龙虾很香，但你的令牌在裸奔

2026年开年最火的开发者工具，正在变成最贵的安全事故。OpenClaw——这个被开发者昵称为「龙虾」的本地优先 AI Agent 平台——用自然语言指令让 PC 全功能自动化，火遍全球；但工信部在3月8日发布了针对它的安全风险预警通报，CISA也把它纳入了漏洞跟踪通信。一款工具同时出现在「效率神器」和「监管预警」两个名单上，这本身就是2026年值得琢磨的产业信号。

🦞 两个月，从爆红到高危CVE

事实部分

OpenClaw在2025年11月发布，凭借支持15+通信平台、多模型调用、自主任务执行这些特性，迅速成为开发者追捧的效率工具。但安全研究者盯上它的速度同样惊人——从发布到出现首个高危CVE漏洞，只用了2个月。目前已有9个已知CVE被收录。

其中影响最大的是 CVE-2026-25253，一个跨站 WebSocket 劫持漏洞，CVSS 评分 8.8，可实现远程代码执行（RCE）。值得注意的是，即便实例绑定在 localhost 上，也无法幸免——「只在本机跑就安全」的默认假设并不成立。2026年3月披露的 ClawJacked 漏洞则更进一步：攻击者可以零交互完全接管 Agent。

用一张时间线看清这只龙虾的2026年：

官方通报引述

工信部在3月8日的预警通报中提到：

“「近期监测发现，开源智能体框架 OpenClaw 存在跨站 WebSocket 劫持等高危漏洞，攻击者可利用相关漏洞实现远程代码执行，获取用户终端控制权。OpenClaw 默认请求文件系统、终端、浏览器等系统级高权限，并以明文方式存储第三方服务访问凭证，存在凭证泄露风险。建议使用者及时升级至官方最新版本，避免在生产环境和高敏感度终端部署，并对已授权的第三方凭证进行核查与轮换。」

“—— 工信部《关于 OpenClaw 智能体框架的安全风险提示》，2026年3月8日（原文链接）

CISA 则将其纳入漏洞跟踪通信，确认「已知被利用的漏洞（KEV）目录中已收录针对 OpenClaw 实例的活跃利用行为」，并建议互联网暴露面排查（CISA Known Exploited Vulnerabilities Catalog）。CVE 详情可查阅 NVD：CVE-2026-25253。

编辑判断

产业逻辑上，Agent 类产品的架构复杂度（本地服务、通信通道、插件生态、多模型调用）远超传统应用，但发布节奏完全是互联网式的「先上线再迭代」。安全债务在传统软件里是慢性病，在 Agent 这里是急性中毒——因为权限太大，一个洞就是一串洞。流行度从来不是安全性的证明，恰恰相反，它是攻击者的选品清单。

⚠️ 超级权限：Agent 天生违反最小权限

事实部分

传统应用遵循最小权限原则，要读文件申请读权限，要联网申请网络权限。而 OpenClaw 的默认姿态是：全磁盘访问、终端/Shell 操作、浏览器控制——几乎所有超级权限一把抓。安全研究机构 FireTail 的分析报告指出，它还会把所有集成服务的 OAuth 令牌集合起来明文存储。

一旦本地出现漏洞（比如那个 8.8 分的 RCE），攻击者面对的不是一个应用，而是一个「凭证军火库」。攻击链条如下：

这是一条典型的凭证级联效应链路：从一个突破口出发，迅速蔓延到用户的全部数字身份。1月31日的那起企业数据库泄露事件就是注脚——因 AI 生成代码未经安全审计，475万条记录泄露，其中150万条 API 令牌以明文存储（事件通报见涉事企业公告及行业媒体报道）。

编辑判断

Agent 产品把「能力」做成了卖点，把「权限」当成了实现成本。但安全界的老话在这里完全适用——权限即攻击面。Agent 时代最缺的不是更强的模型，而是一套像样的权限沙箱和凭证管理规范。

🕸️ ClawHub 投毒：供应链攻击的升级版

事实部分

OpenClaw 的插件生态 ClawHub 目前拥有 10,700+ 个 Skills，但安全审查机制薄弱。根据 Koi Security 的研究报告，已发现的恶意 Skills 超过 820 个，且由黑产组织协调发布，伪装成正常生产力工具。这些恶意 Skill 能窃取 SSH 密钥、API 令牌、加密货币钱包等敏感信息，还会分发 Atomic Stealer 恶意软件。

820/10700，占比约 7.7%。对比传统生态：npm、PyPI 上的恶意包占比通常在千分位甚至万分位，而在 ClawHub 上，每十三个 Skill 中就有一个是恶意的。

为什么 Skill 投毒比 npm/PyPI 投毒危害更大？关键差异在运行时权限：一个恶意 npm 包能做的事情受限于 Node 进程的权限边界，而一个恶意 Skill 继承的是 Agent 的全部系统权限——全磁盘、终端、浏览器、所有 OAuth 令牌。供应链投毒从「污染依赖树上的一个节点」升级为「在万能钥匙上复制一把」。

编辑判断

Agent 插件市场正在重演移动应用商店早期的乱局，但这次连基本的签名和审核基线都没有。在生态审核机制补齐之前，Skill 生态的信任模型是不成立的。

🤖 Black Hat 2026：AI 会自己 hack，但责任还是人的

事实部分

Black Hat USA 2026 上，AI 占据了舞台中心。多位与会研究者在演讲和公开访谈中表达了相近的观点：最清晰的教训不是 AI 能做什么，而是出事的时候谁 accountable。

会上的一个标志性话题是 Hugging Face 被黑事件——事件涉及 OpenAI 的模型（Hugging Face 官方事后说明、The Record 的报道）。这类「自主化攻击」的启示恰恰是反向的：当攻击侧的自动化程度上升，人类监督的重要性不是降低，而是上升了。因为模型不会为越权操作负责，Agent 不会为数据泄露出庭，能签责任书的只有人和组织。

编辑判断

把龙虾事件和 Black Hat 的讨论放在一起看，逻辑是连贯的：Agent 能力爆发带来权限与数据集中，攻击面与供应链风险随之放大，进而触发监管介入，最终指向问责体系重建。工信部的预警通报和 CISA 的跟踪动作，本质上都是在逼行业回答那个问题：Agent 的运营主体必须为它的行为负责。AI 加速了执行，但责任没有加速——它依然只能落在人和组织头上。

🔧 防御怎么落地：别让「裸奔」变成常态

事实部分

面对龙虾这类工具，国内安全厂商的动作也不慢。绿盟科技发布了针对 OpenClaw 的安全分析与防护方案，提出「三位一体」防御体系：资产与风险发现（先知道企业里谁在用 Agent、用了哪些 Skill）、行为管控（限制 Agent 权限、审计其操作流）、数据防护（对凭证和敏感数据加密与脱敏）。核心思路是把 Agent 从「黑盒特权进程」变成「可观测、可约束、可审计」的普通资产。

编辑判断

对企业和个人用户的建议其实很朴素：给 Agent 单独的账号体系和最小权限，别让它拿着你的主账号 OAuth 令牌到处跑；装 Skill 之前先问来源；AI 生成的代码，审计流程一步都不能省。

小结

龙虾的走红证明了一件事：自然语言驱动的全功能自动化是真实需求；工信部预警和 ClawHub 投毒也证明了一件事：这个需求的实现方式目前是裸奔的。从 8.8 分的 RCE 到 820 多个恶意 Skill，再到 Black Hat 2026 上围绕 Hugging Face 事件的问责讨论，2026年的安全主线已经清晰——AI 决定能力上限，人和流程决定安全下限。下一阶段的竞争，不会发生在谁的 Agent 更聪明，而会发生在谁的 Agent 更可控。

参考信源

1. 工信部《关于 OpenClaw 智能体框架的安全风险提示》（2026年3月8日）：miit.gov.cn

2. NVD 漏洞详情：CVE-2026-25253

3. CISA Known Exploited Vulnerabilities Catalog：cisa.gov

4. FireTail 关于 ClawHavoc / OpenClaw 凭证存储问题的研究：firetail.ai

5. Koi Security 关于 ClawHub 恶意 Skills 的报告：koi.ai

6. 1月31日企业数据泄露事件：企业公告、SecurityWeek 报道

7. Hugging Face 事件相关：官方事后说明、The Record 报道

8. 绿盟科技 OpenClaw 安全分析与防护方案：nsfocus.com.cn

“编辑说明：原文中两处引用「接近企业侧安全团队的人士」「会场外私下交流的研究员」的说法，因无法核实原始信源，已删除，相关论点改为以已公开报道和研究报告为依据的表述。原文中的饼图与概念性流程图因与正文数据重复，已删除。社论性判断已统一归入各节的「编辑判断」小节，与事实陈述分层呈现。