OpenClaw 安全风险研究报告(从攻击面到案例拆解)

建立 OpenClaw 的攻击面模型。

将内部风险点清单映射到可执行的攻击链与影响面。

结合公开真实案例，论证风险可发生性与常见失效模式。

给出“默认安全（secure-by-default）”的工程化防护路线。

OpenClaw Gateway 可能被错误配置为公网可达或被内网穿透暴露。

通道接入（Telegram/Slack/Discord/WhatsApp 等）引入大量不可信输入（群聊、转发、附件、链接）。

Skills/Extensions 来源复杂（官方仓库/第三方 Registry/内部制品库混用），且存在更新通道。

工具链可能包含“执行命令/读写文件/浏览器自动化/HTTP 请求/节点调用”等高危能力。

可能存在多模型路由与 fallback，且不同 provider 的 tool calling 协议差异导致策略绕过。

入口面：消息通道事件、Webhook、Gateway API/WebSocket、定时任务触发、节点回调。

控制面：Agent 规划与执行（planner/reflection）、工具选择与参数生成、子代理派生。

能力面：Skills/Extensions、内置工具（执行/文件/浏览器/网络）、Nodes（外部设备/服务能力）。

数据面：会话历史、缓存/产物、向量记忆/检索库、配置（openclaw.json）、密钥与 SecretRef。

未授权访问：弱认证、缺省无认证、WebSocket 鉴权缺失、信任反向代理头导致绕过。

信息泄露：metrics/debug 端点、日志泄露 token、会话/记忆明文、备份文件外泄。

命令执行/代码执行：执行工具无白名单、插件权限滥用、依赖安装脚本、原生模块后门。

SSRF/内网横向：浏览器工具/HTTP 工具可访问内网与云元数据；DNS rebinding；回调 URL 误配。

DoS/资源耗尽：子代理递归、工具调用风暴、向量检索与长上下文导致成本型 DoS。

供应链风险：Registry 投毒、typosquatting、更新通道劫持、构建缓存/制品库被污染。

Gateway 在同一端口复用 HTTP + WebSocket，并直接托管 Control UI（管理界面）。一旦 Gateway 暴露（绑定 LAN、错误反代、内网穿透），攻击面不是“一个管理后台”，而是“整套代理控制面”。[^10][^11]

Control UI 可执行的操作包含：聊天与工具调用事件流、会话管理、Cron 任务、Skills 安装/启用、Nodes 管理、Exec approvals、以及配置的读取/写入/应用（config.get/config.set/config.apply）。这意味着：拿到 UI/WS 访问就等价于拿到管理员能力。[^11]

因此“未授权访问/信息泄露/命令执行”等传统风险，在 OpenClaw 场景下往往是同一条链路的不同阶段：入口（暴露端口/弱 token）→ 控制面访问（WS 连接成功）→ 工具链动作（读文件/出网/执行）→ 持久化（cron/config.apply/插件安装）。

提示词注入（Prompt Injection）：直接注入（用户消息）与间接注入（网页/邮件/文档/附件/检索片段）。

工具链注入（Tool Chaining Injection）：模型输出被下游当作“命令/URL/代码/参数”直接执行。

RAG/记忆投毒（Memory/Vector Poisoning）：把“遇到 X 就执行 Y”的后门指令写入长期记忆，形成慢性污染。

幻觉（Hallucination）导致的安全后果：错误生成 URL/命令/工单操作，若缺少确认与策略门禁，会被当真执行。

策略绕过（Protocol/Provider Mismatch）：不同模型提供商对 tool calling 的结构化约束不同，可能出现降级执行/解析漏洞。

数据外传（Exfiltration via Model/Tool Output）：通过允许的出网域名、图片加载、表单提交、日志等隐蔽通道外传。

OpenClaw 的安全文档明确强调其信任模型偏“个人助理”（单一信任边界），并反复提示：DM/group 的输入、网页/邮件/附件等内容都可能携带注入；硬防护应来自工具策略、沙箱、出入口控制，而不是“提示词本身”。[^10]

在“永久在线/后台跑任务”的典型用法里，AI 风险会被自动化放大：一条恶意内容不需要用户实时交互，也可能在定时任务或批处理工作流中触发动作（例如归档/删除/外联推送）。

Skill 包投毒、第三方 Registry 恶意包、typosquatting。

安装脚本（postinstall/preinstall）执行恶意命令。

原生模块（.node/.dll/.so）后门、更新通道被劫持。

Registry allowlist + 版本锁定（lockfile + hash pinning）+ 制品签名校验。

构建期禁用安装脚本或在隔离环境运行依赖安装。

对插件权限进行静态审计与运行时最小化（deny-by-default）。

SKILL.md 隐藏指令/零宽字符/HTML 注释注入。

动态代码执行（eval/new Function/vm）。

隐式外联，把对话/文件发送到外部端点。

路径穿越与别名绕过（realpath/symlink/跨平台差异）。

把 Skills 的说明文档视为“不可信输入”，进行 Unicode 异常检测、指令模式检测。

工具调用必须做 schema 校验；工具输出不得直接成为命令/URL/脚本输入。

对技能出网实施 egress allowlist（域名 + IP 段 + 解析后校验），并做审计日志。

$include 路径遍历把系统文件包含进配置。

SecretRef 路径遍历读取非预期 secrets。

配置热重载 TOCTOU/符号链接劫持。

日志/调试模式导致敏感扩散。

所有路径配置必须做规范化（realpath）并校验落在允许根目录内，禁止 symlink 跟随。

secrets 目录强制权限与属主校验（类 Unix 0600/0700；Windows ACL 等价约束）。

配置变更审计 + 防回滚攻击（签名/版本号/双人审批）。

tool.exec 类能力导致任意命令执行。

子代理递归炸弹导致资源耗尽。

浏览器自动化 SSRF（访问云元数据 169.254.169.254）。

planner/reflection 阶段把敏感上下文发送给模型提供商。

高危工具必须强制人审或二次确认（尤其是 exec、删除、外联提交、权限变更）。

子代理深度与调用次数上限（深度、并发、token、文件大小、重试退避）。

规划阶段上下文最小化：敏感字段脱敏后再进入模型。

绑定 0.0.0.0 公网暴露、无防火墙。

WebSocket/API 未授权可直接触发 agent.run/tools.invoke。

metrics/debug 暴露；TLS/CORS/反代头信任问题。

内网穿透工具把内网服务“送上公网”。

Control UI 是 Gateway 提供的浏览器管理界面（默认 http://<host>:18789/），并通过同端口 WebSocket 与 Gateway 通信，鉴权在握手阶段通过 token/password 完成。[^11]

OpenClaw 官方安全指南明确提示：不要把 Gateway 未鉴权暴露在 0.0.0.0；非 loopback 绑定会扩展攻击面，并且 Control UI 属于管理面（chat/config/exec approvals 等）。[^10]

一旦出现以下任一情况（在攻防演练里非常常见），攻击者就可能获得控制面能力：①运维把 bind 配到 LAN/公网，或通过反代把 loopback 服务转发到公网；②token/password 设置过弱、被爆破、被日志/浏览器历史泄露；③为了“在 HTTP 上也能用”，打开破坏性兼容开关（例如 insecure auth 相关开关，或使用旧版本/旧变体配置模式）。[^9][^10]

在自建测试环境中，如果攻击者已经能访问 Control UI（例如网关未鉴权/凭据泄露），那么 UI 里任何“password 星号遮罩”都只是一种显示层效果：浏览器开发者工具把输入框 type=password 改成 type=text 就能直接看到 key。

这类现象不是“浏览器漏洞”，而是提醒：密钥保护的安全边界必须是鉴权与权限控制，而不是 UI 的遮罩。Control UI 能读/写配置与凭据相关内容，本质上等价管理员权限。[^11]

默认只监听 localhost；公网访问必须经认证网关与 WAF/Rate limit。

WebSocket 与所有控制面 API 一律强鉴权 + 重放防护 + CSRF/Origin 策略（若适用）。

关闭或隔离 debug/metrics；最小暴露原则（端口、路由、方法、来源 IP）。

Webhook SSRF、消息来源伪造、allowFrom 绕过。

群聊隔离失效导致跨会话数据串线。

附件解析形成隐形执行链（解压、宏、脚本、解析器漏洞）。

通道身份强绑定（channel_user_id + tenant + conversation_id），默认不共享记忆。

附件处理白名单与隔离沙箱：禁止自动解压/自动执行；解析输出脱敏。

对链接与回调地址做白名单与解析后校验（防 DNS rebinding）。

设备配对劫持、节点通信 MITM、node.invoke 越权。

过细粒度方法暴露导致组合攻击（把原语拼成高危链）。

节点资源消耗失控。

节点侧引入“能力级 API”（高层动作）替代“原语堆砌”，减少可组合攻击空间。

Node-Gateway 双向 TLS + 证书固定（或等价机制），并对调用序列做策略约束。

节点进程级资源限制（超时、并发、输出大小），避免被代理链路放大。

secrets 权限错误；sessions 明文；备份文件外泄。

MEMORY.md / 向量库被注入后门指令。

向量检索跨租户召回、过滤条件被模型拼接绕过。

记忆写入策略化：只允许摘要与白名单字段；所有记忆变更可审计可回滚。

向量库强制 tenant namespace；检索过滤条件由服务端生成，不接受模型自由拼接。

对“指令型记忆模式”告警：例如“遇到X就执行Y命令/外传数据”。

恶意技能持久化定时任务维持后门。

env 注入（LD_PRELOAD 等）。

无人值守工具调用扩大爆炸半径。

Cron 权限更低：只读记忆/只读数据源/禁用高危工具。

Cron 任务定义与脚本纳入审计与代码评审，禁止动态生成任务。

运行前策略评估（policy gate），失败默认拒绝。

fallback 链劫持把数据送到恶意端点。

baseURL SSRF 指向内网服务。

不同 provider 的工具调用协议差异导致策略绕过。

多模型路由下数据分级策略不一致。

provider 清单与 baseURL 固定白名单；敏感数据禁止 fallback，或 fallback 前先脱敏/摘要。

tool calling 解析器要“严格模式”：结构不合法即拒绝，不做降级执行。

把 AI 风险纳入组织级风险框架（如 NIST AI RMF 的治理与测量思路）。[^5]

建立AI组件SBOM清单与CVE持续监控机制，高危漏洞版本限期下线修复或隔离。

对工具链调用实施沙箱隔离与输入严格校验，禁止高危操作的原生命令执行与越权访问。

将第三方AI组件纳入供应链安全治理框架（如OWASP SCVS或SLSA验证标准）。

所有破坏性动作（删除邮件、删除文件、批量改配置、对外发送消息）强制进入“审批队列”，并要求人类确认后再执行（而非仅靠 prompt 约束）。[^10]

在 Gateway 层提供“总闸/熔断”：一键停止当前 run、暂停 cron、冻结高危工具组（例如 exec/fs-write/外联推送）。

运维将 Gateway 暴露到公网或可被攻击者访问的网络（LAN bind、错误反代、内网穿透）。

攻击者获得 Control UI/WS 访问（未鉴权、弱 token 被爆破、token 被日志/历史泄露等）。[^9]

在 Control UI 直接读取配置/凭据相关信息，或修改配置扩大攻击面（开启更多工具、增加 allowFrom、配置外联 webhook、创建 cron 任务持久化）。[^11]

即便 UI 用 password 输入框遮罩敏感值，攻击者也能在浏览器里读取 DOM 值或改成明文显示（“星号”不是安全边界）。