TL;DR - 722 条安全公告背后不是 722 个 bug,而是同一类信任边界失效

2026 年 10 月 26 日,约克大学(Mostafijur Rahman Akhond、Mahmuda Khatun、Gias Uddin)把论文《The Wild Wide West of OpenClaw Agentic System Security》(arXiv:2610.35451,cs.CR / cs.SE)放上 arXiv。结论一句话:OpenClaw 的安全问题不是零散的实现 bug,而是贯穿整条执行管线的信任边界反复失守。

论文给了三个分母:13 个 subreddit 的 25,000+ 条 Reddit 帖,筛出 162 条安全相关帖、1,787 条评论;358 个 security 标签的 GitHub issue,保留 180 个描述具体安全问题的;再把这些映射成 59 种 CWE 弱点类型、521 个 CWE 实例,以及从 543 条社区缓解建议里收敛出的 7 条反复出现的策略。

放在另一把尺子上看更刺眼:截至 2026 年 10 月 2 日,OpenClaw 累计发布 722 条 GitHub 安全公告(GHSA),其中 14 条 critical、249 条 high、390 条 medium、69 条 low;仅 2026 年 9 月一个月就发布 75 条,其中 30 条 high。

722 个补丁对 59 种弱点类型——差了一个数量级。这就是运维侧真正要抓的点:你不是在补 722 个洞,你是在同一条边界上反复破防。

一、两个分母:公告数量 vs 根因数量

口径数字来源时间
已发布安全公告722 条 GHSAOpenClaw security advisories(GitHub API 计数)截至 2026-10-02
critical / high / medium / low14 / 249 / 390 / 69同上截至 2026-10-02
2026 年 9 月单月发布75 条(其中 30 条 high)同上2026-09
论文语料:Reddit25,000+ 帖 / 13 个 subreddit → 162 条安全帖 + 1,787 条评论arXiv:2610.354512026-10-26
论文语料:GitHub358 个 security issue → 180 个含具体安全问题同上同上
弱点归类59 种 CWE 类型 / 521 个 CWE 实例同上同上
社区缓解建议543 条 → 7 条反复出现的策略同上同上
ClawHub 恶意技能2,857 个中 341 个 → 10,700+ 中 824 个Koi Research / ClawHavoc2026-02-01 / 2026-02-16

一句话读法:公告告诉你”哪里破了”,论文告诉你”为什么老是同一处破”。

二、论文里最具体的三条用户故事

编号 R003:900 多个暴露在公网的 Clawdbot 网关,因为配置不当正在泄露密钥和聊天记录。编号 R008:有人发现某个扩展装完后在后台悄悄抓取 AWS 凭证、.env 文件和 SSH 密钥。编号 R055:一位用户把 OpenClaw 接上 Discord 和 Telegram 之后,助手开始往他的 Discord 和 Instagram 发消息——“发消息这件事,我根本没授权过”。

三条都不是复杂 0day。它们分别对应敏感数据暴露、权限提升与不安全执行、以及”谁在批准工具调用”的授权缺失,正好落在论文归纳出的四大类:访问控制失效、敏感数据暴露、注入、不安全执行。论文还重建了一条可复现的敏感数据暴露路径(使用 dummy secret 值),并把整体攻击面归入 MITRE ATLAS 的 AML.T0051(提示注入),攻击复杂度评定为 Moderate。

三、10.8 → 10.9:两天两次发布,正好在补论文点名的类

论文发表次日节奏没停。v2026.10.8(2026-10-27)是一次纯安全发布,161 个 PR、28 个直接提交、163 位贡献者:secret egress proxy 及其导出的 trust bundle 不再信任 eMudhra 受影响的证书根;exec allowlist 不再单独信任 test -v / [ -v;Agent 不能通过配对节点触达浏览器代理命令;沙箱内的子 Agent 不能在宿主机上跑 CLI 模型;Fish Audio 与 Gradium 的报错不再回显 API key。

v2026.10.9(2026-10-29)规模更小但方向更硬:38 个 PR、8 个直接提交、22 位贡献者,核心是脆弱运行时依赖与凭据处理修复——fast-uri 升到 4.2.3(MCP schema 校验时拒绝畸形 URI scheme 与 host)、nodemailer 升到 10.1.4(IMAP 发件人解析走 sender token 门槛,伪造发件人过不去)、Microsoft Teams 走 MSAL Node 7.1.1、A2UI 与 Discord 内嵌 App SDK 提前拒绝超大 Zod 集合;tools.fs.workspaceOnly 现在也作用于 Gateway 构建的工具,委派 Agent 需要审批、媒体工具留在工作区内;MCP CLI 检查不再暴露活动凭据,Google OAuth secret 在日志中打码。

把这两份 release note 按论文的四类归位:畸形 URI → 注入;test -v allowlist → 不安全执行;子 Agent 在宿主跑 CLI 模型 → 沙箱逃逸与权限提升;凭据回显 → 敏感数据暴露。一次发布补齐四类。这就是”同一条边界反复失守”的实证。

四、ClawHub 与”沙箱默认关闭”:暴露面比想象中大

论文把成因同时指向部署侧的两个默认值。第一,工具沙箱默认关闭——沙箱要人主动开,而不是默认开。第二,ClawHub 技能市场的恶意占比在两周内从 341/2,857(11.9%)涨到 824/10,700+(7.7%),绝对量翻了一倍多。ClawHub 是插件分发,插件就是可执行代码——它与 CIK 分类法里的”能力”维度是同一类东西:绕过 LLM 推理直接落地的本地脚本。

五、收敛路径:把 722 个补丁压成 7 条策略

论文把 543 条社区建议收敛为 7 条反复出现的策略,作者另给出五项含义:显式信任边界、最小权限工具访问、执行隔离、运行时监督、纵深防御部署。给运维方的可执行版本大致是这六条:

  1. 默认开启沙箱。沙箱关闭时,“最小权限”只是一句口号。
  2. 技能来源白名单 + 人工审阅。恶意技能占比是 7.7%~11.9% 量级,不是零星个案。
  3. Gateway 不出公网。CDP relay 绑定 0.0.0.0(CVE-2026-43581,CVSS 9.6)、noVNC helper 路由认证绕过(CVE-2026-43575,CVSS 9.8)、飞书 webhook 与卡片动作校验绕过(CVE-2026-44109,CVSS 9.8),都指向同一件事:公网可达的控制面等于没有信任边界。
  4. 凭据不出现在可读面。MCP CLI 检查、报错信息、日志里的 API key 都是泄露面。
  5. 补丁节奏要跟。10.6 → 10.8 → 10.9 三次发布间隔不到一周,10.8(10-27)与 10.9(10-29)均为安全发布。
  6. 更新前备份、更新后重启。10.8 的证书信任修补需重启 Gateway 才生效;10.9 的 tools.fs.workspaceOnly 变更会改变委派 Agent 的行为。

FAQ(高频问题直答)

1. 722 条安全公告是不是意味着 OpenClaw 很不安全? 不能这么读。722 是”已发布的修复公告数”,不是”当前可利用漏洞数”。更有意义的对比是 722 个补丁对 59 种弱点类型:同一类根因被反复修了十几次。判断风险要看是否已修补、是否默认暴露,而不是历史公告总数。

2. 521 个 CWE 实例和 180 个 issue 是什么关系? 论文采集 358 个 security 标签的 GitHub issue,保留 180 个描述具体安全问题的,再按 CWE 映射成 59 种弱点类型、521 个实例。平均每个具体问题映射出约 2.9 个 CWE 实例——同一份报告常同时踩中多条弱点条目。

3. 论文说的”信任边界失效”具体指什么? 指不受信输入(网页、邮件、第三方 skill)、模型推理、工具调用、持久记忆与部署配置之间没有显式隔离点。表现是同一类越权或泄露在不同层反复发生,而不是某个函数里的空指针。

4. 现在该做什么? 先确认版本:当前稳定版为 2026.10.9,10.8 与 10.9 都是安全发布。再确认沙箱是否开启、Gateway 是否绑定 127.0.0.1、技能是否全部来自官方 ClawHub 并经过 VirusTotal 扫描。最后轮换一次在旧版本上暴露过的 API key 与 auth token。

5. 对国内企业私有化部署意味着什么? 私有化把公网暴露面降到最低,但把”技能供应链”与”日志/凭据泄露”两条线放大了——自建环境里技能常由内部同事打包,没有市场审核。论文的 CIK 分类法(能力 / 身份 / 知识)可以直接当内部审计表用。

6. 这项研究和官方安全公告是什么关系? 互补。官方公告给出”已修什么”,论文给出”为什么老是这样”,并把社区 543 条建议收敛成 7 条策略。对自托管用户来说,那 7 条策略比逐条追公告省力得多。

关键术语(Key Terminology)

  • CWE(Common Weakness Enumeration,通用弱点枚举):MITRE 维护的弱点编号体系,把”某类缺陷”标准化编号。本文”521 个 CWE 实例 / 59 种类型”指映射到的条目数与去重后的类型数。
  • GHSA(GitHub Security Advisory):GitHub 托管的安全公告格式,OpenClaw 累计发布 722 条。
  • CVSS(Common Vulnerability Scoring System):通用漏洞评分系统,0-10 分,9.0 及以上通常归为 Critical。
  • 信任边界(Trust Boundary):系统里”受信”与”不受信”的分界线。论文的核心论点就是这个边界在 Agent 执行管线里没有被显式定义。
  • 提示注入(Prompt Injection):论文把整体攻击面归入 MITRE ATLAS 的 AML.T0051,即通过不受信内容劫持模型行为。
  • 最小权限(Least Privilege):工具只被授予完成任务所需的最低权限,是论文 7 条策略之一。
  • 执行隔离(Execution Containment):Agent 生成的代码在受限环境里跑,默认不落地宿主机。
  • CIK 分类法(Capability / Identity / Knowledge):把 Agent 持久状态拆成能力(可执行脚本)、身份(角色与配置文件)、知识(长期记忆)三个维度,用于审计状态投毒。

参考资料

官方文档与公告

学术论文

安全媒体与研究团队