国家应急管理中心发布关于OpenClaw安全应用的风险提示近期OpenClaw爆火这是一种可以部署在个人电脑上的AI代理采用龙虾图标设计因此被人亲切的称为龙虾。它的核心是将自然语言指令转化为电脑实际操作实现一句话让AI替你干活能自主完成文件操作、浏览器自动化、数据抓取、表格制作等任务。需要注意的是由于该应用被授予了较高的系统权限包括访问本地文件系统、读取环境变量、调用外部服务应用程序编程接口API以及安装扩展功能等会出现严重风险。国家应急管理中心发布风险提示称由于其默认的安全配置极为脆弱攻击者一旦发现突破口便能轻易获取系统的完全控制权。前期由于OpenClaw智能体的不当安装和使用已经出现了一些严重的安全风险1.“提示词注入”风险。网络攻击者通过在网页中构造隐藏的恶意指令诱导OpenClaw读取该网页就可能导致其被诱导将用户系统密钥泄露。2.“误操作”风险。由于错误的理解用户操作指令和意图OpenClaw可能会将电子邮件、核心生产数据等重要信息彻底删除。3.功能插件skills投毒风险。多个适用于OpenClaw的功能插件已被确认为恶意插件或存在潜在的安全风险安装后可执行窃取密钥、部署木马后门软件等恶意操作使得设备沦为“肉鸡”。4.安全漏洞风险。截止目前OpenClaw已经公开曝出多个高中危漏洞一旦这些漏洞被网络攻击者恶意利用则可能导致系统被控、隐私信息和敏感数据泄露的严重后果。对于个人用户可导致隐私数据像照片、文档、聊天记录、支付账户、API密钥等敏感信息遭窃取。对于金融、能源等关键行业可导致核心业务数据、商业机密和代码仓库泄露甚至会使整个业务系统陷入瘫痪造成难以估量的损失。建议相关单位和个人用户在部署和应用OpenClaw时采取以下安全措施1.强化网络控制不将OpenClaw默认管理端口直接暴露在公网上通过身份认证、访问控制等安全控制措施对访问服务进行安全管理。对运行环境进行严格隔离使用容器等技术限制OpenClaw权限过高问题2.加强凭证管理避免在环境变量中明文存储密钥建立完整的操作日志审计机制3.严格管理插件来源禁用自动更新功能仅从可信渠道安装经过签名验证的扩展程序。4.持续关注补丁和安全更新及时进行版本更新和安装安全补丁。OpenClaw 安全风险排查指南在效率与安全之间寻找平衡OpenClaw 安全风险排查指南在效率与安全之间寻找平衡近期OpenClaw 作为热门的 AI 智能体平台帮助无数开发者和企业提升了工作效率。然而随着功能的快速迭代一些安全风险也逐渐浮出水面。国家信息安全漏洞数据库NVDB已收录其多款高危漏洞GitHub Advisory Database 更是在 2026 年 3 月集中披露了数十个 OpenClaw 相关安全漏洞涵盖认证绕过、命令注入、信息泄露、权限越权等多个维度若公网暴露的实例未及时修复攻击者可直接实现未授权远程代码执行对企业和个人数据安全、系统运行造成严重威胁。当前 OpenClaw 的漏洞分析显示其安全问题主要集中在权限管控逻辑缺陷、沙箱机制绕过、网络防护不完善、认证校验不严谨四大方面且多数漏洞因框架的分布式执行特性和多渠道交互设计被放大低版本实例受影响尤为严重。本文将对 OpenClaw 近期披露的核心漏洞进行技术分析给出针对性的加固建议和版本升级指南为相关部署方提供安全参考。01、高危漏洞警示本次梳理的 OpenClaw 高危漏洞共 5 个拥有 CVE 编号漏洞 2 个均为可直接利用的高风险漏洞其中 1个已发现在野利用覆盖认证令牌泄露、命令注入、跨域敏感信息转发、网关认证信息泄露等类型CVSS 评分最高达 8.8 分。1. OpenClaw 跨域重定向漏洞(GHSA-6mgf-v5j7-45cr)危害等级高危CVE 编号待分配CVSS 评分7.5漏洞描述OpenClaw 的 fetch-guard 组件存在逻辑缺陷在跨域重定向过程中会将自定义的授权请求头直接转发至重定向目标地址导致授权凭证泄露至非可信域名。影响版本 2026.3.2修复版本 2026.3.7攻击场景攻击者构造恶意跨域重定向链接诱导 OpenClaw 合法用户访问fetch-guard 在重定向时将用户的授权头转发至攻击者控制的服务器获取授权凭证。潜在危害攻击者利用泄露的授权凭证实现未授权 API 调用执行文件操作、系统命令等行为窃取用户数据或控制 AI 代理。修复建议升级至 OpenClaw 2026.3.7 及以上版本该版本已加强浏览器端 SSRF 防护拦截私有网络的中间重定向跳跃在 fetch-guard 组件中添加跨域重定向授权头过滤规则仅允许向可信域名转发授权信息。2. OpenClaw 信息泄露漏洞(GHSA-rchv-x836-w7xp)危害等级高危CVE 编号待分配CVSS 评分7.1漏洞描述OpenClaw 的管理仪表盘存在信息泄露缺陷网关认证相关的敏感材料会通过浏览器 URL 查询参数和 localStorage 本地存储进行传输和保存未做加密和脱敏处理。影响版本 2026.3.2修复版本 2026.3.7攻击场景攻击者通过物理接触、浏览器漏洞或跨站脚本攻击XSS获取目标设备浏览器的 URL 历史或 localStorage 数据提取网关认证材料若为共享设备可直接查看浏览器记录获取认证信息。潜在危害攻击者获取网关认证材料后可直接接管 OpenClaw 网关控制整个 AI 代理系统执行任意系统级任务窃取本地所有数据。修复建议升级至 OpenClaw 2026.3.7 及以上版本移除认证信息在 URL 查询参数中的传输方式对 localStorage 中存储的认证材料进行高强度加密添加认证信息的过期机制短时间无操作自动清除本地存储的认证数据。3. OpenClaw 远程代码执行漏洞(CVE-2026-25253)危害等级高危CVE 编号CVE-2026-25253CVSS 评分8.8漏洞描述OpenClaw Control UI 存在参数处理缺陷接受查询字符串中的 gatewayUrl 参数且在自动建立 WebSocket 连接时会将认证令牌直接传输至该参数指定的地址未做域名校验。影响版本 2026.1.29修复版本 2026.1.29攻击场景已在野利用攻击者构造包含恶意 gatewayUrl 参数的钓鱼链接诱导 OpenClaw 用户访问Control UI 将认证令牌传输至攻击者控制的 WebSocket 服务器攻击者利用令牌接管代理。潜在危害直接实现未授权远程代码执行以 OpenClaw 运行权限在宿主机执行任意命令窃取本地数据、控制设备操作甚至横向渗透至内网其他设备。修复建议立即升级至 2026.1.29 及以上版本添加 gatewayUrl 参数的可信域名白名单校验仅允许连接至本地或预配置的可信网关地址对 WebSocket 传输的认证令牌进行端到端加密防止中途被窃取。4. OpenClaw 命令注入漏洞(CVE-2026-25157)危害等级高危CVE 编号CVE-2026-25157CVSS 评分8.1漏洞描述OpenClaw 的特定 API 端点存在参数解析缺陷未对传入的参数进行严格的过滤和校验攻击者可通过该端点注入任意系统命令。影响版本 2026.1.29修复版本 2026.1.29攻击场景攻击者直接向存在漏洞的 API 端点发送包含恶意命令的请求参数被直接解析执行无需额外的身份校验。潜在危害以 OpenClaw 运行权限在宿主机执行任意系统命令实现文件读取、写入、删除甚至控制设备操作若为服务器部署可获取服务器权限。修复建议立即升级至 2026.1.29 及以上版本对所有 API 端点的传入参数进行严格的过滤和转义禁止包含系统命令的特殊字符添加 API 端点的访问白名单仅允许可信 IP 和用户访问。5. OpenClaw 命令注入漏洞(CVE-2026-24763)危害等级高危CVE 编号CVE-2026-24763CVSS 评分7.8漏洞描述OpenClaw 的插件执行接口存在沙箱机制绕过缺陷恶意插件可突破沙箱限制直接向接口注入任意系统命令且命令可被直接执行。影响版本 2026.1.29修复版本 2026.1.29攻击场景攻击者开发包含恶意命令注入代码的插件诱导用户安装插件通过执行接口突破沙箱限制执行恶意系统命令。潜在危害绕过沙箱隔离执行任意系统命令窃取本地数据、修改系统配置甚至植入恶意程序对设备造成永久性破坏。修复建议立即升级至 2026.1.29 及以上版本加强插件执行接口的沙箱防护机制禁止插件直接调用系统命令对第三方插件进行严格的安全审核添加插件代码的静态扫描和动态检测。02、中危漏洞汇总GitHub 在 2026 年 3 月 9 日最新披露的漏洞中有 8 个均为中危漏洞主要集中在 system.run 组件权限管控缺陷、ACP 会话初始化逻辑问题、认证锁止规则疏漏等方面影响 OpenClaw 最新版本之前的 npm 发行版修复版本均为 2026.3.7。同时在 2026 年 2 月 4 日披露的漏洞中中危漏洞CVE-2026-25475已发现在野利用需要重点关注。 9 个中危漏洞的核心信息梳理1. OpenClaw 本地主机信任绕过漏洞(CVE-2026-25475)危害等级中危高危利用风险CVE 编号CVE-2026-25475CVSS 评分6.5漏洞描述OpenClaw 存在认证逻辑缺陷错误地将所有来自localhost的连接视为可信来源未做额外的身份校验存在信任边界绕过问题。影响版本 2026.1.30修复版本 2026.2.01攻击场景已在野利用攻击者控制目标设备上的恶意网站通过 JavaScript 在本地发起 WebSocket 连接利用localhost的可信属性绕过 OpenClaw 的认证机制实现未授权访问。潜在危害绕过认证后执行未授权操作包括文件读取、系统命令调用等若为服务器端部署可进一步利用该漏洞获取服务器权限。修复建议立即升级至 2026.2.01 及以上版本取消对localhost连接的无条件信任为本地连接添加额外的身份校验机制限制浏览器端 JavaScript 对 OpenClaw 本地网关的调用权限。2. 沙箱 ACP 请求初始化主机会话(GHSA-9q36-67vc-rrwg)危害等级中危CVE 编号待分配CVSS 评分5.9漏洞描述沙箱环境下的 /acp 生成请求可绕过沙箱限制直接初始化主机端的 ACP 会话突破沙箱隔离边界。影响版本 2026.3.2修复版本 2026.3.7攻击场景攻击者在沙箱中构造恶意 /acp 生成请求触发主机 ACP 会话初始化获取主机端的 ACP 操作权限。潜在危害突破沙箱隔离在主机端执行 ACP 相关操作实现权限提升进一步调用系统资源。修复建议升级至 OpenClaw 2026.3.7 及以上版本。3. system.run 持久化包含 shell 注释载荷尾(GHSA-9q2p-vc84-2rwm)危害等级中危CVE 编号待分配CVSS 评分5.0漏洞描述system.run 的 allow-always 持久化机制存在解析缺陷会将包含 shell 注释的载荷尾保留并执行绕过命令校验。影响版本 2026.3.2修复版本 2026.3.7攻击场景攻击者构造包含 shell 注释的恶意命令利用 allow-always 机制实现命令持久化注释部分被解析执行。潜在危害绕过 system.run 的命令校验执行未授权的 shell 命令实现文件操作或系统控制。修复建议升级至 OpenClaw 2026.3.7 及以上版本。4. operator.write 越权写入管理员配置(GHSA-hfpr-jhpq-x4rm)危害等级中危CVE 编号待分配CVSS 评分4.3漏洞描述operator.write的 chat.send 接口存在权限管控缺陷普通用户可通过该接口向管理员专属配置项写入数据实现权限越权。影响版本 2026.3.2修复版本 2026.3.7攻击场景普通用户构造特殊的 chat.send 请求指定管理员专属配置键值实现越权配置修改。潜在危害篡改管理员配置包括权限规则、白名单、沙箱限制等进一步实现未授权操作。修复建议升级至 OpenClaw 2026.3.7 及以上版本。5. system.run 包装深度边界绕过 shell 审批(GHSA-r6qf-8968-wj9q)危害等级中危CVE 编号待分配CVSS 评分5.0漏洞描述system.run 的 wrapper-depth 边界校验存在逻辑疏漏当包装深度超过阈值时会直接跳过 shell 命令的审批门控。影响版本 2026.3.2修复版本 2026.3.7攻击场景攻击者构造多层嵌套的包装命令突破 wrapper-depth 阈值绕过 shell 审批执行恶意命令。潜在危害绕过系统的命令审批机制执行未授权 shell 命令窃取数据或控制系统。修复建议升级至 OpenClaw 2026.3.7 及以上版本。6. 跨账户发送者授权扩展(GHSA-pjvx-rx66-r3fg)危害等级中危CVE 编号待分配CVSS 评分5.4漏洞描述/allowlist 的 --store 参数在账户范围划分时存在缺陷可实现跨账户的发送者授权扩展突破账户隔离。影响版本 2026.3.2修复版本 2026.3.7攻击场景攻击者利用 --store 参数的逻辑缺陷将自身的发送者权限扩展至其他账户获取跨账户的操作权限。潜在危害突破账户隔离边界访问其他账户的资源、执行跨账户操作窃取多账户数据。修复建议升级至 OpenClaw 2026.3.7 及以上版本。7. system.run 白名单漏检 PowerShell 编码命令(GHSA-3h2q-j2v4-6w5r)危害等级中危CVE 编号待分配CVSS 评分5.0漏洞描述system.run 的白名单审批解析机制未对 PowerShell 的编码命令包装进行校验漏检恶意编码命令。影响版本 2026.3.2修复版本 2026.3.7攻击场景攻击者将恶意命令进行 PowerShell 编码包装绕过白名单审批执行未授权操作。潜在危害绕过命令白名单执行 PowerShell 恶意编码命令实现系统控制和数据窃取。修复建议升级至 OpenClaw 2026.3.7 及以上版本。8. system.run 环境覆盖过滤允许危险命令支点(GHSA-j425-whc4-4jgc)危害等级中危CVE 编号待分配CVSS 评分6.3漏洞描述system.run 的环境变量覆盖过滤机制存在缺陷允许攻击者构造危险的辅助命令支点实现命令注入。影响版本 2026.3.2修复版本 2026.3.7攻击场景攻击者通过环境变量覆盖构造辅助命令支点进一步注入恶意系统命令。潜在危害实现命令注入以 OpenClaw 权限执行任意系统命令破坏系统环境或窃取数据。修复建议升级至 OpenClaw 2026.3.7 及以上版本。9. 钩子将非 POST 请求计入认证锁止(GHSA-6rmx-gvvg-vh6j)危害等级中危CVE 编号待分配CVSS 评分5.3漏洞描述OpenClaw 的钩子组件存在规则疏漏将非 POST 请求也计入认证失败次数触发不必要的认证锁止。影响版本 2026.3.2修复版本 2026.3.7攻击场景攻击者发送大量非 POST 请求触发认证锁止机制导致合法用户无法正常访问。潜在危害造成拒绝服务DoS合法用户无法正常使用 OpenClaw 的功能影响业务运行。修复建议升级至 OpenClaw 2026.3.7 及以上版本。03、安全加固建议OpenClaw 的漏洞修复版本主要分为2026.1.29、2026.2.01、2026.3.8-beta.1三个核心版本分别对应不同的漏洞修复范围部署方可根据当前版本选择对应的升级路径升级过程中需注意数据备份和兼容性验证。☞升级路径划分当前版本 2026.1.29优先升级至2026.1.29修复 3 个 具有 CVE 编号的高危漏洞含 1 个在野利用漏洞这是最紧急的升级步骤升级后可防御远程代码执行、命令注入等核心攻击若为 npm 版本可继续升级至 2026.3.8-beta.1修复目前 GitHub 披露的所有中高危漏洞。2026.1.29 当前版本 2026.2.01升级至2026.2.01修复本地主机信任绕过漏洞CVE-2026-25475该版本为 2026.1.29 的小幅安全补丁兼容性无影响。2026.2.01 当前版本 2026.3.8-beta.1升级至2026.3.8-beta.1修复 GitHub 在当前披露的所有漏洞包括信息泄露、权限越权、沙箱绕过等该版本新增了本地备份、SSRF 防护等安全功能。04、核心洞见本次分析的 OpenClaw 14 个核心漏洞覆盖认证、权限、沙箱、网络、插件五大核心模块其根源主要在于项目快速迭代过程中安全开发流程未及时跟进导致权限管控逻辑缺陷、防护机制不完善、参数校验不严格等问题集中暴露。其中 4 个已分配 CVE 编号的漏洞中2 个已发现在野利用且可直接实现远程代码执行对低版本部署实例造成严重威胁GitHub 披露的漏洞则主要影响最新版本之前的 npm 发行版以中危为主但可被攻击者利用实现权限提升和数据窃取。从漏洞特点来看OpenClaw 的分布式执行特性、多渠道交互设计、本地优先的运行机制放大了安全问题的影响网关作为核心枢纽其认证信息泄露可直接导致整个系统被控制沙箱机制的不完善则让攻击者能突破隔离直接访问主机资源多渠道的交互方式则增加了钓鱼攻击、跨域攻击的可能性。05、综合处置建议☞紧急修复分级处置所有 OpenClaw 部署方需立即开展版本核查对低于 2026.1.29 的实例进行紧急升级这是防御在野利用漏洞的关键对其他版本的实例按照升级指南逐步升级至最新修复版本做到高危漏洞优先修复、中危漏洞及时修复。☞左移安全强化配置企业级部署方需将安全融入 OpenClaw 的全生命周期管理在部署阶段就开启严格的访问控制、配置安全规则避免网关公网暴露、权限过度开放等问题个人用户需加强本地设备的安全防护避免安装未审核的第三方插件不随意点击陌生链接。☞关注官方实时监控持续关注 OpenClaw 官方的安全公告和漏洞披露信息及时修复新发现的安全漏洞建立常态化的漏洞扫描和日志监控机制实现攻击行为的早发现、早预警、早处置。☞社区协同完善生态OpenClaw 作为开源项目其安全生态的完善需要社区的共同参与建议开发者在贡献代码时加入安全检测环节官方需加强第三方插件的安全审核推出安全开发规范从源头减少漏洞的产生。06、结语OpenClaw 作为颠覆式的 AI 智能体框架其创新的技术架构和使用体验为开发者带来了全新的可能但安全是技术落地的前提。本次集中暴露的漏洞为所有开源项目敲响了警钟在快速迭代和功能创新的同时必须重视安全开发和防护机制的建设。对于 OpenClaw 的部署方而言当前最核心的工作是立即修复已披露的高危漏洞通过严格的配置安全和访问控制降低攻击风险对于项目官方和社区而言需以此次漏洞事件为契机完善安全开发流程强化防护机制让 OpenClaw 在安全的基础上实现更大的发展。网络安全无小事尤其是具备系统级操作能力的 AI 智能体框架其安全问题直接关系到设备和数据的核心安全。希望本次漏洞分析能为 OpenClaw 的部署方提供有价值的参考共同筑牢网络安全防线。参考https://github.com/openclaw/openclaw/securityhttps://openclawga-hiaxppxg.manus.space/cvehttps://mp.weixin.qq.com/s/mRWlFkiq9gaqX1oVuu9Ceghttps://socket.dev/blog/openclaw-advisory-surge-highlights-gaps-between-ghsa-and-cve-tracking