作为一款快速崛起的开源AI助手，OpenClaw被设计用于连接消息服务、云服务和本地系统工具。不过，它最近修复了一个名为“日志投毒”的高危漏洞。远程攻击者可以利用这个漏洞，将恶意内容注入到日志文件中，而这些日志后续可能会被AI Agent读取，从而产生安全风险。根据官方安全公告，该漏洞影响2026.2.13之前的所有版本。
漏洞本质与风险
这个漏洞的核心风险并非传统的远程代码执行，而是一种间接的、针对AI代理的提示注入攻击。其原理在于，不受信任的输入被直接写入了日志文件。当操作人员要求AI Agent诊断系统错误时，Agent很可能会将这些日志作为故障排除的上下文进行分析。如果日志中包含了攻击者预先注入的恶意指令，就可能被AI误解为合法的操作员命令，从而误导其执行非预期的操作。
根据Eye Security发布的公告，受影响版本的OpenClaw在记录某些WebSocket请求头（包括 Origin 和 User-Agent）时，没有进行充分的清洗和过滤。这意味着，如果攻击者能够访问OpenClaw的网关接口，他就可以发送精心构造的请求头值。这些值会原封不动地被嵌入到日志行中，形成一种持久性的“投毒”记录，等待被下游的AI系统读取。
实际影响与攻击面
这种漏洞的实际危害，高度依赖于日志在下游是如何被使用的。想象一个典型的运维场景：操作员发现OpenClaw的UI报错，于是要求AI Agent帮忙诊断。Agent为了理解上下文，会自动抓取并分析近期的系统日志。如果这些日志已被投毒，那么注入的恶意内容就可能被Agent误解为操作员指令、可信的系统消息或是结构化的错误记录。这可能导致故障排除步骤被恶意引导、影响AI的决策逻辑，甚至操纵Agent对安全事件的总结方式。
攻击面也不容小觑。通过在Shodan等网络空间测绘引擎上搜索OpenClaw的默认端口（18789），研究人员发现互联网上暴露了数千个实例。这表明，存在大量未受保护的攻击目标。即使利用该漏洞需要“依赖上下文”（即需要有人触发Agent读取日志），日志投毒攻击依然颇具吸引力。因为它可以低成本的反复实施，针对的是AI层的解释机制这个相对脆弱的环节，而不是去寻找复杂的内存破坏漏洞。
缓解措施
目前，OpenClaw官方已在2026.2.13版本中修复了该问题。公告明确指出，所有2026.2.13之前的版本均受影响。因此，运行OpenClaw的团队应首先将服务升级至2026.2.13或更高版本。
完成升级后，应立即检查网关的暴露情况。确保OpenClaw服务在没有严格访问控制（如防火墙规则、VPN接入）的情况下，无法从公共互联网直接访问。这是防止外部攻击者利用此漏洞的首要步骤。
从防御架构上看，运维和安全团队需要转变观念：应将AI Agent可读取的日志也视为一条不受信任的输入通道，并应用标准的安全加固措施：
- 在记录日志前，对用户可控制的头字段（如User-Agent）进行清理或敏感信息编辑。
- 限制头字段的最大允许大小，以减少攻击者可用的有效载荷空间。
- 在系统设计上，将“人工调试日志”与“供给Agent推理的输入”进行分离。确保AI模型默认情况下不会读取原始的、可能受攻击者影响的遥测数据。
此外，建议实施对异常头字段模式（如包含可疑命令的User-Agent）和WebSocket连接失败次数激增的监控。这些异常行为可能是攻击者正在尝试进行日志投毒的早期指标。
参考来源：
Critical “Log Poisoning” Vulnerability in OpenClaw AI Agent Allows Malicious Content Injection
https://cybersecuritynews.com/openclaw-ai-agent-log-poisoning/
对于这类新兴的AI系统安全风险，保持关注和及时的信息同步至关重要。技术社区如云栈社区是交流此类前沿安全问题和防御实践的良好平台。 | 
发表于 4 天前
|
查看: 15|
回复: 0
