根据2026年3-4月的全网搜索，我为您整理了OpenClaw（曾用名ClawdBot/Moltbot）源码泄露及相关安全风险的全面分析。
一、核心发现：OpenClaw面临多重安全危机
1. 大规模安全漏洞暴露
- 历史漏洞总数258个：包括12个超危漏洞、21个高危漏洞
- 近期活跃漏洞82个：其中超危12个、高危21个、中危47个、低危2个
- 高危漏洞类型：命令注入（CVE-2026-25157）、远程代码执行（CVE-2026-25253）、沙箱绕过（CVE-2026-24763）、认证绕过等
2. 供应链投毒严重
- ClawHub恶意插件占比10.8%：在3016个官方技能插件中，336个包含恶意代码
- 攻击模式：数据窃取、凭据收集、后门植入、提示词注入
- 17.7%插件获取不可信第三方内容，2.9%从外部端点动态获取执行内容
3. 公网暴露风险极高
- 全球暴露实例超20万个，境内约2.3万个
- 公网暴露比例85%，默认绑定0.0.0.0:18789且无需认证
- 攻击者活跃：朝鲜APT37、俄罗斯APT28等国家级攻击组织已开始利用
4. 信息窃取程序针对性攻击
- Vidar变种等商品化信息窃取程序已开始专门窃取OpenClaw配置文件
- 目标文件：
openclaw.json（网关认证令牌）、device.json（ED25519私钥）、soul.md（代理系统提示词）、auth-profiles.json（AI提供商API密钥） - 攻击能力：远程网关RCE、AI API密钥盗窃、设备身份冒充
二、主要安全风险详述
1. 架构设计缺陷
- 信任边界模糊：默认信任localhost连接，绕过认证
- 权限模型开放：智能体可直接执行系统命令、文件操作
- 安全边界缺失：多层架构每层均存在设计缺陷
2. 默认配置危险
- 公网暴露默认开启：绑定0.0.0.0，允许所有外部IP访问
- 敏感信息明文存储：API密钥、聊天记录、认证凭证未加密
- 认证机制薄弱：远程访问无需账号认证
3. 插件生态不安全
- 审核机制缺失：初期无安全审核，恶意插件大量涌入
- 权限滥用风险：插件可获取系统级权限
- 供应链攻击：通过恶意插件实施批量感染
4. 智能体行为不可控
- 提示词注入风险：攻击者可通过自然语言指令绕过安全限制
- 权限失控现象：智能体可能越权执行任务、无视用户指令
- 多步任务链路错误放大：单步错误导致后续步骤持续偏离
三、影响范围评估
技术影响
- 远程代码执行：攻击者可完全控制宿主系统
- 敏感数据泄露：API密钥、SSH密钥、OAuth凭证、对话历史
- 横向移动攻击：以内网跳板机渗透企业网络
- 持久化后门：通过记忆投毒建立长期控制
业务影响
- 经济损失：API密钥滥用导致巨额账单
- 合规风险：敏感数据泄露违反数据保护法规
- 声誉损害：客户信任丧失，品牌形象受损
- 运营中断：系统被控制导致业务停摆
社会影响
- 国家级攻击利用：已成为APT组织攻击目标
- 大规模安全事件：全球超20万实例面临风险
- 开源生态信任危机：影响开源AI工具整体可信度
四、紧急应对措施建议
立即行动（24小时内）
- 版本升级
- 检查当前版本，低于2026.1.29的立即升级
- 优先升级至2026.3.7及以上版本
- 通过官方渠道获取安装程序，避免破解版
- 网络配置加固
- 修改绑定地址为127.0.0.1（仅本地访问）
- 关闭所有公网端口暴露
- 如需远程访问，通过VPN+IP白名单
- 认证强化
- 启用身份认证机制
- 设置高强度密码（12位以上，含大小写、数字、符号）
- 定期更换认证凭证
中期加固（1周内）
- 插件安全管理
- 卸载所有非必要第三方插件
- 仅从官方ClawHub安装已审核插件
- 定期扫描插件代码，监控异常行为
- 权限控制
- 创建专用低权限账户运行OpenClaw
- 限制智能体操作范围至白名单目录
- 关闭高危工具接口（shell/exec等）
- 监控审计
- 启用详细操作日志
- 监控异常API调用和WebSocket连接
- 设置异常行为告警阈值
长期防护（1个月内）
- 环境隔离
- 使用虚拟机或Docker容器部署
- 与生产环境物理隔离
- 单独划分存储分区
- 供应链安全
- 建立插件安全审查流程
- 实施软件成分分析（SCA）
- 定期漏洞扫描和渗透测试
- 组织管理
- 制定AI Agent部署审批制度
- 建立安全应急响应流程
- 开展安全意识培训
五、针对不同用户的具体建议
个人开发者
- 优先使用闲置设备部署，避免与敏感数据共存
- 按需联网，使用完毕后及时断开网络
- 不输入核心敏感信息（密码、密钥、隐私数据）
- 定期备份配置文件和本地数据
企业用户
- 全面资产排查：识别内外网所有OpenClaw实例
- 网络隔离：禁止实例直接暴露公网
- 最小权限原则：使用专用机器人账号运行
- 持续监控：重点关注异常命令执行和非预期外连
政府及关键基础设施
- 立即下线公网暴露的高危版本实例
- 深度安全评估：委托专业机构进行渗透测试
- 替代方案评估：考虑更安全的AI Agent框架
- 合规审查：确保符合网络安全等级保护要求
六、技术修复路径
漏洞修复版本路线图
| 当前版本范围 | 升级目标 | 修复重点 |
|---|---|---|
| < 2026.1.29 | 2026.1.29 | 修复3个CVE高危漏洞（含在野利用RCE） |
| 2026.1.29 ≤ 当前 < 2026.2.01 | 2026.2.01 | 修复本地主机信任绕过（CVE-2026-25475） |
| 2026.2.01 ≤ 当前 < 2026.3.8 | 2026.3.8-beta.1 | 修复所有已知中高危漏洞，新增SSRF防护 |
关键安全配置
- 网络层：
bind_address = "127.0.0.1" - 认证层：启用
require_authentication = true - 权限层：设置
allowed_commands_whitelist - 日志层：启用
verbose_logging = true
七、总结与展望
OpenClaw源码泄露事件揭示了AI Agent时代的范式安全挑战：传统边界防御模型与自然语言驱动理念的冲突。攻击载荷可直接编码在提示词序列中，击穿规则匹配与沙盒隔离防护体系。
核心教训：
- 功能创新不能以安全为代价：OpenClaw的快速迭代暴露了安全开发流程滞后
- 默认安全至关重要：85%的公网暴露源于危险默认配置
- 供应链安全是生态基石：10.8%的恶意插件率威胁整个生态
- 开源需要配套安全治理：代码开放不等于安全可靠
未来趋势：
- 安全左移：将安全融入开发全生命周期
- AI安全专用工具：如Claude Code Security、Semgrep集成
- 合规监管加强：政府将加强对AI工具的安全监管
- 替代方案涌现：SecureClaw、EvoMap等更安全框架
最终建议：对于已在使用的用户，立即按照上述措施进行加固；对于计划使用的用户，建议评估替代方案或等待OpenClaw安全架构重构完成后再考虑部署。AI Agent的安全不仅关乎技术实现，更涉及组织流程、人员意识和持续监控的体系化建设。