關(guān)鍵詞

安全漏洞

開源AI代理框架OpenClaw近日被披露存在一項“零點擊”高危漏洞，研究人員指出，攻擊者只需誘導(dǎo)開發(fā)者訪問一個惡意網(wǎng)站，即可在無插件、無擴展、無交互的情況下，直接劫持其本地運行的AI代理，實現(xiàn)接近整機控制級別的權(quán)限獲取。該漏洞由Oasis Security發(fā)現(xiàn)，影響范圍隨著OpenClaw在開發(fā)者群體中的快速普及而被進一步放大。

OpenClaw是一款自托管AI代理工具，運行在開發(fā)者本地電腦上，可連接Slack、日歷、開發(fā)工具及本地文件系統(tǒng)，并根據(jù)指令執(zhí)行自動化操作。其核心通過綁定在localhost上的WebSocket網(wǎng)關(guān)進行調(diào)度，不同“節(jié)點”設(shè)備可注冊到該網(wǎng)關(guān)，獲得執(zhí)行系統(tǒng)命令、讀取文件、訪問通訊錄等能力。問題恰恰出在這一“默認信任本地連接”的設(shè)計假設(shè)上。

攻擊鏈的觸發(fā)條件極其簡單：開發(fā)者在瀏覽器中訪問攻擊者控制的網(wǎng)站。頁面中的JavaScript腳本即可向本地OpenClaw網(wǎng)關(guān)發(fā)起WebSocket連接。由于現(xiàn)代瀏覽器并不會阻止跨源腳本訪問回環(huán)地址，攻擊腳本得以直接與本地服務(wù)通信。更嚴重的是，OpenClaw對來自localhost的連接未實施有效限速與失敗計數(shù)，攻擊者可以每秒數(shù)百次暴力猜測網(wǎng)關(guān)密碼而不會被鎖定或記錄。一旦密碼被破解，腳本即可自動注冊為“受信設(shè)備”，系統(tǒng)默認批準來自本地的配對請求，無需用戶確認。

完成認證后，攻擊者獲得管理員級控制權(quán)限，可向AI代理下達指令，例如搜索Slack歷史記錄中的API密鑰、讀取私密消息、提取本地文件，甚至執(zhí)行任意Shell命令。研究人員的概念驗證顯示，整個過程對受害者完全無感知，僅需一個瀏覽器標簽頁即可完成完整接管。

漏洞根源在于三項錯誤假設(shè)的疊加：認為localhost天然安全、認為瀏覽器無法訪問本地服務(wù)、認為回環(huán)地址無需限速控制。在現(xiàn)代Web環(huán)境下，這些前提均已不成立。研究團隊完成負責(zé)任披露后，OpenClaw項目方在24小時內(nèi)發(fā)布修復(fù)版本，將該問題列為高危漏洞。

官方建議所有用戶立即升級至2026.2.25或更高版本，并全面盤點組織內(nèi)開發(fā)者終端上的OpenClaw實例，包括未納入IT管理視野的“影子部署”。同時，應(yīng)撤銷不必要的API密鑰與節(jié)點權(quán)限，將AI代理視為具備獨立身份與高權(quán)限的系統(tǒng)實體，納入統(tǒng)一身份與訪問管理框架之中。

此次事件再次表明，隨著AI代理逐步具備跨應(yīng)用、跨系統(tǒng)的自動執(zhí)行能力，其安全邊界已遠超傳統(tǒng)插件或腳本工具。一旦設(shè)計中的信任模型出現(xiàn)偏差，風(fēng)險規(guī)模將迅速放大。對企業(yè)而言，AI代理不再只是效率工具，而是必須納入核心安全治理體系的高權(quán)限數(shù)字身份。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！