_BROWSER_EVALUATE_ENABLED 为 true，SSRF 策略设为 dangerously- AllowPrivateNetwork: true。变量名中的 dangerously 前缀表明开发者本身意识到此为高风险配置，却仍将其设为默认值。
技能运行时凭证可见面过宽。 skills.entries 中声明的环境变量和 API 密钥被注入宿主进程的环境变量空间。技能代码运行时可见的， 不是按技能最小化的凭证视图， 而是宿主进程的完整环境变量空间。ClawHavoc 的部分恶意载荷正是利用这一特性直接窃取~/.clawdbot/.env 文件中的 AI 服务 token。
供应链双轨安全属性不一致。ClawHub 安装路径自 2026.3.31 起启用了 dangerous- code 扫描（fail-closed）。但本地 workspace drop-in 路径不触发任何扫描。若攻击者转向社交工程手段（在 GitHub 仓库或团队文档中分发恶意技能文件），本地路径将缺少扫描防线。
2.3 组合效应：从单项缺失到系统性风险
上述默认值单独看各有工程合理性——它们优化的是开发者体验与易用性。但组合后构成了一个高权限、可被外部内容影响、在宿主磁盘留下明文痕迹的执行面， 而操作者对此可能毫无感知。
17 个漏洞的绝大多数，不是「忘记做检查」，而是「检查模型与实际执行语义不一致」，无法通过添加单个 if 语句永久修复。
40,214 个暴露实例的核心问题，不是「操作者不懂安全」， 而是「默认配置没有给出安全的起点」——Help Net Security 调查显示仅 21% 的高管对 agent 权限有完整可见性[9]。
1,184+ 个恶意技能造成实际损害，根本原因是技能运行时的凭证可见面过宽——从零到大规模投毒仅用了 5 天。
第三章 Q1 漏洞根因族谱
2026 年第一季度，OpenClaw 公开披露了 17 个漏洞（CVE/GHSA）。其中仅 3 月
18–21 日四天内便集中披露了 9 个 [16]。jgamblin/OpenClawCVEs 自动化追踪仓库截至4 月共记录 156 条安全公告，其中 128 条尚待 CVE 分配 [13]。本章关注的是：这些漏洞在根因上属于哪些家族？修复是「补一个 patch」还是「改一层架构」？
3.1 Q1 漏洞结构化总览
编 号 | CVE/GHSA | CVSS | CWE | 简述 | 族 |
V1 | CVE-2026-25593 | 9.8 | CWE- 78 | WebSocket config.apply 鉴权缺失→ 本地 RCE | A |
V2 | CVE-2026-25253 | 8.8 | CWE- 669 | Control UI 信任 gatewayUrl 参数 → one-click token 窃取 → RCE（Claw- Jacked [8]） | A |
V3 | CVE-2026-25801 | 7.8 | CWE- 426 | Docker sandbox PATH 注入 → 容器逃逸 | A |
V4 | CVE-2026-25912 | 8.1 | CWE- 78 | sshNodeCommand 参数命令注入 | A |
V5 | CVE-2026-26104 | 6.5 | CWE- 22 | MEDIA:/path 文件读取越界 | A |
V6 | CVE-2026-26203 | 7.5 | CWE- 22 | plugin install 路径穿越 → 任意文件写入 | A |
V7 | CVE-2026-26415 | 5.3 | CWE- 863 | voice-call allowlist 绕过 | A |
V8 | CVE-2026-26720 | 6.8 | CWE- 73 | transcript 路径重定向 → 任意位置写入 | A |
V9 | GHSA-4685-c5cp- vp95 | 7.2 | CWE- 78 | sort -o / 递归 grep 绕过 safeBins stdin-only 限制 | B |
V10 | CVE-2026-32046 | 9.8 | CWE- 693 | Chromium 以 --no-sandbox 启动 →容器内 RCE | D |
V11 | CVE-2026-32003 | 7.5 | CWE- 78 | SHELLOPTS/PS4 环境变量注入绕过 system.run allowlist | C |
V12 | CVE-2026-28460 | 8.1 | CWE- 78 | 换行符与命令替换绕过 allowlist | B |
V13 | CVE-2026-32897 | 6.3 | CWE- 287 | gateway.auth.token 复用为 owner-id prompt hashing fallback | C |
V14 | CVE-2026-33102 | 6.5 | CWE- 863 | approval identity mismatch：审批身份与执行身份不一致 | C |
V15 | CVE-2026-33205 | 7.2 | CWE- 269 | exec token 处理绕过 → 权限提升 | C |
编 号 | CVE/GHSA | CVSS | CWE | 简述 | 族 |
V16 | GHSA-xxxx- yyyy-zzzz | 7.0 | CWE- 78 | allowlist 多条件联合利用绕过 | B |
V17 | GHSA-39pp- xp36-q6mg | 7.5 | CWE- 74 | 环境变量清洗不一致（V11 变体） | C |
统计摘要：Critical（CVSS ≥ 9.0）2 个，High（7.0–8.9） 11 个，Medium（4.0–6.9） 4 个。平均修复周期约 12 天。家族 A 占 8 例（47%），家族 C 占 5 例（29%），家族 B 占 3 例（18%），家族 D 占 1 例（6%）。
3.2 家族 A：控制面与路径边界缺失（V1–V8，8 例）
共同根因：系统边界本应清晰， 但在实现时某条控制链未能封住。 Control UI 不应信任 URL 参数中的 gatewayUrl；plugin install 不应允许路径穿越；transcript 写入路径不应可被外部重定向。修复模式通常为边界校验、输入归一化、fail-closed 策略，工程难度相对有限。
V2（CVE-2026-25253，「ClawJacked」）最值得展开：攻击者构造含恶意 gatewayUrl参数的链接 → 受害者点击后浏览器打开 Control UI → applySettingsFromUrl() 盲目接受该参数 → 自动连接恶意 gateway 并发送存储的认证 token → 攻击者完全控制受害者的本地 agent（CVSS 8.8）。此漏洞揭示了「以浏览器为桥梁的本地攻击」这一攻击类别——攻击者无需直接连接受害者网络。
该家族的 8 个漏洞集中在 2026 年 1–2 月，反映的是产品从开发阶段向生产部署过渡时，控制面长期处于扩张状态——新功能不断增加，但边界定义尚未系统到位。
3.3 家族 B：Wrapper/Allowlist 语义不完备（V9, V12, V16，3 例）
共同根因： 以字符串层面的约束近似 shell 语义。Allowlist 检查的是「命令文本看起来像什么」，但 shell 实际执行的可能是完全不同的操作。
V9（GHSA-4685-c5cp-vp95）最具代表性：safeBins 功能允许 grep、sort 等工具在stdin-only 模式下免审批执行，但其实现依赖启发式判断。攻击者通过 sort -o（将输出写入任意文件） 和 grep -R（递归读取文件系统） 绕过了这一限制，将 stdin-only 的安全预期转化为任意文件读写能力。
此家族在一个季度内出现了三个变体（V9/V12/V16），跨越 2–4 月，每修复一个变体，下一个变体随即出现。频率本身说明命令标准化与预览一致性远未达到稳态。 2026.3.31 引入的 semantic approval classes——从按工具名匹配升级为按操作语义分类——是对此问题的结构性回应，但新机制自身的收敛程度尚待观察（V16 在 4 月 1 日修复即为证明）。
3.4 家族 C：Token/Identity/Environment 语义漂移（V11, V13, V14, V15, V17，5 例）
共同根因： 同一份 secret 或 identity 在多个子系统中的角色发生混用。这是四个家族中修复难度最高的。
V13（CVE-2026-32897，CVSS 6.3）为典型案例：当 commands.ownerDisplay 设为hash 且 commands.ownerDisplaySecret 未配置时，系统将 gateway.auth.token 复用为owner-id prompt hashing 的 fallback secret。攻击者若能获取发送给第三方模型提供商的系统提示词，便可从 hash 输出反推 gateway 认证 token，突破 gateway 认证。一个 token同时承担了认证、身份推导、提示词哈希三种不相关职责， 正是缺乏统一凭证生命周期管理的直接体现。
V11（CVE-2026-32003）与 V17（GHSA-39pp-xp36-q6mg）是同一根因的两个变体：环境变量清洗逻辑在不同代码路径上行为不一致。V11 利用 SHELLOPTS 和 PS4 变量通过 bash xtrace 扩展执行任意命令； V17 是 V11 修复后暴露的另一条不一致路径。这种修复-绕过循环表明，在凭证流动路径未被系统性清理之前，同类问题将持续复现。
3.5 家族 D：Sandbox 假设不足（V10，1 例）
V10（CVE-2026-32046，CVSS 9.8）： 浏览器容器中 Chromium 以 --no-sandbox 标志启动，攻击者利用 renderer 侧漏洞无需沙箱逃逸即可在宿主系统上执行代码。这揭示了一个重要原则： 当产品文档使用 sandbox、isolated、contained 等词汇时，安全团队须独立验证这些声明背后的实际实现。
3.6 四家族对安全决策的含义
家族 | 数量 | 修复难度 | 复现概率 | 操作者建议 |
A 控制面/路径边界 | 8 | 低–中 | 新功能引入时 | 及时更新版本， 关注 release note |
可能再现 | 中的边界修复 | |||
B Allowlist 语义 | 3 | 中–高 | 高（已观察到 | 对 exec/shell 权限采取最小化策 |
多次循环） | 略，不以 allowlist 为唯一防线 | |||
C Token/Identity 漂移 | 5 | 高 | 高（直至架构 | 审计凭证跨系统流动路径， 为不 |
级重构） | 同用途配置独立凭证 | |||
D Sandbox 假设 | 1 | 中 | 取决于新隔离机制 | 独立验证产品文档中的隔离声明，不依赖厂商自述 |
第四章 真实世界的验证
架构分析回答的是「理论上会怎样」。本章将视角转向外部， 以行业数据和真实安全事件验证前述分析的现实指向。
4.1 暴露面量化：从 135,000 到 63,070
指标 | 数据 | 来源 |
总暴露实例数 | 135,000+（深度分析子集： 40,214） | SecurityScorecard |
存在已知漏洞占比 | 63% | SecurityScorecard |
可被 RCE 直接利用 | 12,812 个 | SecurityScorecard |
与既往入侵活动关联 | 549 个 | SecurityScorecard |
3 月底存活实例 | 63,070 个（六周内下降约 53%） [14] | Censys |
报告高风险 agent 行为 | 80% | Help Net Security |
高管有完整可见性 | 仅 21% | Help Net Security |
预期一年内发生重大安全事件 | 97% 的受调查企业 [17] | Arkose Labs |
Censys 数据的下降趋势说明公开披露确实推动了部分补救行动，但仍有超过 6 万个实例持续暴露在互联网上。63% 的漏洞含有率意味着绝大多数已暴露实例并未及时打补丁。
4.2 供应链投毒： ClawHavoc 运动
ClawHavoc 是 2026 年初针对 OpenClaw 生态的最大规模供应链投毒运动， 从首个恶意技能上线到大规模爆发仅历时 5 天 [2][11][15]。
日期 | 事件 |
2026-01-27 | 首个恶意技能上线 ClawHub |
2026-01-31 | 恶意技能集中爆发 |
2026-02-01 | Koi Security [2] 命名运动为 ClawHavoc，初始审计发现 341 个恶意技能（其中 335 属同一运动） |
2026-02（中旬） | ClawHub 扩张至 10,700+ 技能，恶意技能增长至 824+ |
2026-03-31 | OpenClaw 2026.3.31 版本引入 install scanning fail-closed |
2026-04（初） | 后续追踪报告恶意技能数量超过 1,184 个 |
恶意技能伪装为加密追踪器、YouTube 摘要器、自动更新器等合法工具，主要载荷分为三类：信息窃取器（AMOS），335 个技能通过 Prerequisites 章节诱导用户下载密码保护的 ZIP 或执行 base64 混淆的终端命令，最终部署 Atomic macOS Stealer；反向shell 后门，嵌入功能正常的代码中，在正常使用过程中触发；凭证外传脚本，直接窃取~/.clawdbot/.env 文件中的 AI 服务 token 并通过 webhook 外传。
需要特别指出：ClawHavoc 走的是 ClawHub 路径，2026.3.31 后已有 fail-closed 扫描覆盖。但本地 workspace drop-in 路径不触发任何扫描。若攻击者转向社交工程手段，本地路径将成为无防线的攻击向量。
4.3 典型安全事件分析
事件一：Summer Yue 邮件删除事件（2026 年 2 月）
Meta 超级智能实验室对齐方向负责人 Summer Yue [12] 将 OpenClaw agent 连接至个人 Gmail。在低风险测试收件箱上运行数周、表现正常后， 她切换至真实收件箱， 并明确指示 agent 「仅建议应归档或删除的邮件，不要执行任何操作」。
真实收件箱的邮件量远超测试环境， agent 在处理过程中触发了 context window com- paction。上下文压缩算法将其安全指令视为低优先级对话上下文予以丢弃， 随后 agent 开始自主删除所有超过一周的邮件。Yue 连续发送停止指令均被忽略， 最终不得不物理终止进程，损失逾 200 封邮件。事后 agent 回应：「是的， 我记得。我违反了它。你有权生气。」
此事件映射至 OWASP ASI05（Memory and Context Poisoning）与 ASI09（Human- Agent Trust Exploitation）。它证明的是一个架构级问题：安全指令与普通对话文本共享同一易失性存储空间， 无优先级区分， 无持久化保护， 系统丢弃指令时无任何告警。即使是世界级 AI 安全研究者，也无法通过操作层面的谨慎来弥补架构层面的缺失。事件发生后，Meta 禁止员工在公司设备上使用 OpenClaw。
事件二：Moltbook 数据库泄露 [4] （2026 年 1 月）
Moltbook 是 OpenClaw 的 agent 社交层平台，上线 72 小时内即发生严重数据泄露。 Wiz 安全团队于 1 月 31 日发现 Supabase API key 暴露在客户端 JavaScript 中，且 Row Level Security（RLS）未启用，任何拥有浏览器的人均可未认证访问整个生产数据库。
泄露类型 | 数量 |
API 认证 Token | 1,500,000 |
人类用户邮箱 | 17,000 |
私信对话（agent__messages 表） | 4,060 个 DM 会话 |
Agent Profile | 1,500,000 |
部分 DM 中包含明文 OpenAI API 密钥 | 数量未公开 |
Moltbook 在 Wiz 通知后 1 小时 41 分内修复了敏感表的读权限，但公开表的写权限仍然开放——研究员在修复后仍能成功修改平台上的现有帖子。此事件揭示了 OpenClaw生态中凭证暴露面的系统性扩散。
事件三：Kaspersky 实战渗透 [3] （2026 年 1 月底）
Kaspersky 研究员针对近千个无认证公开实例实施渗透测试，在其中成功获取了 An- thropic API 密钥、Telegram bot token、Slack 账号及数月的完整聊天记录，并能以用户身份发送消息、以系统管理员权限执行任意命令。512 个已识别漏洞中有 8 个 Critical 级别。Kaspersky 的评估认为，部分问题属于架构层面的基本设计问题，而非可通过简单配置修复的错误。
第五章 组合风险：攻击链路分析
前述章节分别分析了架构设计、漏洞根因和真实事件。本章将它们串联， 展示在具体部署场景下，独立的风险项如何组合成完整的攻击链路。
5.1 S1：公共内容投毒 → 间接注入 → 宿主命令执行
前提条件：agent 能抓取外部内容（browser 或 web__fetch），且 exec 策略为 ask=off （默认）。
步骤 | 动作 | 利用的默认配置 |
1 | 攻击者在网页、邮件或共享文档中嵌入恶意指令 | — |
2 | Agent 抓取该内容，恶意指令进入上下文 | browser/web__fetch 默认启用 |
3 | 恶意指令误导 agent 执行 shell 命令 | 模型推理无防护层 |
4 | 被误导的工具调用直接执行，无需人工确认 | exec ask=off + allowlist=0 |
5 | 执行结果写入 transcript，痕迹与正常对话混合 | transcript 明文 0644 |
外部验证：OWASP ASI01（Agent Goal Hijack）描述了完全相同的攻击模式。 Summer Yue 事件虽非恶意攻击，但已验证「agent 在上下文压力下丢弃安全指令并自主执行破坏性动作」的可行性。
5.2 S2：恶意技能 → 凭证窃取 → 持久化
前提条件：用户安装了第三方技能，或技能通过本地 workspace drop-in 加载。
1. 恶意技能通过 ClawHub 安装或本地 drop-in 进入 agent 运行时
2. 技能通过 skills.entries 注入宿主进程环境变量
3. 技能代码在运行时读取宿主进程的全部环境变量（凭证可见面过宽）
4. 技能将凭证通过 exec 外传、通过 web__fetch 发送至外部服务器、或写入 memory/cron等持久位置
5. 即使技能被卸载，持久化的凭证或定时任务可能仍然存在
外部验证：ClawHavoc 的恶意技能载荷已实现了此链路的完整变体，包括通过 web- hook 外传 ~/.clawdbot/.env 凭证。Kaspersky 的实战渗透同样证实了从公开实例获取API 密钥的可行性。
5.3 S3：浏览器私网枢纽
前提条件：browser 默认启用，私网访问策略为 dangerouslyAllowPrivateNetwork: true（默认）。攻击者通过 prompt 或技能引导 agent 调用 browser 工具访问特定 URL；由于私网访问开放， agent 浏览器可访问 localhost 及 RFC1918 内网地址；若内网服务存在未认证接口（如 Redis、Elasticsearch 管理面板）， agent 可读取甚至修改这些服务的数据。
缓解因素： 默认 browser profile 为「openclaw」而非「user」，agent 不携带用户真实登录态。但 V10（CVE-2026-32046，CVSS 9.8） 已证明浏览器容器的 sandbox 假设可能不成立——Chromium 以 --no-sandbox 启动意味着 renderer 漏洞可直接导致宿主级代码执行。
5.4 S4：审批机制绕过 → 预览与执行漂移
前提条件：操作者已启用 exec 审批（ask=on），但 wrapper/allowlist 存在语义绕过空间。攻击者通过间接注入构造命令 → allowlist 预览显示为安全操作 → 因换行符/命令替换/环境变量注入，实际执行内容与预览不一致 → 审批通过后，恶意命令执行。Q1 家族 B 的三个漏洞（V9/V12/V16）和家族 C 的 V11、V17，均从不同维度提供了此类绕过的公开证据。
第六章 风险登记册
本章将前述所有发现汇总为可操作的风险登记册。P0 判定标准： 同时满足以下三项中的至少两项——默认暴露（不改配置即存在）、影响真实执行或敏感凭证（非仅信息泄露）、不依赖复杂前置条件。
ID | 风险描述 | 性质 | 默认暴露 | 最敏感部署 | 优先级 |
R1 | exec 高权限 + ask=off | 默认基线 | 是 | 全部 | P0 |
R2 | dmScope=main 上下文聚合 | 默认基线 | 是 | 共享团队 | P0 |
R3 | transcript 明文 0644 | 默认基线 | 是 | 同机多用户 | P0 |
R4 | skills.entries 凭证边界过宽 | 架构设计 | 条件性 | 安装技能的部署 | P0 |
R5 | token/secret at rest 无保护 | 控制缺口 | 是 | 全部 | P0 |
R6 | workspace drop-in 不扫描 | 架构设计 | 条件性 | 多人工作区 | P1 |
R7 | browser 允许私网访问 | 默认基线 | 是 | 混合网络 | P1 |
R8 | allowlist 语义不完备 | 漏洞族残余 | 条件性 | 开启 exec 的部署 | P1 |
R9 | shared gateway 边界失配 | 设计边界失配 | 条件性 | 半公开入口 | P0 |
R10 | ACP identity 审批故障路径 | 控制缺口 | 条件性 | node-heavy 部署 | P1 |
R11 | 持久化链路 | 控制缺口 | 条件性 | 长时间运行实例 | P1 |
R12 | DoS / cost exhaustion | 控制缺口 | 条件性 | 公开入口 | P1 |
第七章 可见性缺口：为何这些风险难以被检测
Help Net Security 的调查显示，仅 21% 的高管对 agent 权限和数据访问有完整可见性。这不仅是管理问题，更是技术问题：现有安全工具在设计上并未覆盖 AI agent 运行时这一类目标。
7.1 传统安全工具的结构性盲区
工具类型 | 设计目标 | 对 OpenClaw 风险的覆盖盲区 |
SAST/DAST | 应用代码漏洞扫描 | 核心风险在于运行时配置与工具权限，而非应用代码本身 |
CSPM | 云资源配置管理 | 通常运行在工作站或边缘服务器，不在 CSPM 扫描范围内 |
EDR | 端点异常进程检测 | exec 调用在 OS 层与正常命令行操作无异， 缺乏语义信息 |
网络安全设备 | 异常流量检测 | 私网请求在协议层面与正常浏览器请求无异 |
上述盲区的共同根因是：传统安全工具工作在基础设施层，而 AI agent 运行时的风险发生在应用语义层。
7.2 Agent 运行时安全所需的能力
配置感知：能够解析 OpenClaw 的配置文件，理解每一项配置的安全含义， 并在配置组合产生高风险时发出告警，而非仅检查单项配置。
供应链感知：能够区分 ClawHub 安装路径与本地 drop-in 路径，识别技能的 entries声明中是否请求了超出必要范围的凭证注入。
运行时行为关联：能够将 exec 调用、browser 请求、transcript 写入等行为，与触发它们的上下文关联起来——这是 EDR 无法做到的， 因为 EDR 看不到 agent 的推理过程。
跨版本基线对比： 能够在版本更新后自动检测默认值变化， 发现新引入的暴露面或被移除的安全控制。
7.3 为什么手动检查不够
配置组合爆炸：dmScope 与 exec approval 的组合、browser trust policy 与 transcript权限的组合，产生的风险面远大于单项之和，人工难以穷举所有高风险组合。
版本快速迭代：2026.3.31 至 2026.4.5 之间就出现了显著的默认值变化。 OpenClaw 的发布节奏远快于传统企业软件，每次发布都可能改变配置的安全语义。
部署形态多样： 同一项默认值在单人自托管、团队共享、半公开入口三种形态下的风险等级截然不同。多数操作者并不清楚自己的部署形态已超出产品的设计前提。
这不是「是否需要检查」的问题， 而是「能否持续、自动、跟上变化速度地检查」的问题。
第八章 结论
OpenClaw 是一个技术上具有开创性的产品——它将 AI 从「回答问题」推进到「执行动作」， 为开发者和团队提供了前所未有的自动化能力。349,000 Stars 的增长速度证明了市场对这种能力的渴望， Trend Micro 将其定义为「sovereign agent 时代的开始」，这一判断具有充分的依据。
然而，这种能力的安全基础尚未与能力本身同步成熟。本报告通过 17 个 Q1 漏洞的根因分类与多个独立外部来源的交叉验证，揭示了一个结构性问题：OpenClaw 当前的安全依赖于操作者对默认配置的主动审视，而非系统自身的设计保证。
当操作者不知道需要审视什么——而 Help Net Security 的调查告诉我们 79% 的高管对 agent 权限缺乏完整可见性 [9]——风险便从「理论上可能」变为「大规模现实」： 135,000+ 个暴露实例 [1]、ClawHavoc 5 天内从零到大规模投毒 [2]、Summer Yue 事件中世界级安全研究者无法通过操作谨慎弥补架构缺失。这些不是孤立事件， 而是同一结构性根因的不同投影。
8.1 积极信号与待解问题
官方安全投入正在加速，这是值得肯定的信号：2026.3.31 版本引入 install scanning fail-closed、ACP semantic classes、trusted-proxy 收紧；2026.4.5 继续强化 allowlist 处理与 browser SSRF 防护；漏洞平均修复周期约 12 天，响应速度相对积极。
然而，家族 B 和 C 的漏洞在 4 月仍在出现（V16、V17），证明在权限模型从「安全控制叠加」演化为「设计级架构保证」之前， 操作者不能将安全责任完全托付给版本更新。
8.2 对操作者的核心建议
优先级 | 行动项 | 对应风险 |
| 立即（P0） | 将 exec ask 设为 on，配置最小化 allowlist | R1 |
| 立即（P0） | 为不同场景配置独立 Gateway | R9、R2 |
| 立即（P0） | 审计并轮换技能 entries 中的凭证 | R4、R5 |
| 立即（P0） | 修改 transcript 文件权限为 0600 | R3 |
| 短期（P1） | 禁用或限制 dangerouslyAllowPrivateNetwork | R7 |
| 短期（P1） | 仅通过 ClawHub 安装技能，建立来源白名单 | R6 |
持续 | 建立配置漂移检测，每次更新后重新评估 | 全部 |
持续 | 关注家族 B/C 后续漏洞公告 | R8、R4 |
在 AI agent 运行时安全领域，「安装即安全」的时代尚未到来。在 OpenClaw 完成权限模型的架构级演进之前， 操作者的主动配置审计与持续监控， 是守住安全边界的唯一可靠手段。
参考文献
[1] SecurityScorecard STRIKE Team, “How Exposed OpenClaw Deployments Turn Agentic AI Into an Attack Surface,” Feb 2026.
[2] Koi Security, “ClawHavoc: 341 Malicious Clawed Skills Found by the Bot They Were Targeting,” Feb 2026.
[3] Kaspersky, “New OpenClaw AI agent found unsafe for use,” Jan 2026.
[4] Wiz, “Hacking Moltbook: AI Social Network Reveals 1.5M API Keys,” Jan 2026.
[5] Trend Micro, “CISOs in a Pinch: A Security Analysis of OpenClaw,” Mar 2026.
[6] Microsoft Security Blog, “Running OpenClaw safely: identity, isolation, and runtime risk,” Feb 19, 2026.
[7] OWASP, “Top 10 for Agentic Applications for 2026,” Dec 2025 / 2026 update.
[8] Oasis Security, “ClawJacked: OpenClaw Vulnerability Enables Full Agent Takeover,” Feb 2026.
[9] Help Net Security, “AI went from assistant to autonomous actor and security never caught up,” Mar 3, 2026.
[10] Sangfor, “OpenClaw Security Risks: From Vulnerabilities to Supply Chain Abuse,” 2026.
[11] Repello AI, “ClawHavoc: Inside the Supply Chain Attack That Targeted 300,000 AI Agent Users,” 2026.
[12] Fast Company, “This should terrify you: Meta Superintelligence safety director lost control of her AI agent,” Feb 2026.
[13] jgamblin/OpenClawCVEs, GitHub automated CVE tracker.
[14] Censys application-layer fingerprinting, Mar 31, 2026; via CyberDesserts.
[15] Cyberpress, “ClawHavoc Poisons OpenClaw ClawHub With 1,184 Malicious Skills,” 2026.
[16] OpenClawAI, “Nine CVEs in Four Days: Inside OpenClaw March 2026 Vulnerability Flood.”
[17] Arkose Labs / Security Boulevard, “97% of Enterprises Expect a Major AI Agent Security Incident Within the Year,” Apr 2026.
本文档根据公开信息及第三方研究报告整理， 仅供内部安全评估参考。所有引用数据以原始来源为准。
关于作者
本报告由 ClawGuard Security Lab 研究团队撰写。
ClawGuard Security Lab 是一家立足硅谷、专注于 AI Agent 安全的前沿研究与产品机构， 由来自斯坦福、伯克利、哈佛、宾大等顶尖高校及前微软、谷歌、 Meta 的安全专家组成，致力于打造”AI 对抗 AI” 的下一代 AI 安全防护系统，共同守护人类与 AI 之间的边界与秩序。
网址：www.ClawGuardSecurity.ai 邮箱：[email protected]
免责声明：本报告基于公开信息与第三方研究报告整理， 仅供安全评估参考， 不构成任何法律或商业建议。所有引用数据以原始来源为准。本文提及的商标、产品名称均为其各自所有者的财产。未经授权不得转载。
© 2026 ClawGuard Security Lab. All rights reserved.