超58万个OpenClaw实例暴露公网，却无企业级紧急关停开关，智能体治理全靠打补丁

智东西
编译 陈佳
编辑 程茜

智东西4月4日消息，据外媒VentureBeat3月31日报道，全球顶级网络安全大会2026年RSAC安全大会上，包括Cisco、Palo Alto Networks、Cato Networks和CrowdStrike在内的四家网络安全厂商发布了各自针对AI智能体安全风险的应对方案，但没有一家给出企业最迫切需要的那个能力——一个能统一关掉它的开关。AI智能体治理仍停留在工具层补丁。截止4月3日，全球有超58万个OpenClaw实例暴露在公网上。

终端安全厂商CrowdStrike数据显示，企业终端中已运行超过1800种AI应用、约1.6亿个实例，AI工具的渗透速度已明显超出安全团队的可见性边界。多数企业甚至无法识别网络中正在运行哪些AI智能体，影子AI和“幽灵智能体”开始成为攻击者更容易利用的入口。

▲RSAC展厅实拍，能看到CrowdStrike、Cisco等网络安全厂商的展台（图源：govtech）

网络安全厂商Cato Networks威胁情报副总裁埃塔伊·马奥尔（Etay Maor）在RSAC上说，整个行业把根级系统权限交给了AI智能体，却把零信任、最小权限这些基本安全原则一并丢掉了。

2月22日，一位英国CEO名下的OpenClaw AI实例被攻击者在黑客论坛BreachForums上以2.5万美元被挂牌售卖，出售的核心并不是电脑权限本身，而是这个AI智能体所掌握的全部信息。

▲BreachForums论坛上名为“fluffyduck”的攻击者的挂售截图

买家可获取该CEO与AI的全部对话记录、企业完整生产数据库、电报机器人密钥、212 API密钥，以及给CEO向AI透露的家庭、财务等私人信息。该攻击者称，这名CEO当时仍在实时使用OpenClaw，因此这份售卖资源是实时情报数据流，而非静态的打包数据。

这位CEO的OpenClaw实例将所有数据以纯文本标记语言文件形式，存储在～/.openclaw/workspace/目录下，且静态存储数据未做任何加密处理。攻击者无需额外窃取数据，所有核心信息早已被整合完毕。企业安全团队发现数据泄露后，既没有原生的企业级紧急关停功能，也无统一管理控制台，更无法统计企业内部还运行着多少个同类实例。

一、AI智能体拿到了最高权限，安全防护却形同虚设

OpenClaw由奥地利开发者彼得·施坦伯格（Peter Steinberger）于2025年11月创建，最初叫Clawdbot，因商标纠纷先后改名为Moltbot和OpenClaw。

2026年1月底正式定名OpenClaw后，项目在GitHub上增长迅猛，3天内获得超过6万颗星，至2026年3月星标数已突破33万。

2026年2月，施坦伯格以人才引进的方式加入OpenAI，OpenClaw随即移交独立开源基金会运营，代码继续以MIT协议开放。

这款工具的核心设计是在用户本地机器上持续运行，连接外部大语言模型进行推理，通过WhatsApp、Telegram、Slack、iMessage等用户已经在用的消息应用接收指令。

它的能力边界几乎等于宿主机本身：可以执行终端命令、读写任意文件、控制浏览器、访问邮件和日历、调用已安装的各类应用。

让它如此强大的设计，也让它成为一个极难管控的风险点。OpenClaw通过一个叫ClawHub的公开市场分发“技能”，这些技能本质上是可执行的代码包，用户安装后可以扩展功能。但审核机制有限，2026年2月底的安全审计发现ClawHub上约20%的技能含有恶意代码或过度权限请求。

更关键的是，OpenClaw没有企业管理平面，没有集中的部署记录，没有统一的配置接口，IT团队根本无从知晓组织内有多少实例在运行、各自连接了哪些系统、安装了哪些技能。

▲OpenClaw的安全记录（智东西根据Cato CTRL制图）

二、超58万个OpenClaw实例暴露公网，三个高危漏洞无人集中打补丁

在互联网情报搜索平台Censys上实时查询“OpenClaw”，结果显示全球共有超58万个相关实例暴露在公网上。截至发稿，暴露实例数量仍在持续增长。

▲Censys平台公开暴露的OpenClaw实例

搜索结果第一条就是一个典型案例。一个IP地址为162.14.124.62、端口18789的OpenClaw实例完全暴露在公网。该实例通过HTTP明文协议对外开放，无任何加密传输，浏览器信任状态标注为No Data，证书有效性标注为Unknown。

这意味着任何人只需在浏览器地址栏输入该IP和端口，无需账号、无需密码，即可直接打开这台机器上的OpenClaw控制面板。

互联网设备搜索引擎Shodan的结果显示，截至2026年4月3日，Shodan显示全球共有12.8万个OpenClaw实例直接暴露在公网上，其中美国3.89万个、中国2.27万个、德国1.4万个、新加坡9556个、英国8605个。

▲Shodan平台上公开暴露的OpenClaw实例

网络安全厂商Cato Networks威胁情报团队Cato CTRL此前记录的英国CEO入侵案例中，攻击者之所以能够访问目标的AI助理，正是因为OpenClaw实例在没有任何网络隔离保护的情况下运行。

OpenClaw目前已有三个高危漏洞被公开披露。

CVE-2026-24763评分8.8，攻击路径是通过Docker容器的环境变量处理机制注入任意命令，使攻击者能在宿主机上执行代码。

CVE-2026-25157评分7.7，通过SSH连接字符串注入系统命令。

CVE-2026-25253评分8.8，攻击者只需诱导用户访问一个恶意网页，即可窃取认证令牌，随后绕过验证、突破容器隔离，在宿主机上执行任意命令。

▲开源AI供应链攻击流程图，展示攻击者如何通过训练数据、模型接口和脚手架发起攻击（图源：Trend Micro）

这三个漏洞虽已发布补丁，但OpenClaw没有企业级管理平台、无统一补丁推送机制，也无全域关停功能。管理员只能手动逐个更新实例，且绝大多数实例至今未完成修复。

三、安全团队缺乏基础可见性，攻击发生时连哪些AI在跑都不知道

终端安全厂商CrowdStrike的Falcon传感器在企业用户中已经监测到超过1800种不同的AI应用，从大家熟悉的ChatGPT、Copilot，到新兴的OpenClaw本地AI助手，总共产生了约1.6亿个运行实例。AI工具的企业渗透速度已经远超安全团队的可见性边界。

▲CrowdStrike Falcon AI可视化界面，展示企业AI应用使用态势与数据流向（图源：Cybersecurity Asia）

其中，最受关注的案例是名为ClawHavoc的恶意“技能”（插件）。这些恶意插件通过OpenClaw的技能市场ClawHub传播，看似正常的工具却暗藏后门。OWASP（全球知名的应用安全项目）已将其列为AI智能体技能安全风险Top 10的主要案例研究。

CrowdStrike CEO乔治·科兹（George Kurtz）在2026年RSAC安全大会的主题演讲中明确说，这是AI智能体生态系统遭受的首次大规模供应链攻击，攻击者不再直接黑入电脑，而是通过看似合法的AI插件悄悄入侵。

网络安全厂商Cato Networks威胁情报副总裁马奥尔用OODA框架剖析了安全可视性缺失的问题：观察（Observe）、判断（Orient）、决策（Decide）、行动（Act）。

▲网络OODA循环框架图，展示Observe-Orient-Decide-Act四个决策阶段（图源：Planet IT）

他说，大多数企业现在连第一步都没做到，安全团队根本不知道网络里跑着哪些AI工具。员工出于提升效率的目的悄悄安装，工具就成了安全团队看不见的影子AI，而攻击者看得见。

▲影子AI概念图，展示经批准AI工具与影子AI在数据保护、可见性、合规性方面的差异（图源：AppOmni）

马奥尔还特别指出“幽灵智能体”问题：企业引入AI工具完成试点后，热情消退，项目搁置，但工具带着所有凭证继续在网络中运行，没有人负责、没有人监控、也没有人想起来关掉它。

他的建议是，像管理员工一样管理智能体：入职时登记、运行中监控、离职时清除，没有业务理由继续运行的，直接下线。

四、Cisco推出DefenseClaw等工具，覆盖插件扫描、运行监控、攻击测试和身份管理

网络设备与安全厂商Cisco执行副总裁兼安全与协作业务总经理杰图·帕特尔（Jeetu Patel）在RSAC 2026上说，向智能体委托任务和向智能体可信委托任务之间只有一字之差，结局天壤之别，轻则企业破产，重则掌控市场。

Cisco在大会上发布了三项免费开源安全工具。DefenseClaw是其中的核心框架，将四个功能组件打包在一起：Skills Scanner用于扫描已安装技能的安全风险，MCP Scanner检查模型上下文协议服务器的安全状态，AI BoM生成AI软件物料清单，CodeGuard提供代码层面的安全检测。

▲DefenseClaw GitHub开源仓库，项目已获得数百星标（图源：GitHub）

整个框架运行在英伟达于RSAC前一周的GTC大会上发布的OpenShell安全容器环境中。帕特尔说，每次在OpenShell容器中激活一个智能体，DefenseClaw的所有安全服务都会自动启动，不需要额外配置。

AI Defense Explorer Edition是Cisco算法红队引擎的免费自助版本，可以针对超过200个风险子类别，对任意AI模型或智能体进行提示注入和越狱测试。LLM安全排行榜则以对抗鲁棒性而非常规性能指标来评估基础模型，给企业选型提供了另一个参考维度。

在身份管理层面，Cisco推出了Duo智能体身份管理，将AI智能体注册为具有时限权限的身份对象，使其在企业身份体系中有据可查；Identity Intelligence通过网络流量监控发现游走在管理范围之外的影子智能体；Agent Runtime SDK则允许开发者在构建阶段就将安全策略嵌入智能体，而非等到部署后再打补丁。

五、Palo Alto发现800多个恶意技能，要求智能体注册后运行并纳入监控

Palo Alto Networks的CEO尼凯什·阿罗拉（Nikesh Arora）在RSAC 2026前接受VentureBeat专访时，将OpenClaw类工具的扩散定性为一条全新的供应链，运行在无监管、无安全保障的公开市场上。

安全公司Koi在对ClawHub的初步审计中发现341个恶意技能，随着注册表持续扩张，这一数字已增至824个；代码安全公司Snyk的分析则显示，受检技能中有13.4%包含严重安全缺陷。

Palo Alto Networks围绕这一判断构建了Prisma AIRS 3.0，核心是一套新的智能体注册表机制：每个智能体在运行前必须完成登记，并经过凭证验证。

在此基础上，Prisma AIRS 3.0还提供MCP网关流量控制、智能体红队测试和运行时内存投毒监控——内存投毒是指攻击者通过向AI的上下文记忆中注入恶意指令，悄悄改变智能体的行为，而用户对此毫无察觉。

▲AI智能体安全架构与风险点（图源：medium）

正在推进中的对Koi的收购，将为Palo Alto Networks补上专门针对智能体端点的供应链可见性能力。

阿罗拉将智能体端点定义为一个独立的安全品类，逻辑是：传统端点安全管的是人操作的设备，而智能体端点管的是代替人行动的软件实体，两者的威胁模型、权限边界和监控逻辑都不相同，不能套用同一套框架。

六、Cato提出“Living Off AI”攻击路径，未纳管智能体是最大安全盲区

网络安全厂商Cato Networks的威胁情报团队Cato CTRL发布了《2026年Cato CTRL威胁报告》。报告中包含一个针对软件公司Atlassian旗下产品线的概念验证攻击，具体目标是Atlassian的模型上下文协议（MCP）接口和项目管理工具Jira Service Management。

攻击方式被命名为“Living Off AI”，类比网络安全中的经典手法“Living Off the Land”（就地取材），即利用系统内已有的合法工具发动攻击，而非引入新的恶意软件。在AI场景下，攻击者利用的是智能体本身已有的系统访问权限，通过注入恶意指令让它替攻击者行动。

Cisco、Palo Alto Networks发布的产品是针对已批准部署的智能体的治理方案，解决的是可见范围内的风险。而Cato CTRL记录的是CEO笔记本电脑上那个没有经过任何审批、没有被任何管理平面纳入视野的智能体被卖上暗网之后发生了什么。

马奥尔接受VentureBeat专访时提醒，当前安全行业对AI智能体的讨论大多停留在“如何管好已经批准的工具”上，而真正危险的往往是那些从未进入讨论的工具，员工自装的、试点后被遗忘的、从未登记在册的。这是治理方案最难触及的盲区，也是下一波攻击最可能来自的地方。

▲Accenture AI Agent零信任安全模型，覆盖从模型定制到人机交互的全链路防护（图源：Accenture）

七、行业缺乏一键关闭开关，企业的紧急落地执行清单

RSAC 2026上发布方案的四家厂商，提供的都是治理框架、监控工具和合规机制，没有一家给出企业真正需要的东西：一个能够一键终止所有未经授权的OpenClaw实例的原生开关。在这个开关出现之前，安全团队能做的只有手动推进一份操作清单。

无论企业采用哪家厂商的安全架构，均需立即落地四项管控：仅允许OpenClaw本地内网访问，封禁外网端口暴露；通过移动设备管理系统设置应用白名单，杜绝私自安装部署；对所有运行过OpenClaw的设备，全员轮换密钥凭证；对人工智能智能体关联的所有账号，严格执行最小权限访问原则。

以下是企业需要紧急落地执行的清单：

1、全面排查部署规模。CrowdStrike的Falcon传感器、Cato Networks的SASE平台和Cisco Identity Intelligence均可检测影子AI。没有上述工具的团队，可以通过企业已有的终端检测与响应系统（EDR）或MDM，扫描设备上是否存在~/.openclaw/目录。没有任何端点可见性的企业，可以对企业IP段运行Shodan和Censys查询作为应急手段。

2、漏洞修复或网络隔离。对所有排查出的实例，核验是否存在三大高危漏洞；无法完成补丁修复的实例，立即做网络隔离处理。目前暂无全域批量补丁推送渠道。

3、核查第三方插件。依托Cisco插件扫描工具、Snyk及Koi的风险数据库，复盘已安装插件；所有非官方可信来源的插件，即刻卸载清除。

4、落地数据防泄漏与零信任管控。借助Cato的ZTNA封禁未授权人工智能应用；通过Cisco安全访问服务，管控MCP协议工具调用行为；依托Palo Alto托浏览器防护能力，在前端拦截异常数据流转。

5、清理幽灵智能体。搭建全网智能体备案台账，登记业务用途、责任人、所持权限、关联系统；注销无合规用途智能体的全部凭证，每周定期复盘核查。

6、合规场景部署防护工具。在英伟达开放Shell运行环境中搭载OpenClaw，联动Cisco的DefenseClaw工具，自动完成插件扫描、MCP服务器核验、运行行为监测。

7、上线前开展红蓝对抗演练。使用免费的Cisco AI防御探索版，或Palo Alto Networt三代智能风险防护平台的对抗检测能力，不仅测试模型漏洞，更要全流程核验业务链路安全。

结语：AI智能体从效率工具变为数据与权限入口，企业仍缺乏统一关停与基础管控能力

AI智能体已经不再只是效率工具，而是开始成为连接数据、权限与操作的关键节点。一旦失控，其影响范围不再局限于单一设备或账号，而是直接触达企业核心系统。当前安全体系仍以“终端”和“应用”为边界设计，而AI智能体正在跨越这两层边界运行，原有防护模型难以覆盖这一新形态。

从厂商方案来看，无论是Cisco的运行时防护，Palo Alto Networks的注册与监控体系，还是Cato Networks和CrowdStrike对影子AI的识别，整体仍停留在“补丁式治理”阶段。真正缺失的是基础控制能力，即对AI智能体的可见性、可管理性以及可一键终止能力。在这一能力出现之前，企业只能通过不断扩展检测与管控手段来降低风险，而无法从根本上收敛风险面。

更现实的问题在于，AI智能体的扩散速度仍在加快。随着更多工具以本地运行、插件扩展和自然语言调用的方式进入业务流程，影子AI和“幽灵智能体”将持续存在。相比已纳入管理的系统，这些未被记录、未被审计的智能体更可能成为攻击入口。对企业而言，下一阶段的关键不再是是否使用AI，而是如何在引入AI能力的同时，重建一套能够覆盖智能体的新安全边界。

来源：VentureBeat