2026年初，OpenClaw在短短数周内便狂揽超过30万GitHub Stars，迅速登顶开源榜首。越来越多的国内企业也快速跟进部署，让更多用户体验到了这位“不用睡觉的AI助理”带来的效率飞跃。
然而，在便利性之外，安全性的担忧也随之而来：无论是频频曝光的OpenClaw漏洞与隐私风险案例，还是近期发布的各类安全预警，都在提醒我们——它是一个具备高权限、可执行、插件生态丰富的超级智能体（Agent），一旦出现问题，其影响范围可能远超传统的聊天机器人（ChatBot）。
为了让大家更安心地探索OpenClaw的强大能力，本文将快速梳理其背后的核心安全风险点，并正式介绍由腾讯朱雀实验室联合腾讯云EdgeOne推出的「OpenClaw安全体检」功能。它无需复杂配置，一句话即可让AI助理自动完成全面体检与Skill风险前置评估。
欢迎访问 https://matrix.tencent.com/clawscan/ ，并在你的OpenClaw中体验。
一、把事交给它之前：先看懂OpenClaw的安全边界
OpenClaw之所以迅速流行，核心在于它不仅会聊天，更能替你执行任务——它可以跑在本机或云端，接入各类即时通讯工具，并借助Skill直接操作文件、命令、邮件和浏览器。你给出一句话，它就能拆解步骤并执行，这正是其效率跃迁的来源。
但也正因为“能执行”，它的安全问题不再局限于“回答是否正确”，而变成了“它会不会动到不该动的东西”。理解OpenClaw的安全边界，可以围绕三个关键词展开：
1）权限：它能动什么
你赋予了OpenClaw哪些文件、账号、系统或网络权限，就决定了它能触达哪些资源。权限越大，潜在的利用风险就越高。
2）技能：它怎么动
Skill决定了具体的执行路径。同一句“整理邮件”，不同的Skill可能触发完全不同的操作链。安装的外部Skill越多，执行复杂任务的链路就越长，也越难以直观地看清潜在问题。
3）输入：它为什么会这么动
除了你直接发给OpenClaw的文本指令，网页、文档、群消息等外部内容有时也会夹带诱导信息或隐藏指令，从而影响它的判断与后续动作。
明白了这一点你就会发现，许多风险并非源于你主动“交出秘密”，而是发生在OpenClaw“输入 -> 思考 -> 执行”的链路中——它可能被恶意内容诱导、被高权限Skill放大误操作，或被黑客利用漏洞攻击导致服务器沦陷，最终引发敏感信息暴露、数据误删等严重后果。
二、更安全地用OpenClaw：了解四类最常见的风险点
了解了安全边界，接下来我们看看那些“最容易踩的坑”。当前阶段，OpenClaw的风险点相对集中，我们将其归纳为以下四类。
1. 配置风险：公网暴露与访问控制缺失
许多用户在云上部署OpenClaw时，为了图方便直接去除了本地访问限制，将服务端口暴露在公网上。根据外部数据统计，全球有超过46万个OpenClaw实例完全暴露在黑客视野中。由于攻击者使用AI工具进行扫描和攻击的效率极高，一个全新的OpenClaw服务在上线公网几分钟内就可能遭到大量探测。
根据朱雀实验室的进一步统计，国内互联网中暴露的OpenClaw服务器IP已超过12万个。即使OpenClaw默认启用了Token认证，公网暴露依然会显著增加被探测和0day漏洞攻击利用的概率。更稳妥的做法是：收敛暴露面（例如使用白名单、网关或限定内网访问），并按照官方最佳实践配置好各项安全策略，将风险挡在入口处。
2. Skill风险：恶意Skill与记忆污染
OpenClaw生态的繁荣离不开Skill，但Skill的本质是“将外部指令与脚本的执行权限引入你的Agent”。这主要会带来两类典型风险：
（1）恶意Skill / 后门指令与检测绕过
OpenClaw官方有一个名为ClawHub的技能市场，任何开发者都可以上传技能包供用户安装。此前Snyk安全团队发布的一份名为《ToxicSkills》的研究报告显示，他们扫描了4000多个Skill，发现高达36%存在后门指令、恶意代码或凭证泄露等安全缺陷。
例如，上图中的yahoo-finance技能被伪装成金融数据查询工具，用户一旦安装就会下载并运行后门程序。尽管近期ClawHub已接入了VirusTotal病毒扫描与官方审计，但攻击者仍可能通过编码混淆、延迟加载或利用脚本漏洞等对抗手法绕过检测。更现实的情况是，大量Skill来自GitHub、第三方市场或群文件分享，急需一套统一的安检流程来应对这类安全威胁。
（2）记忆污染
OpenClaw的记忆机制本意是让它越用越顺手，但在某些场景下也可能成为“被长期带偏”的入口。风险不在于它看到了外部内容，而在于这些内容可能改变其后续的行为规则。例如，恶意Skill可以将特定指令、偏置策略写入长期记忆或配置中。此外，攻击者还会在网页、文档里夹带隐藏指令或诱导内容（即间接提示注入），当OpenClaw使用Web浏览或总结类Skill处理这些内容时，可能被引导去“记住某条规则”或“以后遇到某类任务就这么做”。
记忆污染相关的风险最难之处在于其隐蔽性和持久性：它不像一次性漏洞那样立刻爆发，而是悄无声息地改变Agent的行为习惯。要降低这类风险，关键在于将安全检测前置到“安装Skill、读取外部内容、写入记忆”等环节，并在发现可疑规则写入或异常偏置时及时提示与阻断。
3. 版本与漏洞：及时升级和定期体检
像OpenClaw这类复杂的Agent项目，底层依赖众多组件，如Web解析库、通信框架、序列化库等。这些组件一旦出现漏洞，风险往往不在业务配置层面，而在于“组件本身是否中招、版本是否及时更新”。因此，仅靠网络隔离或权限收敛还不够，主动的版本管理与漏洞排查同样关键。
以社区在2026年2月披露的一起OpenClaw高危漏洞（CVE-2026-25253）为例，该问题出在底层通信机制上，可能被利用来触发远程代码执行等严重后果。
我们在持续监测OpenClaw及其依赖链的安全动态时，已累计跟踪到200多个与其相关的公开漏洞与风险通告，并同步到朱雀实验室A.I.G的AI基础设施漏洞库中，用于风险扫描与预警。
此外，我们还发现并协助OpenClaw官方修复了3个底层安全漏洞（如上图CVE-2026-27007），获得了项目方的公开致谢。我们未来将继续深挖AI供应链组件的各类风险，提升漏洞预警能力。鉴于目前监测到的OpenClaw相关漏洞数量仍在快速增长，建议用户养成定期更新版本的习惯。
4. 隐私数据泄露与误操作
许多用户在配置OpenClaw权限或安装Skill时，并不完全了解其请求或实际使用的权限边界。而当前的OpenClaw在长上下文、多任务或异常输入的情况下，可能发生“安全红线遗忘”，例如忘记最初的约束、执行批量误删或错误地将数据泄露到外网。
例如，Meta超级智能实验室的安全总监就曾分享她使用OpenClaw整理邮件时被错误清空邮箱的案例。因此，实现OpenClaw及其Skill的“权限透明”至关重要——让用户清晰了解它能做什么、可能引发哪些高危操作，并在执行关键动作（如批量删除、外发数据、执行命令）前给予明确提示，能显著降低误操作与数据泄露风险。
三、Agent时代的原生安全：让体检也能“一句话触发”
面对上述安全威胁，如果沿用传统思路，你可能需要持续扫描服务端口、逐行审查每个Skill的源码、并时刻关注漏洞库以决定是否打补丁。这对一个主打“自动化解放双手”的Agent来说，显得过于反直觉。
既然Agent能够理解并执行指令，那么安全能力也应该能够被一句话驱动，并且更贴合Agent自身的工作方式。
为此，腾讯朱雀实验室联合腾讯云EdgeOne推出了面向OpenClaw等智能体的“一键安全体检”功能。我们不再提供面向人类的复杂加固清单，而是将朱雀实验室开源的一站式AI安全风险检测平台A.I.G的各项能力，浓缩成一个最轻量级的技能包——EdgeOne ClawScan，并将其嵌入到OpenClaw的生命周期中。
1. 一句话启动体检：对话即入口
现在，你无需敲击复杂的部署命令，只需在与OpenClaw的聊天对话框中发送一句话，即可启动全面安全体检。
指令示例：
“安装 edgeone-clawscan skill，并进行安全体检。”
（提示：如果遇到Clawhub限流或其它安装问题，可以使用备用指令：“拉取 https://matrix.tencent.com/clawscan/skill.md ，并安装 edgeone-clawscan skill，然后开始安全体检。”）
收到指令后，你的OpenClaw就会自动完成一次全面的安全扫描：
- 查配置：分析当前配置项是否存在公网暴露、未授权访问等隐患。
- 审技能：深度检测已安装的Skill中是否夹带恶意指令与后门。
- 扫漏洞：扫描当前运行环境与版本，确认是否存在未修复的致命CVE漏洞。
- 防泄露：评估OpenClaw是否拥有访问相册、文档等隐私文件的过高权限。
- 出报告：直接在对话框中输出清晰易懂的安全检测报告。
最终，它会用你能看懂的自然语言输出一份详细的风险报告——哪个技能在试图窃取密钥、哪个配置开放的端口存在被攻击风险、当前版本有哪些严重漏洞需要更新，一目了然。
你还可以参考A.I.G提供的建议，让OpenClaw尝试一键自动完成部分风险的修复与加固。
2. 持续守护：把A.I.G设为OpenClaw安全管家
一次性体检只能解决“当前”的问题，而Agent的风险来源于“持续的变化”：你会安装新Skill、开启新权限、访问新网页、引入新依赖。同时，攻击者也在7×24小时地进行自动化试探。
因此，我们支持将A.I.G作为“隐形安全管家”常驻在OpenClaw的工作流中。只需一条简单的对话指令即可开启：
“以后每次安装新的Skill之前，都必须先用edgeone-clawscan进行安全风险扫描。”
此后，无论你通过命令行还是对话安装任何新Skill，A.I.G都会进行前置安全审计。一旦发现该Skill夹带私货（例如存在高危的删除指令，或试图悄悄外发隐私数据），它会立刻在对话框中向你亮起红牌警告，将威胁扼杀在摇篮里。
此外，你还可以自由探索更多用法，例如：“每周末用edgeone-clawscan帮我做一次安全体检”、“帮我看看xxx这个Skill安全吗？”。
3. 开源共建：一站式AI安全风险评估平台
自2025年初开源至今，朱雀实验室的A.I.G（AI Infra Guard）项目已在GitHub上获得了超过3200个Star，并吸引了20多位社区贡献者以及多个高校与企业参与共建。
A.I.G最新版本除了上面介绍的OpenClaw安全体检，还支持AI工具技能扫描（Skill + MCP）、Agent安全扫描（Dify、Coze等工作流风险）、大模型安全体检（LLM越狱评估）、AI基础设施漏洞扫描等功能，致力于提供一站式的AI安全风险评估支持。
其中新增的Agent安全扫描能力，已支持快速接入与扫描Dify、Coze等主流Agent工作流平台的安全性，覆盖OWASP Top 10 for Agentic Apps 2026中的数据泄露、提示注入、权限配置不当、工具滥用等常见风险检测。相关功能的详细介绍将在后续文章中展开。
四、安全，是AI助理最重要的“出厂设置”
腾讯朱雀实验室A.I.G的愿景，是帮助大家在Agent时代更安心地探索和使用各类AI能力。目前我们仍在快速迭代新功能与体验，并与腾讯科恩实验室联合共建Skill安全情报数据。
如果你在体验中遇到问题或有任何建议，欢迎在我们的GitHub项目（https://github.com/Tencent/AI-Infra-Guard）中提交Issue、PR，或加入社区交流群参与讨论与共建。
我们始终相信，深入的技术讨论与安全的实践分享是推动行业进步的关键。欢迎关注云栈社区获取更多前沿技术解析与安全实践。
参考链接：
- 国家互联网应急中心《关于OpenClaw安全应用的风险提示》 https://mp.weixin.qq.com/s/4Ds8wa_iSgSvnNwH2DfaDw
- 慢雾科技 《OpenClaw 极简安全实践指南》 https://github.com/slowmist/openclaw-security-practice-guide
- DECLAWED https://declawed.io/
- 腾讯安全威胁情报中心 https://tix.qq.com/
发表于 2 小时前
|
查看: 3|
回复: 0
