前言：不能免俗终于蹭一次热潮，本来是测试skill-threat-modeling的新版本功能，竟然发现了?OpenClaw 19个漏洞(12个确认可有条件利用)。结果写了报告还没发出来，就给补上了大部分，于是只好再挖几个提交。

本文编写由skill threat-modeling完成，freedemon指导。

BTW：skill threat-modeling新版本Release: v3.0.2重大重构。

https://github.com/fr33d3m0n/threat-modeling

?OpenClaw 深度安全分析报告

文档版本: 1.0 

评估日期: 2026-02-03 

目标系统: OpenClaw Multi-Platform AI Agent Gateway 

评估版本: OpenClaw 2026.02.01+

目录

1. [OpenClaw 产品概述]

–1.1 [系统架构]

–1.2 [核心模块]

–1.3 [数据流分析]

2. [安全架构与机制分析]

–2.0 [安全架构总览]

–2.1 [认证机制]

–2.2 [授权机制]

–2.3 [工具安全控制]

–2.4 [输入安全模块]

–2.5 [沙箱机制]

–2.6 [外部通道安全机制]

–2.7 [Prompt Injection 防护策略分析]

3. [安全策略与近期安全更新]

–3.1 [SECURITY.md 政策分析]

–3.2 [项目对 Prompt Injection 的认知]

–3.3 [0128-0202 安全更新时间线]

4. [0128版本安全评估]

–4.1 [评估背景与范围]

–4.2 [早期版本认证漏洞 (0128前)]

–4.3 [第一批次发现汇总 (0130)]

–4.4 [攻击链验证结果]

–4.5 [分类修正说明]

5. [0202版本安全评估]

–5.1 [评估背景与方法论]

–5.2 [漏洞清单 (OC-001 至 OC-011)]

–5.3 [问题分类]

–5.4 [攻击链分析]

–5.5 [利用条件矩阵]

6. [详细案例分析]

–6.1 [案例 1: Prompt Injection 相关问题]

–6.2 [案例 2: 输入验证缺失]

–6.3 [案例 3: 可配置安全绕过]

–6.4 [案例 4: 环境变量泄露]

–6.5 [案例 5: 状态端点信息泄露]

–6.6 [案例 6: Base64命令混淆绕过]

7. [总结与建议]

–7.1 [风险评估汇总]

–7.2 [关键发现]

–7.3 [企业级部署安全加固指南]

1. OpenClaw 产品概述

?OpenClaw 是近期火热的多平台 AI Agent 网关，在当前 AI Agent 生态系统中占据独特定位。与主流 AI Agent 产品相比，OpenClaw 专注于将大语言模型 (LLM) 能力通过多种消息通道交付给用户，同时支持通过SKILL进行能力扩展，并提供丰富的本地执行能力。

• 核心能力

• 多种访问通道：通过 12+ 消息通道暴露 Agent 能力（Telegram、Discord、Slack、WhatsApp、Signal、iMessage等）

• 统一 LLM 接口：支持 Claude、GPT、GLM、Deepseek 等多个 LLM 提供商

• 跨平台通道：12+ 消息通道支持，覆盖主流即时通讯平台

• 本地 Agent 能力：命令执行、文件操作、代码生成、图像处理等完整工具链

• 灵活部署：支持本地部署、私有云、Tailscale 网络等多种部署模式

• 信任模型：信任认证用户，类似 Claude Code 的”用户即管理员”模式，但通过外部通道暴露

1.1 系统架构

1.2 主要模块

1.3  数据流分析

• 完整数据流路径

• 关键路径说明

• 安全边界：

- 认证检查在 Gateway 层 

- 授权检查在 RPC 方法层 

- 工具执行控制在 Agent 层 

- 注意：chat.send 路径无 external-content.ts 集成（设计选择）

2. 安全架构与机制分析

?OpenClaw 采用分层防御架构，从外层到内层依次为：边界防护、认证、授权、输入安全、执行控制、沙箱隔离。安全架构的整体视图如下：

• 安全架构总览 

• 安全防护层级

2.1 认证机制

认证是OpenClaw信任模型的核心防御机制，OpenClaw 实现了多层认证机制：

• Token 生成：

// 使用 CSPRNG 生成 192 位随机 Tokencrypto.randomBytes(24).toString('hex')// 48 字符

注意：在早期版本中OpenClaw存在一些严重的认证机制绕过漏洞，用户务必升级到0201之后的版本以避免大多数认证系统的默认漏洞。

2.2 授权机制

OpenClaw 实现了基于 Scope 的细粒度权限控制系统，通过不同的 Scope 组合控制客户端对 Gateway 方法的访问权限。

• 默认授权策略

• Scope 权限矩阵

• 实现代码

// src/gateway/server-methods.ts:93-160functionauthorizeGatewayMethod(method:string, client: Client) {const READ_METHODS =newSet(['health', 'status', 'config.get']);const WRITE_METHODS =newSet(['chat.send', 'agent.start']);const ADMIN_METHODS =newSet(['config.set', 'config.patch']);// 根据 method 检查 client.scopesif (READ_METHODS.has(method)) {return client.scopes.includes('operator.read');}if (WRITE_METHODS.has(method)) {return client.scopes.includes('operator.write');}// ...}

注意：由于OpenClow广泛存在的提示词注入风险（OpenClow的安全态度和信任模型中并不认为提示词注入属于”安全问题”），因此当前的授权系统基本可以认为是无效的，一旦用户在任一通道通过认证，即可认为对系统拥有无限绕过控制的超级权限。

• 授权机制安全评估

2.3 工具安全控制

OpenClaw 的工具系统（特别是 exec 命令执行工具）实现了多层安全控制机制，包括安全策略、询问模式和命令白名单。但是在面对提示词注入攻击，尤其是多语种自然语言触发执行方面，防护非常薄弱。

• 工具安全默认配置

• 实现代码

// src/infra/exec-approvals.tsconst DEFAULT_SECURITY: ExecSecurity ="deny";// 默认拒绝const DEFAULT_ASK: ExecAsk ="on-miss";// 未匹配时询问const DEFAULT_ASK_FALLBACK: ExecSecurity ="deny";// 询问失败时拒绝

• 安全模式详解

• 询问模式 (Ask Mode)

• 命令白名单 (DEFAULT_SAFE_BINS)

// 安全命令白名单示例const DEFAULT_SAFE_BINS = ['ls', 'cat', 'head', 'tail', 'grep', 'find',                  'wc', 'sort', 'uniq', 'diff', 'file', 'stat',                  'pwd', 'whoami', 'date', 'echo', 'printf',                  // ... 更多只读/信息类命令];

• 安全配置 vs 危险配置对比

• 工具控制安全评估

2.4 输入安全模块

OpenClaw 实现了 external-content.ts 安全模块用于处理外部不可信内容，但该模块仅在特定路径启用，从近几个版本的迭代过程来看，偶发会出现未覆盖的通道和路径导致潜在命令执行和SSRF的风险。

• 默认输入安全策略

• external-content.ts 安全检测模块

// src/security/external-content.tsconst SUSPICIOUS_PATTERNS = [/ignore\s+(all\s+)?(previous|prior|above)\s+(instructions?|prompts?)/i,                  /system\s*:?\s*(prompt|override|command)/i,                  /\bexec\b.*command\s*=/i,                  // ... 更多 PI 检测模式];exportfunctiondetectSuspiciousPatterns(content:string): SuspiciousPattern[];exportfunctionwrapExternalContent(content:string, options):string;exportfunctionbuildSafeExternalPrompt(params):string;

• 集成状态详情

• chat-sanitize.ts 的实际功能

// src/gateway/chat-sanitize.ts// 功能：处理通道信封元数据，不是安全过滤functionstripEnvelopeFromMessages(message:string) {// 移除 "[WhatsApp 2026-01-24]" 等通道前缀// 移除 message_id 提示// 这是数据清洗，不是安全过滤}

• 设计意图分析

从代码结构可以看出，该模块被设计用于处理明确的外部不可信内容： - Web 内容获取 → 外部网站内容，明确不可信 - External Hooks → 来自 Gmail、Webhook 等自动化触发，可能包含恶意内容 - chat.send → 来自已认证的用户通道，被视为可信

这与 SECURITY.md 中 “Prompt injection attacks are Out of Scope” 的政策一致。

• 输入验证安全评估

2.5 沙箱机制

OpenClaw 实现了路径沙箱机制，用于限制文件操作的范围，防止越权访问系统文件。

• 沙箱默认配置

• 实现代码

// src/agents/sandbox-paths.tsexportfunctionresolveSandboxPath(sandboxRoot:string, requestedPath:string) {const resolved = path.resolve(sandboxRoot, requestedPath);const relative = path.relative(sandboxRoot, resolved);// 检测路径逃逸if (relative.startsWith("..") || path.isAbsolute(relative)) {thrownewError(`Path escapes sandbox root: ${requestedPath}`);}// 检测符号链接const realPath = fs.realpathSync(resolved);if (!realPath.startsWith(sandboxRoot)) {thrownewError(`Symlink escapes sandbox: ${requestedPath}`);}return resolved;}

• 沙箱保护能力

• 设计局限性

• 沙箱设计安全评估

建议：生产环境应配置 sandbox root 排除 ~/.openclaw/ 目录，避免敏感配置被读取。

2.6 外部通道安全机制

OpenClaw 目前支持 12+类 消息通道，每个通道有独立的认证机制和安全策略。通道安全是 OpenClaw 区别于其他 AI Agent 产品的关键特性之一。

2.6.1 通道类型与安全特性

2.6.2 DM Policy 机制

DM Policy（直接消息策略）是 OpenClaw 的核心通道安全机制，控制 Bot 如何响应私聊消息。