2026年OpenClaw生态安全风险分析报告

目录 一、概述.....................................................................................................................3二、漏洞列表.............................................................................................................5三、OpenClaw架构特征与防御失效分析...............................................................73.1架构特征........................................................................................................83.2防护边界失效................................................................................................93.2.1认证边界：多路径认证与授权缺口.................................................93.2.2网络边界：双向数据流转与暴露面失控.......................................103.2.3执行边界：碎片化隔离与沙箱穿透...............................................103.2.4控制边界：指令可信与任务劫持....................................................113.3小结..............................................................................................................13四、二次开发中的安全债传递...............................................................................144.1功能优先：“VibeCoding”背后的隐形代价..........................................144.2二次开发的内忧外患..................................................................................14（1）内忧：原生继承下的版本差异.....................................................15（2）外患：差异化功能导致的攻击面扩张.........................................164.3小结..............................................................................................................19五、开源自研的安全挑战.......................................................................................205.1设计范式层面的脆弱性延续......................................................................205.2新安全机制的逻辑缺口..............................................................................235.3小结..............................................................................................................25六、总结...................................................................................................................26 一、概述 OpenClaw核心能力的不断成熟与全面开放，引发了业界的关注热潮。得益于其底层架构的灵活性与高扩展性，OpenClaw不仅支撑了大量基于它的二次开发，更启发了众多团队借鉴其理念开启独立自研，推动生态向多极化方向发展。 这种繁荣同时也伴随着产品形态的能力转变。当前的Claw系应用正逐渐打破传统工具“被动响应”的局限，向着具备自主决策能力的Agent跨越。这种能力跃迁不可避免地要求系统赋予其更复杂的接口与更宽泛的权限边界。当这些高权限、高自治的实体运行在不可信的网络环境中，或是面临潜在的恶意攻击时，失控的风险将被急剧放大。面对此类具备高度主观能动性的新型应用目标，传统的安全测试手段往往难以有效覆盖其动态逻辑与模糊边界。 基于此，本报告开展了一次深度的“漏洞挖掘智能体实践”。360漏洞研究院引入自研的漏洞挖掘智能体，以“Agent对抗Agent”的创新范式，对OpenClaw生态产品展开了系统性的安全分析。借助漏洞挖掘智能体高效的全流程自动化漏洞挖掘能力，我们成功突破了复杂应用的测试瓶颈，累计挖掘出安全漏洞20余个，涵盖远程代码执行、认证绕过、权限提升、信息泄露等多种高危漏洞类型。 在对智能体在实战中捕获的丰富漏洞数据与攻击链路进行归纳分析后，我们 发现，由于OpenClaw生态演进的独特性，其潜在的安全风险呈现出多样化、普遍性与可传播性，并深度渗透至各类衍生产品之中。本报告将结合此次智能体实践的成果，将OpenClaw生态划分为三大核心分析维度：OpenClaw架构特征与防护失效、二次开发中的安全债传递、以及开源自研的安全挑战。围绕上述维度，本报告将系统性地剖析不同应用场景下潜藏的安全风险，旨在为Claw生态的持续、健康与积极发展夯实安全底座，贡献实质力量。 二、漏洞列表 本研究共覆盖OpenClaw核心及10款Claw衍生产品，经系统性分析共确认23处独立安全漏洞。所有漏洞均已反馈至相关厂商与开发者跟进修复，并上报国家信息安全漏洞库（CNNVD）、国家信息安全漏洞共享平台（CNVD）等权威机构。下表按产品归属和漏洞类型进行汇总： 表格所示漏洞涵盖远程代码执行、认证与访问控制、越权文件操作、提示词注入与信息泄露、拒绝服务类等漏洞类型。这一分布特征与OpenClaw及其衍生产品的形态相符：多入口、高权限、重本地服务、弱组件间隔离。 为避免安全风险外溢及防止潜在的恶意利用，本报告中涉及的所有具体漏洞案例均进行匿名化处理。 三、OpenClaw架构特征与防御失效分析 在OpenClaw开源仓库中，与其37万GitHubStars同样引人注目的，是其居高不下的安全公告数量。截至2026年5月11日，OpenClawGitHub已累计披露超过535个安全公告，在同期开源项目中处于显著高位。这客观反映出一个事实：在OpenClaw功能日益丰满的同时，其暴露的攻击面正被快速拓宽，深层的安全隐患也在同步积聚。 从时间维度观察，这些安全风险的暴露正呈现出明显的加速趋势。在项目早期，安全公告大多以“周”为单位零星发布；然而进入2026年第一季度后，其披露频率已骤然攀升至日均4个以上。这种由疏到密的转变，其深层原因在于当前生态中普遍存在“能力扩展优先于安全约束”的开发倾向，激进的功能迭代与相对滞后的安全内建，最终催生了日益严峻的系统性风险。 3.1架构特征 为了更好理解这些安全公告所反映的漏洞根因与攻击场景，需结合OpenClaw的核心运行架构进行分析。作为一个以本地资源操控为设计哲学的AIAgent网关，OpenClaw的运作依赖于三个相互嵌套的基础组件： 本地工具层（ToolCallingLayer）：负责将大模型的决策转化为对本地资源的实际操作，包括文件读写、命令行执行、浏览器自动化、代码动态编译等。该层直接触及操作系统核心，必须严格验证操作主体身份并限定操作权限范围。 网络连接层（NetworkLayer）：支撑Agent与外部世界的双向数据交换。一方面，Agent需要主动抓取网页、调用外部API、下载资源；另一方面，系统又在本地暴露HTTP服务、WebSocket连接、RPC端口以接收外部请求。该层必须确保入口合法与出口可控性。 决策核心层（ControlPlane）：以大型语言模型为中枢，将自然语言指令转化为任务计划并调度工具执行。该层需要持续接收并理解多源输入（用户指令、网页内容、工具反馈），必须确保指令来源可信、决策过程不可篡改。 这三层组件的交互关系决定了OpenClaw的安全防御不能依赖单点机制，必须构建涵盖四个维度的纵深防御体系：认证边界（谁有权接入本地服务）、网络边界（哪些网络面允许被触及）、执行边界（高权限操作如何被物理隔离）以及控制边界（决策指令如何被验证）。理想情况下，这四层边界应逐层递进、互为依托：认证边界阻挡未授权访问者，网络边界缩小攻击暴露面，执行边界将突破者限制在隔离环境内，控制边界确保即使前三层失守，核心决策仍不可被劫持。 3.2防护边界失效 尽管架构设计上具备良好的防御蓝图，但在OpenClaw的实际代码实现与复杂运行环境中，上述理想的纵深防御体系却往往难以维系。某一层的破坏往往会为其他边界打开缺口，使得任何单点突破都可能横向扩散为系统性失控。本节将结合安全公告中披露的具体问题进行攻击路径分类，逐一分析每层防御边界上真实发生过的安全隐患。 3.2.1认证边界：多路径认证与授权缺口 认证边界的核心职责是确认“操作主体的合法性”。为了适配多样化的交互需求，OpenClaw设计了从设备配对到多级管理的复杂权限体系，并开放了本地CLI、WebUI、API调用等多种访问通道。理想状态下，每一个访问入口都应在对应入口完成权限校验，从而形成严格的认证验证控制。 然而，安全公告数据显示，认证与访问控制类漏洞在OpenClaw安全公告中占比极高。其根因在于，多层权限模型与错综复杂的访问通道交叉叠加后，容易在代码实现中产生校验盲区。攻击者可通过本地未授权接口、WebSocket身份验证绕过、跨平台凭证复用等路径，以较低成本突破第一道防线，获得后续横向移动的机会。 3.2.2网络边界：双向数据流转与暴露面失控 如果说认证边界管控的是访问主体，网络边界管控的则是“数据与连接的合法流向”。作为一个强交互的Agent，OpenClaw既需要主动外联（如抓取网页、调用第三方API）以获取上下文，又必须提供本地服务监听以接收外部指令。 这种“保持高频外部感知”与“收敛自身暴露面”之间的诉求冲突，导致传统边界防御在此处趋于模糊，SSRF（服务器端请求伪造）、协议绕过等网络层风险反复出现。更为严峻的是，一旦前置的认证边界存在校验盲区，OpenClaw内置的强大外部资源获取工具链便会成为内网探测与横向穿透的跳板工具。此时，网络边界防御不再是单纯的阻断外部恶意流量，而是演变为应对系统攻击面扩张问题。 3.2.3执行边界：碎片化隔离与沙箱穿透 执行边界负责解决“高权限操作在物理和逻辑层面上的隔离”。OpenClaw的设计初衷赋予了Agent极高的系统底层操控力，这也迫使系统必须依赖沙箱机制来限制潜在的破坏影响。这构成了执行边界最本质的挑战：既要无限逼近操作系统的核心能力，又要限制其破坏范围。 在实际架构中，