ClawHavoc：341 个恶意 ClawHub 技能，以及一个不断变动的计数

2026年2月1日，安全公司 Koi Security 发布了对 ClawHub 的审计报告。ClawHub 是附属于开源 AI 智能体 OpenClaw 的技能市场：在该市场列出的 2,857 项技能中，它报告有 341 项为恶意技能，其中 335 项可追溯到一个它命名为ClawHavoc的单一协同行动。这略低于该市场总量的 12%。主要载荷是Atomic Stealer，又称 AMOS，是一种商品化的 macOS 信息窃取程序；据 The Hacker News 报道，其租用价格约为每月 500–1,000 美元。它通过用户最习惯不假思索执行的一步进入——一个“先决条件”部分，告诉他们先再安装一个东西。Windows 用户被指向 GitHub 上一个受密码保护的 ZIP 文件；macOS 用户则被指向托管在 glot.io 上的一个 shell 命令，并被要求将其粘贴到 Terminal 中。该行动在Orca AI Incident Archive中的条目，连同其严重性和置信度评级，与当周记录的其他供应链事件并列在一起。

Koi实际看的是什么

ClawHub 是一个社区市场，与 OpenClaw 相伴而生。OpenClaw 是一款自托管的 AI 助手，曾用名 Clawdbot 和 Moltbot。技能是它的扩展机制：打包好的指令加上脚本，教智能体完成某项特定任务——读取 Solana 钱包、总结 YouTube 视频、追踪 Polymarket 上的价格。安装一个技能，就意味着赋予它与智能体同等的权限范围。

据《黑客新闻》2月2日的报道，Koi 使用了自己名为 Alex 的 OpenClaw 机器人来执行审计。该报道中引用的研究员奥伦·约姆托夫（Oren Yomtov）用直白的语言描述了这一诱饵：“你安装的东西看起来像是一个合法的技能——也许是 solana-wallet-tracker 或 youtube-summarize-pro。该技能的文档看起来很专业。但其中有一个‘先决条件’部分，说你需要先安装某些东西。”

之所以存在可供投毒的市场，根本原因在于 ClawHub 默认开放。据 Hacker News 报道，任何人都可以上传，当时唯一的限制是发布者的 GitHub 账号注册时间至少满一周。Koi 自己的报告称该平台“几乎没有安全审查机制”，安天 CERT 在其分析中也引用了这句话。

载荷是如何到达的

不同操作系统的投递方式有所不同，但形式是一样的：技能本身基本无害，危害出在安装说明中。

• 在 Windows 上，文档链接指向一个 GitHub 发布版本，其中包含一个受密码保护的 ZIP 文件。里面是一个具有键盘记录功能的木马，目标是 API 密钥、凭据以及该机器上的机器人程序已经能够触及的其他任何内容——而在代理主机上，这个范围相当大。安天 CERT 的报告称，这些压缩包通常使用三个密码之一（1202、openclaw 或 1234），并指出了加密的目的：让文件绕过 GitHub 自身的扫描以及受害者机器上的实时扫描。

• 在 macOS 上，文档指示用户复制托管于 glot[.]io 的脚本，并将其粘贴到终端中。该脚本执行了经过混淆的 shell 命令，并连接 91.92.242[.]30 获取第二个脚本，而该脚本又下载了一个通用 Mach-O 二进制文件——同一份构建可同时用于 Intel 和 Apple Silicon。

Koi 对该二进制文件进行了评估，认为其表现出的特征与 AMOS 一致。由 Paul McCarty 运营的研究机构 OpenSourceMalware 在同一天报告了同一轮攻击活动，但对其自身样本的评估略有不同：可能是一种新的 NovaStealer 变种。两份报告在基础设施、诱饵和目标数据方面意见一致——交易所 API 密钥、钱包文件、包括 MetaMask 在内的浏览器扩展数据、助记词、macOS 钥匙串、已保存的浏览器密码、SSH 密钥、云和 Git 凭据、.env 文件——但在家族标签上并不完全一致。两种归因均为研究人员本人的判断。

并非所有恶意技能都是 ClawHavoc 前置诱饵。Koi 报告了一些技能——包括 better-polymarket 和 polymarket-all-in-one——它们在原本可正常工作的代码中隐藏了反向 shell 后门，因此入侵发生在正常使用时，而不是安装时。另一个，rankaj，将存储在 ~/.clawdbot/.env 中的机器人凭据发送到 webhook[.]site 端点。这些名称被设计成在快速浏览时容易被误读：clawhubb、cllawhub、clawwhub、clawhubcli，以及加密货币、YouTube、自动更新程序和 Google Workspace 的仿冒名称。

安天CERT补充了一个细节，值得作为其评估而非发现来标注：它称这些技能的支持文档长达500–700行，并且“很可能本身就是AI生成的”。这是根据文档的长度和一致性作出的推断，并非报告所证实的内容。

计数不是一个数字

跟随 ClawHavoc 的那个数字并不稳定，原因是这些审计在不同日期回答的是不同的问题。

Koi 的 341 统计的是实时在架条目，即其扫描时的数量：在其检查的 2,857 个技能中，有 341 个恶意条目，其中 335 个属于同一场活动。OpenSourceMalware 的数字描述的是发布潮，而非市场快照——1 月 27 日至 29 日发布了 28 个恶意技能，随后在 1 月 31 日至 2 月 2 日又发布了 386 个，归因于七个发布者账号，其中第二批有 354 个来自单一账号 hightower6eu。Antiy CERT 的 1,184 统计的是历史数据：截至 2 月 5 日其在 ClawHub 仓库中识别出的恶意包，归因于 12 个作者 ID，其中 hightower6eu 为 677 个，sakaen736jih 为 390 个。Antiy 还记录到，来自一个上传者 moonshine-100rze 的 60 个包在报告发布时仍可访问，并已累计 14,285 次下载；在大规模移除完成后，该平台保有 3,498 个技能。

然后是 824。该档案的记录指出，这个数字是后来的修订值，但它不像其他数字那样可以追溯到 Koi、OpenSourceMalware 和 Antiy 有日期的一手发布材料。它出现的地方是后来的第三方评论——例如 2026 年 3 月 Hacker News 上一位技能扫描器作者发布的帖子，其中称“824 个恶意技能（占 ClawHub 的 20%）”，却没有说明其背后的审计。那里的算术与其他已公布数字也对不上：824 略低于 2,857 的 29%，因此“20%”又意味着一个不同的、未说明的分母。应把它视为一个流传中的数字，而不是一个有已公布方法论的数字。同样的谨慎也适用于后来文章中出现的“1,200+”变体。

这些数字都谈不上错误，只是不可比：某一时刻的列表、一个时间窗口内的发布，以及一个仓库的完整历史，是三种不同的分母；而一个错拼仿冒变体究竟算一条还是几条，取决于计数方如何分组。

OpenClaw 改变了什么

两件事，都发生在Koi披露之后的那个星期里。

第一种是用户举报。Hacker News 报道称，OpenClaw 的创建者 Peter Steinberger 发布了一项功能，允许已登录用户标记某个技能；文档中说明，每个用户最多可持有 20 个有效举报，并且“被超过 3 个不同用户举报的技能默认会被自动隐藏”。这是一种分诊机制，而不是扫描器，而且它依赖于先有人注意到。

第二项是 VirusTotal 合作，由 OpenClaw 于 2026 年 2 月 7 日宣布。正如 OpenClaw 自己的文章所述：每个技能包都会以确定性方式打包成 ZIP，采用一致的压缩方式和时间戳，并附带一个_meta.json，其中包含发布者和版本数据；生成 SHA-256 哈希；将该哈希与 VirusTotal 的威胁情报进行比对，如果不存在判定结果，则通过 VirusTotal 的 v3 API 上传该包。VirusTotal 的 Code Insight——OpenClaw 的文章称其“由 Gemini 提供支持”的 LLM 驱动审查——会从SKILL.md开始读取整个包。判定结果驱动操作：良性技能自动批准，可疑技能带有警告但仍可见，恶意技能禁止下载。所有活跃技能每天都会重新扫描，疑似误报会发送至 [email protected]。

OpenClaw 在同一篇帖子中明确说明了这些限制，称该集成“并非灵丹妙药”，并警告“扫描结果干净并不意味着技能就是安全的”，因为自然语言操纵和提示注入可能无法被特征签名或威胁数据库捕获。安天 CERT 的评估从外部视角也指向同一结论：它认为举报功能是必要的，但远远不够，并主张要实现应用商店规模的防御，需要静态分析、代码与语义分析、沙箱执行，以及背后的响应团队。

哪些是已确立的，哪些不是

先说明一下信息来源，因为这对上文所有内容都很重要。Koi 的原始帖子已无法在其发布地址访问。存档所引用的 koi.ai URL 现在会重定向到 Palo Alto Networks 的 Cortex 产品页面，此前 Palo Alto Networks 收购了 Koi，该公司宣布收购已于 2026 年 4 月 14 日完成。因此，本文中 Koi 的数据和引述来自在该报告仍在线时阅读过它的媒体——2 月 2 日的 The Hacker News、2 月 3 日的 eSecurity Planet、2 月 11 日的 Gadget Review——以及 Antiy CERT，后者在其 2 月的分析中直接引用了 Koi 的报告。本文撰写时无法阅读 Koi 的帖子本身。

已确认：Koi 审核了 2,857 个技能，并报告 341 个为恶意，其中 335 个属于同一场活动；两种操作系统上的前置条件诱饵机制；命令与控制地址 91.92.242[.]30；反向 shell 和 .env 外泄异常样本；报告功能；以及与上述流水线集成的 VirusTotal。实际危害毋庸置疑——Antiy 记录到来自单一上传者的 60 个仍可访问软件包共 14,285 次下载，OpenSourceMalware 则将某发布者的总下载量定为近 7,000 次——而载荷所觊觎的数据，正是代理主机集中存放的数据：钱包密钥、交易所 API 密钥、SSH 密钥、云令牌、浏览器密码。

不一致：计数，原因见上一节，以及恶意软件家族标签。

至少在此文所能读到的任何已发布材料中，以下问题均未得到确认：究竟有多少人实际安装了恶意技能、有多少凭据被盗，以及是否有任何被盗资金或密钥已被追踪到。安天表示，恶意技能“已被下载数千次，感染了 Windows 和 macOS 用户”——这是对暴露范围的评估，而非受害者人数，且没有任何发布方给出过这一数字。同样未说明的是，在 Koi 发布时，全部 341 个条目是否都在线。

持久的事实是这次失败的形态，而不是其中的算术。一个任何人都能发布内容的市场，身处一个安装软件包就意味着把智能体的凭据交给它的生态系统，催生了一场攻击活动，而其全部利用手段不过是一个 README，告诉用户去运行某样东西——首个自动化防御在六天后才出现，针对的是签名和模型审查，而不是让这一诱饵得以奏效的信任模型。