了解 OpenClaw 安全風險

什麼是 OpenClaw？

OpenClaw 是開源的代理式 AI 助理，擁有與啟動它的使用者帳戶相同的權限。它能在本機系統及相連的 API（包括雲端服務）中執行工作。

這項工具最初於 2025 年底以 Clawdbot 之名發布，之後更名為 Moltbot，再於 2026 年 1 月 29 日更名為 OpenClaw。它以使用者層級的權限，透過持續運作的背景程序啟動 shell 程序、讀取本機檔案和機密資訊，並呼叫外部 API。它從技能市集 ClawHub 取得第三方功能，並將指令儲存在持久性記憶檔案中。OpenClaw 是代替您執行操作的軟體，而它在組織內擴散的速度，快過多數安全團隊評估它的速度。

這項能力也是風險所在。代理程式能存取的一切，劫持它的攻擊者也能存取。假設使用者在本機執行 OpenClaw 時造訪惡意網頁。透過 CVE-2026-25253 這項在 通用漏洞評分系統 (CVSS) 中評為 8.8 分的高嚴重性缺陷，該網頁會悄悄連上本機伺服器、竊取驗證權杖，進而執行程式碼。OpenClaw 的強大能力與暴露風險源於同一根本原因：系統層級存取權限與憑證處理，而執行不受信任的程式碼更擴大了影響範圍。治理的第一步，是掌握風險會在哪裡發生。

OpenClaw 主要漏洞與攻擊途徑

您的安全團隊需要追蹤六類涵蓋 OpenClaw 攻擊面的風險，從遠端程式碼執行、提示詞注入，到透過 ClawHub 技能入侵供應鏈。

提示注入 位於這一連串攻擊的頂端。一份針對 OpenClaw 框架的安全分析發表於 arXiv，指出提示注入「凌駕於」執行政策繞過與技能層級權限提升之上：模型一旦遭到提示注入，「可能主動呼叫原本會被政策拒絕的工具，完全不觸發政策就讓政策失去作用。」

您也必須將供應鏈風險視為結構性問題。 ClawWorm 研究發現，ClawHub 使用者只需通過惡意軟體掃描，就能發布第三方技能套件，無須強制程式碼審查或行為分析。另一份技能生態系統研究記錄了涵蓋提示注入、資料外洩、權限提升及供應鏈風險的弱點。攻擊者不會一次只利用其中一類。

OpenClaw 攻擊如何運作

實際上，各種弱點會串成多階段攻擊鏈，最終全面入侵主機。最明確的例子是 Cloud Security Alliance Labs 記錄的一組 CVE，稱為 Claw Chain。

TheClaw Chain 研究描述了一條分四個階段進行的攻擊鏈。

1. 取得立足點。 代理程式擷取攻擊者控制的內容時，惡意網頁或遭投毒的 ClawHub 技能會在 OpenShell 沙箱內取得程式碼執行能力。
2. 資料外洩。 CVE-2026-44113 和 CVE-2026-44115 透過在驗證時看似安全的命令，竊取憑證與 API 金鑰。
3. 權限提升。 CVE-2026-44118利用模型上下文協定 (MCP)閘道接受由用戶端控制的 senderIsOwner 旗標的弱點，讓任何有效的持有者權杖都能取得擁有者層級的存取權限。
4. 主機持久化。 CVE-2026-44112利用檢查時與使用時之間的差異 (TOCTOU) 逃逸寫入限制，將寫入操作導向沙箱外，在主機啟動路徑植入後門。

每個步驟都模仿合法的代理程式行為，因此整條攻擊鏈即使逐步取得主機控制權，仍可能避開傳統安全警示。由於每個階段的操作看起來都像例行工具呼叫，特徵碼偵測無法可靠地識別這條攻擊鏈。每項操作單獨看都正常的盲點，決定了誰要承擔風險。

誰會受到 OpenClaw 安全風險影響

面臨風險的遠不只有正式核准使用這項工具的團隊。OpenClaw 靠個別開發人員自行採用，而非集中部署，因此任何人為了提高生產力而安裝它的電腦，都可能出現這個代理程式。其中三個領域風險最高。

• 開發環境。開發人員筆電上的代理程式可以讀取 SSH 金鑰、修改原始碼，並以機器速度存取持續整合與持續交付 (CI/CD)管線。一旦代理程式遭入侵，攻擊者就取得相同的存取範圍，能在人工審查做出反應前，從單一筆電侵入建置管線。
• 未經核准的安裝。 關於影子 AI 治理的研究指出，安全與合規團隊不知情的系統是一項重大的營運挑戰。光靠開發人員自行申報，無法找出這些系統。
• 已連接的 SaaS 環境。 當代理程式擁有 Slack 和 Google Workspace 等協作平台的寫入權限時，一則惡意提示就可能跨平台擴散。

這三個領域的共同點是：代理程式的存取權限會在授予權限的工作階段結束後持續存在。憑證不會消失，OAuth 授權範圍保持開放，代理程式也會繼續在背景執行。後續每項防護措施都取決於掌握代理程式在哪裡執行，因此下一個優先事項是找出它們。

如何在您的環境中找出 OpenClaw

標準資產清冊可能漏掉 OpenClaw，因為它以本機程序執行，而非經核准的 SaaS 應用程式。傳統端點工具看得到程序，卻無法解讀代理程式的行為，而 雲端存取安全代理程式 (CASB) 無法將工具呼叫歸因於發出呼叫的代理程式。您需要有計畫地進行分層掃描，才能找出它。

從網路層著手。檢查連接埠 18789 上的 OpenClaw 監聽活動：

shell

搜尋所有三種品牌名稱："Clawdbot Control"、"Moltbot Control" 和 "OpenClaw Control"，因為較舊的部署可能仍顯示更名前的標籤。留意 端點 上的閘道流量。檢查 OAuth 授權：對電子郵件和協作工具授予寫入範圍的連線，包括行事曆存取權，代表存在傳統 OAuth 審查容易忽略的代理程式連線。

探索工作不能只做一次。隨著開發人員開始使用這項工具，新的安裝會陸續出現，而更名後的執行檔也可能避開只搜尋單一名稱的查詢。因此，掃描必須定期執行，才能讓資產清冊保持最新。掌握代理程式的所在位置後，您就能開始限制它可存取的資源。

如何控制 OpenClaw 安全風險

控制 OpenClaw 安全風險，首先要問：代理程式遭入侵後，能存取哪些資源？應假設入侵無可避免，並設計控制措施來限制影響範圍。代理程式遭入侵時能觸及的資源越少，事件的影響就越小。請透過以下措施限制其存取範圍。

1. 隔離執行環境。 在具備網路隔離機制的虛擬機器或容器中執行代理程式。對不需要網路存取權的技能，使用 Firejail 或同等的沙箱機制加以限制。
2. 限制權限。 以非特權服務帳戶執行 OpenClaw。對每個代理程式身分套用 最小權限原則，並以短效權杖取代靜態憑證。一套 分層安全架構 將最小權限列為代理程式的基本設計準則。
3. 強化閘道。 啟用閘道驗證，並明確驗證 WebSocket 來源。這正是 CVE-2026-25253 背後的失效環節。
4. 治理技能。 稽核 ClawHub 技能並建立允許清單。比對套件與信譽情報來源，並在正式環境使用前掃描套件；將 ClawHub 視為未經審查的供應鏈。
5. 立即修補。 將所有尚未修補的執行個體視為已遭入侵，並優先修復 Claw Chain 漏洞組及其他已揭露的 OpenClaw CVE。
6. 監控行為。 部署端點與網路監控，並將行為基準資料匯入您的安全資訊與事件管理 (SIEM) 平台。
7. 制定政策。 建立一套AI 可接受使用政策，明確涵蓋代理式工具。

沒有任何單一控制措施能涵蓋從提示注入到主機持續駐留的完整攻擊鏈。關鍵在於分層部署隔離、最小權限、閘道強化和監控，避免某一層失效就讓攻擊者突破下一層。即使已有強大的控制措施，團隊仍會重複犯下幾種原本可以避免的錯誤。

保護 OpenClaw 時的常見錯誤

即使安全團隊已認識到風險，仍常落入相同的五種錯誤模式。每一種都以不同方式擴大 OpenClaw 安全風險。

• 全面禁用。缺乏探索與政策配套的禁令，只會讓工具轉入您看不見的影子安裝。代理程式不會消失，只會離開您的視線。
• 以下載次數判斷 ClawHub 技能是否可信。 包裝精美的文件正是社交工程的誘餌。應根據技能的程式碼和來源加以評估。
• 在日常使用的工作站上執行代理程式。 若與一般網頁瀏覽共用同一台機器，代理程式就可能遭到惡意網頁注入攻擊。這正是 CVE-2026-25253 背後的攻擊途徑。
• 授予過廣的 OAuth 權限範圍。 權限過廣，代理程式一旦遭入侵，攻擊者就能存取其權限所及的所有資源。
• 將 OpenClaw 視為一般 SaaS 應用程式。 SaaS 層級的控制措施完全無法察覺特權自動化行為。

這些錯誤有相同的根本原因：將 OpenClaw 視為傳統應用程式，而非具備特權的自動化身分。要補足這些缺口，您需要能觀察代理程式行為、將行為與身分及端點訊號關聯，並在單一漏洞引發連鎖影響前限制波及範圍的工具。

透過 SentinelOne 保護 AI 代理程式

要在企業規模治理 OpenClaw，需要兩項能力：看見每個代理程式，並控制各個代理程式能執行的動作。

ClawSec, SentinelOne Prompt Security 推出的開源專案, 強化 OpenClaw, NanoClaw, Hermes, and Picoclaw 代理程式的防護能力, 抵禦其快速成長的技能生態系所伴隨的風險。它會在執行前依據經數位簽章的校驗碼驗證每項技能, 持續監控代理程式的關鍵檔案是否出現未經授權的異動, 在安裝時掃描提示詞注入跡象與不安全的預設設定, 並透過即時安全通報資訊流, 將經社群驗證的威脅情資推送至每個已訂閱的代理程式。每項操作預設採取零信任原則, 封鎖未經授權的對外連線與遙測資料傳輸, 確保代理程式未經人員明確同意絕不對外通訊。整套工具完全免費, 只需一行指令即可安裝。

將代理程式層級的強化措施結合 Singularity™ Identity，在執行階段驗證人類與非人類身分的存取權限，包括存取 API 的 AI 代理程式和服務帳戶。運用 Singularity Endpoint，透過 Behavioral AI 保護、識別及回應各個端點的威脅，包括運用行為與靜態 AI 模型回應 勒索軟體攻擊。

Singularity Platform 以單一資料湖支援橫跨端點與身分的單一代理程式和主控台，並在同一平台上提供雲端防護。 Purple AI™ 就像團隊身旁的 AI 安全分析師，能理解自然語言提問，並自主執行調查和威脅獵捕。一份 IDC 商業價值研究指出，Purple AI 客戶識別威脅的速度加快 63%，修復速度加快 55%。 AI SIEM 可即時擷取任何來源的資料，並在 PB 級資料湖中依 Open Cybersecurity Schema Framework (OCSF) 進行正規化。

若要大規模因應 OpenClaw 安全風險，就必須將營運模式從監控員工輸入的內容，轉向控管代理程式執行的動作。找出未受管理的代理程式活動，關聯分析端點與身分行為，並在提示詞、技能或閘道缺陷演變成主機層級控制權之前，限制其影響範圍。 預約 SentinelOne 示範，瞭解這些功能如何在您的環境中運作。

Take the Tour

Get complete visibility, security and governance over AI usage in your organization. Uncover shadow AI, protect your sensitive data and safely enable AI in the organization.

結論

OpenClaw 既是生產力工具，也是特權身分。其能力與風險源自同一根源：系統層級存取權限與憑證處理，而執行不受信任的技能會進一步擴大暴露風險。ClawBleed (CVE-2026-25253) 和 Claw Chain 漏洞組等已有記載的 CVE，加上架構層面的提示詞注入，使治理成為必要措施。 

找出每個執行個體，隔離代理程式並套用最低權限原則，驗證閘道、將技能列入允許清單，並在漏洞揭露後立即修補。做到這些，OpenClaw 就能實現它承諾的價值：讓安全團隊有信心支持的生產力提升。