關鍵詞

安全漏洞

開源AI代理框架OpenClaw近日被披露存在一項“零點擊”高危漏洞，研究人員指出，攻擊者只需誘導開發(fā)者訪問一個惡意網站，即可在無插件、無擴展、無交互的情況下，直接劫持其本地運行的AI代理，實現接近整機控制級別的權限獲取。該漏洞由Oasis Security發(fā)現，影響范圍隨著OpenClaw在開發(fā)者群體中的快速普及而被進一步放大。

OpenClaw是一款自托管AI代理工具，運行在開發(fā)者本地電腦上，可連接Slack、日歷、開發(fā)工具及本地文件系統(tǒng)，并根據指令執(zhí)行自動化操作。其核心通過綁定在localhost上的WebSocket網關進行調度，不同“節(jié)點”設備可注冊到該網關，獲得執(zhí)行系統(tǒng)命令、讀取文件、訪問通訊錄等能力。問題恰恰出在這一“默認信任本地連接”的設計假設上。

攻擊鏈的觸發(fā)條件極其簡單：開發(fā)者在瀏覽器中訪問攻擊者控制的網站。頁面中的JavaScript腳本即可向本地OpenClaw網關發(fā)起WebSocket連接。由于現代瀏覽器并不會阻止跨源腳本訪問回環(huán)地址，攻擊腳本得以直接與本地服務通信。更嚴重的是，OpenClaw對來自localhost的連接未實施有效限速與失敗計數，攻擊者可以每秒數百次暴力猜測網關密碼而不會被鎖定或記錄。一旦密碼被破解，腳本即可自動注冊為“受信設備”，系統(tǒng)默認批準來自本地的配對請求，無需用戶確認。

完成認證后，攻擊者獲得管理員級控制權限，可向AI代理下達指令，例如搜索Slack歷史記錄中的API密鑰、讀取私密消息、提取本地文件，甚至執(zhí)行任意Shell命令。研究人員的概念驗證顯示，整個過程對受害者完全無感知，僅需一個瀏覽器標簽頁即可完成完整接管。

漏洞根源在于三項錯誤假設的疊加：認為localhost天然安全、認為瀏覽器無法訪問本地服務、認為回環(huán)地址無需限速控制。在現代Web環(huán)境下，這些前提均已不成立。研究團隊完成負責任披露后，OpenClaw項目方在24小時內發(fā)布修復版本，將該問題列為高危漏洞。

官方建議所有用戶立即升級至2026.2.25或更高版本，并全面盤點組織內開發(fā)者終端上的OpenClaw實例，包括未納入IT管理視野的“影子部署”。同時，應撤銷不必要的API密鑰與節(jié)點權限，將AI代理視為具備獨立身份與高權限的系統(tǒng)實體，納入統(tǒng)一身份與訪問管理框架之中。

此次事件再次表明，隨著AI代理逐步具備跨應用、跨系統(tǒng)的自動執(zhí)行能力，其安全邊界已遠超傳統(tǒng)插件或腳本工具。一旦設計中的信任模型出現偏差，風險規(guī)模將迅速放大。對企業(yè)而言，AI代理不再只是效率工具，而是必須納入核心安全治理體系的高權限數字身份。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！