OpenClaw（小龙虾）公开漏洞分类清单（简化版）

demo

一、远程代码执行漏洞（RCE）

风险等级：严重

主要影响：
- 攻击者可远程执行任意代码
- 获取系统控制权
- 安装恶意程序
- 窃取数据

已披露案例：
- CVE-2026-25253
- CVE-2026-28466

--------------------------------------------------

二、命令注入漏洞（Command Injection）

风险等级：高危

主要影响：
- 执行系统命令
- 修改系统配置
- 删除或篡改文件
- 权限提升

常见原因：
- 输入参数过滤不严
- 命令拼接缺陷

--------------------------------------------------

三、路径遍历漏洞（Path Traversal）

风险等级：高危

主要影响：
- 读取敏感文件
- 获取配置文件
- 获取API密钥
- 获取环境变量

典型目标：
- .env
- config文件
- 用户数据库
- 日志文件

--------------------------------------------------

四、访问控制漏洞（Access Control）

风险等级：高危

主要影响：
- 未授权访问
- 越权操作
- 查看敏感数据
- 修改系统设置

常见问题：
- 权限校验缺失
- 身份认证逻辑错误

--------------------------------------------------

五、信息泄露漏洞

风险等级：中危至高危

主要影响：
- 泄露用户数据
- 泄露系统配置
- 泄露Token和密钥
- 泄露内部提示词

泄露对象：
- API Key
- OAuth Token
- 用户文档
- 系统Prompt

--------------------------------------------------

六、提示词注入（Prompt Injection）

风险等级：极高

Agent系统特有风险

主要影响：
- 泄露系统提示词
- 绕过安全限制
- 执行非预期任务
- 获取敏感信息

攻击载体：
- 网页
- PDF
- 邮件
- 聊天内容

--------------------------------------------------

七、恶意插件（Skills）投毒

风险等级：高危

主要影响：
- 后门植入
- 数据窃取
- 权限滥用
- 远程控制

攻击来源：
- 第三方插件
- 非官方扩展
- 被篡改的技能包

--------------------------------------------------

八、文件系统权限滥用

风险等级：高危

主要影响：
- 删除文件
- 修改文件
- 上传敏感数据
- 覆盖配置文件

涉及权限：
- 文件读权限
- 文件写权限
- 文件删除权限

--------------------------------------------------

九、Shell执行风险

风险等级：高危

主要影响：
- 执行系统命令
- 安装恶意软件
- 建立持久化后门
- 横向移动攻击

--------------------------------------------------

十、浏览器自动化风险

风险等级：中危至高危

主要影响：
- 自动访问恶意网站
- 自动提交敏感数据
- 自动下载恶意程序
- 自动点击危险链接

--------------------------------------------------

十一、API权限滥用

风险等级：高危

主要影响：
- 非授权调用服务
- 消耗资源
- 泄露数据
- 触发业务操作

--------------------------------------------------

十二、智能体误操作风险

风险等级：中危至高危

非传统漏洞

主要影响：
- 错误删除文件
- 错误发送邮件
- 错误修改配置
- 错误执行批量任务

原因：
- 模型理解偏差
- 指令歧义
- 推理错误

--------------------------------------------------

公开统计（2026年初）

总漏洞数量：82

其中：
- 超危：12
- 高危：21
- 中危：47
- 低危：2

主要漏洞类型：
1. 远程代码执行（RCE）
2. 命令注入
3. 路径遍历
4. 访问控制缺陷
5. 信息泄露
6. 提示词注入
7. 插件投毒
8. 权限管理缺陷
9. Shell执行风险
10. Agent误操作风险

--------------------------------------------------

安全研究界普遍关注的核心问题：

“大模型 + 系统权限 + 自动执行能力”

当AI同时具备以下权限时：
- 读文件
- 写文件
- 执行命令
- 操作浏览器
- 调用API

任何漏洞的潜在影响都会被显著放大。

需要注意的是，上述“82个漏洞”等数字来自部分中文安全资讯的汇总说法，并不一定等同于官方漏洞数据库统计结果；如果用于安全审计或企业报告，建议逐项核对对应的 CVE 编号和官方公告。来自圈子: Demo俱乐部

demo

适用对象：

• 个人用户
• 开发者
• 企业测试环境
• 企业生产环境
  

目标：

• 降低提示词注入风险
• 降低主机失陷风险
• 防止数据泄露
• 防止权限滥用
• 降低模型误操作风险
  

---

一、部署原则遵循三项核心原则：
1. 最小权限原则（Least Privilege）
AI只拥有完成任务所需的最低权限。
避免：
✘ Administrator
✘ root
✘ sudo
推荐：
✔ 独立普通用户
例如：
useradd openclaw专门用于运行Agent。

---

2. 沙箱隔离原则
不要让Agent直接接触真实主机。
推荐优先级：
虚拟机(VM)
    ↓
Docker容器
    ↓
独立物理机
不要：
个人办公电脑
生产服务器
家庭NAS
直接运行。

---

3. 零信任原则
AI生成的任何命令：
先审核
再执行
不要默认相信。

---

二、操作系统安全配置
推荐系统
Linux：

• Ubuntu Server LTS
• Debian Stable
• Rocky Linux
  

避免：

• Windows管理员模式
• root用户运行
  

---

创建专用账户
sudo adduser openclaw
禁止：
sudo权限
root权限
检查：
groups openclaw
不应出现：
sudo
wheel
admin

---

文件权限隔离
工作目录：
/home/openclaw/workspace
限制：
chmod 700 workspace
禁止访问：
/home
/etc
/root

---

三、Docker安全部署
推荐部署方式：
宿主机
└── Docker
             └── OpenClaw

---

使用非Root容器
Dockerfile：
RUN useradd -m openclaw
USER openclaw
避免：
USER root

---

禁止特权模式
不要：
docker run --privileged
因为这几乎等于主机权限。

---

限制资源
docker run \
--memory=8g \
--cpus=4 \
...
防止：

• 内存耗尽
• CPU耗尽
• 模型失控
  

---

只挂载必要目录
推荐：
-v /data/workspace:/workspace
避免：
-v /:/host
绝对不要：
-v /root:/root

---

四、网络安全配置
默认拒绝策略
只开放必要端口：
3000
8080
11434（Ollama）
例如：
ufw default deny

---

禁止公网暴露
不要：
0.0.0.0
推荐：
127.0.0.1
例如：
127.0.0.1:3000

---

使用反向代理
推荐：

• Nginx
• Caddy
  

启用：
HTTPS
身份认证
访问日志

---

五、模型权限控制
禁止自动执行Shell
危险功能：
Shell Tool
Terminal Tool
Command Tool
建议：
人工确认
↓
再执行

---

命令白名单
允许：
ls
pwd
cat
grep
find
限制：
rm
dd
mkfs
chmod
chown
高危命令：
shutdown
reboot
userdel
iptables
禁止自动执行。

---

文件操作白名单
允许：
workspace目录
禁止：
/etc
/root
~/.ssh

---

六、API密钥保护
使用环境变量
不要：
API_KEY="xxxx"
推荐：
export OPENAI_API_KEY=xxxx

---

使用独立账户
不要：
个人主账户API
推荐：
专用测试账户

---

设置额度限制
例如：
每天10美元
每月100美元
防止：

• Token滥用
• 财务损失
  

---

七、提示词注入防护
Agent最大的风险来源。

---

不允许自动执行网页内容
危险流程：
网页
↓
AI读取
↓
AI直接执行
应改为：
网页
↓
AI分析
↓
人工确认
↓
执行

---

过滤高风险关键词
例如：
ignore previous instructions
system prompt
reveal prompt
download and execute
发现后：
要求人工确认

---

敏感操作双确认
例如：
删除文件
发送邮件
执行脚本
上传数据
必须：
第一次确认
第二次确认

---

八、日志审计
开启完整日志。
记录：
用户指令
模型输出
执行命令
文件修改
API调用

---

保留时间
个人：
30天
企业：
180天以上

---

九、数据安全
敏感目录隔离
不要让Agent访问：
密码库
财务数据
客户数据库
SSH密钥

---

SSH密钥保护
不要挂载：
~/.ssh
特别是：
id_rsa
id_ed25519

---

数据加密
推荐：
BitLocker
LUKS
VeraCrypt
保护磁盘数据。

---

十、企业级最佳实践
推荐架构：
互联网   
↓
WAF
    ↓
Nginx/Caddy
    ↓
OpenClaw前端
    ↓
OpenClaw服务
    ↓
Docker沙箱
    ↓
本地LLM
再增加：
SIEM日志监控
EDR终端防护
漏洞扫描
MFA多因素认证

---

安全等级建议
个人测试环境
最低要求：

• Docker运行
• 非Root用户
• 不开放公网
• API额度限制
  

开发环境
建议：

• Docker隔离
• HTTPS
• 命令审核
• 日志记录
  

企业环境
建议：

• 虚拟机隔离
• WAF
• MFA
• 审计日志
• 提示词注入检测
• EDR监控
• 定期漏洞扫描
  

一句话总结对于 OpenClaw 这类 AI Agent 系统，最重要的不是追求功能最大化，而是将其视为**“一个可能执行错误指令的自动化管理员”**。因此最有效的安全策略是：
最小权限 + 沙箱隔离 + 人工确认 + 完整审计。