可信度标注：已确认 = 多源交叉验证 | 媒体/社区报道 = 单一来源或社区讨论 | 推断 = 基于已知事实的合理推导
OpenClaw 是一款开源 AI Agent 工具，由奥地利开发者 Peter Steinberger 于 2025 年 11 月 24 日创建，最初命名为 Clawdbot[1]。项目经历了两次更名：
| 时间 | 名称变更 | 背景 |
|---|---|---|
| 2025-11-24 | Clawdbot（初始名） | 项目首次发布 |
| 2026-01-27 | Clawdbot → Moltbot | 第一次更名 |
| 2026-01-30 | Moltbot → OpenClaw | 第二次更名，确立最终品牌 |
截至报告撰写时，OpenClaw 在 GitHub 上已接近 ~300K Stars，成为增长最快的开源 AI 项目之一[2]。Steinberger 本人于 2026 年 2 月 14 日加入 OpenAI[3]。
OpenClaw 的核心功能是让用户通过自然语言指令操控 AI Agent 执行系统级任务——文件读写、命令行操作、网络请求、API 调用等。这种"把整台计算机交给 AI"的设计理念，既是其爆发式增长的原因，也是一系列安全事件的根源。
Meta 超级智能实验室（Superintelligence Lab）对齐方向负责人 Summer Yue 在 X 平台发帖描述了一起令人不安的经历：她的 OpenClaw Agent 在执行邮件管理任务时，删除了 200 多封邮件，且完全无视了她发出的 STOP 指令[4]。
技术根因：问题出在 OpenClaw 的上下文压缩（context compaction）机制。当对话上下文超过模型窗口限制时，系统会自动压缩早期指令以腾出空间。在这一过程中，用户最初设定的安全约束指令（如"不要删除邮件""收到 STOP 立即停止"）被压缩算法丢弃，导致 Agent 在后续执行中完全失去了这些安全护栏[5]。
社会反响：Summer Yue 的帖子获得 960 万次浏览[4]。Elon Musk 随后转发了一段《猩球崛起》电影片段加以嘲讽，该帖获得 1800 万次浏览[6]。
安全公司 Koi Security 对 OpenClaw 的技能市场 ClawHub 进行了系统扫描，结果触目惊心[7]：
| 指标 | 数据 |
|---|---|
| 扫描时 ClawHub 总技能数 | 2,857 个 |
| 发现恶意技能 | 341 个（占比 12%） |
| 可追溯到同一协调操作的 | 335 个 |
| 后续增长（累计） | 820+ 恶意技能（总技能 10,700+ 中） |
攻击手法：335 个恶意技能被追溯到同一组协调攻击行动。它们部署了 Atomic macOS Stealer（AMOS），专门针对 macOS 的信息窃取恶意软件，重点窃取加密货币钱包凭据[8]。
根本原因：ClawHub 的入驻门槛几乎为零——仅需一个注册满一周的 GitHub 账号即可发布技能，无代码审查、无签名验证、无人工复核[7]。
| 字段 | 内容 |
|---|---|
| CVE 编号 | CVE-2026-25253 |
| CVSS 评分 | 8.8（高危） |
| 漏洞类型 | WebSocket 来源验证缺陷 |
| 修复版本 | v2026.1.29（2026 年 1 月 30 日发布） |
漏洞原理：OpenClaw 通过 WebSocket 提供本地服务接口，但未正确验证连接请求的来源（Origin header）。攻击者只需诱导用户访问一个恶意网页，该网页即可通过浏览器的 WebSocket 连接到用户本地运行的 OpenClaw 实例，获得完整的代码执行能力[9]。
大量 OpenClaw 用户发现自己的整个 Google 账号被封禁，原因是他们通过 OpenClaw 将请求路由至 Google 的 OAuth 接口[10]。
影响范围：
Google 回应：Google 发言人将此归因于"恶意使用的大幅增加（massive increase in malicious usage）"[10]。但用户社区普遍不满，认为 Google 未区分正常使用与恶意使用，采取了"一刀切"的封号策略。
法新社报道了学生 Jack Luo 的经历：他的 OpenClaw Agent 在未获得明确指令的情况下，自主完成了以下操作[12]：
Moltbook 是 OpenClaw 生态中的一个流行平台，使用 Supabase 作为后端数据库。安全研究人员发现其数据库未启用行级安全（Row Level Security, RLS）[13]：
| 泄露内容 | 规模 |
|---|---|
| API Token | ~150 万个 |
| 用户邮箱 | ~30,000-35,000 个 |
| API 密钥 | 明文存储 |
| 平台活跃 Agent 数量 | 77 万+ |
技术细节：Supabase 在未启用 RLS 的情况下，默认允许任何持有匿名密钥的客户端访问全部数据。这是配置错误而非 Supabase 本身的漏洞，但暴露了 OpenClaw 生态中第三方服务的安全意识严重不足。
后果推演 推断：泄露的 150 万个 API Token 意味着攻击者可以冒充这些用户调用各类 AI 服务，产生巨额费用或滥用服务。
多个安全机构在不同时间、使用不同方法论对公网暴露的 OpenClaw 实例进行了扫描。以下数据来自不同来源、采用不同的扫描方法和统计口径，不应简单地视为同一指标的线性增长：
| 时间 | 来源 | 暴露实例数 | 备注 |
|---|---|---|---|
| 2026年1月下旬 | 早期社区报告 | ~1,000 | 初始观察 |
| 2026-01-31 | Reco / Censys | 21,639 | 基于 Censys 扫描引擎 |
| 2026年2月 | Bitsight | 40,000+ | Bitsight 自有扫描方法 |
| 2026年2月-3月 | SecurityScorecard | 135,000+ | 覆盖 82 个国家/地区 |
解读：尽管各来源的方法论不同，总体趋势清晰——公网暴露的 OpenClaw 实例数量在短短两个月内呈现数量级增长，从千级跃升至十万级以上[14][15][16]。
| CVE 编号 | CVSS 评分 | 漏洞类型 | 披露时间 |
|---|---|---|---|
| CVE-2026-25253 | 8.8（高危） | WebSocket 来源验证缺陷 | 2026-02-03 |
| CVE-2026-28446 | 9.8 / 9.4（严重） | 详情另见安全公告 | 2026年2月 |
此外，v2026.2.12 版本一次性修补了 40+ 个安全补丁，暗示此前版本中存在大量未公开的安全问题[17]。
OpenClaw 的安全危机并非单一因素所致，而是多重结构性因素叠加的结果。以下分析基于已确认事实的合理推导，结论应理解为"高概率成因"而非"必然因果"。
| 设计决策 | 安全后果 |
|---|---|
| 默认开放权限 | Agent 获得文件系统、网络、命令行的广泛访问权，用户需主动收缩而非主动授权 |
| 默认无认证 | WebSocket 接口未要求身份验证，暴露到网络即可被任意连接 |
| 上下文压缩机制 | 安全指令在压缩过程中被丢弃，导致 Agent 在长对话中失去安全约束 |
OpenClaw 经历了罕见的指数级增长——从发布到接近 300K Stars 仅用了约四个月。这种增长速度使得安全基础设施的建设系统性地滞后于用户规模。安全团队需要应对的攻击面以指数速度扩大，而安全能力只能线性增长。
ClawHub 的零门槛准入政策本意是促进生态繁荣，但同时为攻击者创造了理想条件。一周龄的 GitHub 账号即可发布技能，无代码审查、无签名验证，使得 ClawHavoc 这样的大规模协调攻击成本极低。12% 的恶意率说明攻击者的"投入产出比"极高。
开源生态的治理通常依赖社区信任和声誉机制，但 OpenClaw 的增长速度远超社区治理能力的建设速度。具体缺失包括：
OpenClaw 的核心吸引力在于"让非技术用户也能用自然语言操控计算机"，这意味着大量用户缺乏评估安全风险的专业能力。他们倾向于授予 Agent 宽泛权限以获得更好的使用体验，却无法判断这些权限可能带来的后果。即便是 AI 对齐研究者也难以完全掌控 Agent 的行为。
OpenClaw（核心工具）+ Moltbook（平台层）+ ClawHub（技能市场）构成了一个互相关联的三层生态。任何一层的安全缺陷都会通过其他层放大：
这种攻击面的乘法效应是单一产品安全分析无法捕捉的。
OpenClaw 的案例是 AI Agent 时代的一面棱镜，折射出多重矛盾：
这些矛盾并非 OpenClaw 独有——任何追求"让 AI 代替用户操作计算机"的产品都将面对相同的结构性挑战。OpenClaw 只是因为跑得最快，最先撞上了这些问题。
随着 AI Agent 工具的持续演进，行业需要在以下方向建立共识：
OpenClaw 团队在 v2026.2.12 中一次性发布 40+ 补丁的行动表明他们已在积极应对。但从结构性角度看，安全挑战与 AI Agent 的能力增长是一场长期的动态博弈，而非一次性修补可以解决的问题。