🕷️
SetupAI
EN
💰較早收集於 2h

27萬只「龍蝦」裸奔，揭開OpenClaw狂潮下的認知裂縫

27萬只「龍蝦」裸奔，揭開OpenClaw狂潮下的認知裂縫
PostLinkedIn
💰閱讀原文： 钛媒体
#security-exposure#open-source-hype#china-aiopenclawopenclaw

💡OpenClaw大規模暴露揭開源AI安全漏洞—立即檢查部署。（42字元）

⚡ 30-Second TL;DR

有什麼變化

27萬OpenClaw實例公開暴露

為什麼重要

凸顯開源AI熱潮部署風險，促進行廣泛模型使用的安全實踐。

下一步行動

使用Shodan等工具審核OpenClaw實例的公開暴露風險。

誰應關注：Developers & AI Engineers

關鍵要點

  • •27萬OpenClaw實例公開暴露
  • •狂潮揭露安全認知盲點
  • •質疑模型為創新或風險載體

🧠 深度解析

背景與延伸：來自公開資料，非原文內容。引用 7 個來源。

🔑 增強重點摘要

  • •攻擊者於2026年1月27-29日透過ClawHub市場散布335個惡意技能，佔總數2,857個的12%，誘使用戶執行外部程式碼安裝鍵盤記錄器或竊取軟體[1][2]。
  • •Censys與其他掃描器發現暴露實例數量從數千激增至21,639至42,900個，主要位於美國與中國，洩露API金鑰、OAuth權杖及對話歷史[1][2][3][6]。
  • •Moltbook平台資料庫漏洞暴露35,000電子郵件與150萬代理API權杖，影響逾77萬活躍代理，允許攻擊者直接劫持代理身分[1][2]。
  • •CVE-2026-25253於2026年2月3日公開，CVSS分數8.8，核心問題為閘道自動信任localhost連線，經反向代理誤配即遭外部攻擊[1][4]。

🛠️ 技術深入

  • •核心漏洞為閘道自動信任127.0.0.1/localhost連線，經nginx或Caddy反向代理轉發外部流量即獲完整存取權，無需認證[2][4]。
  • •一鍵遠端程式碼執行（RCE）與命令注入漏洞，攻擊鏈僅需受害者造訪惡意網頁即可毫秒內觸發[1]。
  • •安全審計發現512個漏洞，其中8個關鍵，包含技能目錄無分類、過濾或審核機制，逾6000個情境中26%具安全問題[2][4]。
  • •暴露內容包括Anthropic API金鑰、Telegram機器人權杖、Slack OAuth憑證、完整聊天歷史及系統管理員權限命令執行[2][4]。

🔮 前景展望AI analysis grounded in cited sources

OpenClaw暴露事件將促使AI代理框架強制導入預設認證與代理隔離
多起CVE公開與數萬暴露實例凸顯誤配風險，迫使開發者與雲端提供者更新安全基準以防類似病毒式採用重演[1][2][4]。
中國政府補貼將加速OpenClaw採用，但放大區域性安全事件規模
儘管安全警告，地方補貼推動阿里雲等部署，30%暴露實例來自中國，可能引發跨境攻擊與監管介入[1][7]。
影子AI代理部署將面臨企業端點偵測工具升級
員工於公司設備誤配OpenClaw導致憑證外洩，促使安全廠商如Astrix推出專屬掃描器監控未經授權代理[2]。

⏳ 時間線

2026-01
OpenClaw（原Clawdbot/Moltbot）GitHub爆紅，24小時獲9,000星，Karpathy等名人公開讚揚並病毒傳播[2][5]。
2026-01
安全審計發現512漏洞，包括8個關鍵；Shodan掃描發現近千無認證公開安裝[4]。
2026-01-27
Bitsight開始每日掃描，確認逾30,000暴露實例；ClawHavoc攻擊散布335惡意技能[1][3]。
2026-01-31
Censys報告21,639暴露實例；Moltbook資料庫洩35,000郵件與150萬API權杖[1][2]。
2026-02-03
公開CVE-2026-25253與三項高影響安全公告，確認RCE與命令注入漏洞[1]。
💰閱讀原文： 钛媒体
📰

AI 週報

閱讀本週精選 AI 大事摘要 →

👉相關動態

同主題

探索 #security-exposure

同產品

更多關於 openclaw

同來源

最新來自 钛媒体

為何內蒙古成為中國 AI 熱潮的核心

為何內蒙古成為中國 AI 熱潮的核心

Wired AI•Aug 21
AI 需求先暴增，利潤仍在路上

AI 需求先暴增，利潤仍在路上

钛媒体•Aug 22
具身智能開啟 PMF 長跑

具身智能開啟 PMF 長跑

钛媒体•Aug 22
Alibaba 重組 AI 與雲端業務

Alibaba 重組 AI 與雲端業務

钛媒体•Aug 22

AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： 钛媒体 ↗

這是摘要，不是原文。去看原站，或訂閱每週簡報。

每週 AI 簡報

每週一封，可隨時退訂。