信息窃取程序开始窃取 OpenClaw 配置和网关令牌

2026年2月，一款通用信息窃取程序从一台受感染的机器上窃取了 OpenClaw 智能体的配置环境：包括保存该智能体网关令牌的 JSON 文件、保存其设备签名密钥的 JSON 文件，以及定义其人格与记忆的 Markdown 文件。发布这一发现的威胁情报公司 Hudson Rock 称其为窃取程序行为的一个里程碑，认为这标志着从浏览器凭据转向个人 AI 智能体身份；BleepingComputer 报道了该公司的说法，即这是此类事件的首个在野实例，The Hacker News 当月也作了报道。该窃取程序并非专为 OpenClaw 而构建。Hudson Rock 的说法是，一段宽泛的文件抓取例程扫描了敏感扩展名和诸如 .openclaw 之类的目录名，并顺带取走了该文件夹，这正是该公司称该恶意软件是“撞上了金矿”、而非刻意猎取该智能体的原因。该档案将这一事件记录为高严重性的凭据事件，置信度为 B，争议标记为否，并记录了真实危害，而Orca AI 事件档案则在其相邻的 OpenClaw 条目旁收录了这一记录，每个条目都依据各自的证据进行评级。

三个文件，以及每个文件解锁的内容

OpenClaw（前身为 Clawdbot 和 Moltbot）是一款自托管的个人 AI 智能体，它将持久状态保存在用户自己机器上的文件中。Hudson Rock 的报道（由 The Hacker News 和 BleepingComputer 进行了摘要报道）列出了从受害者 OpenClaw 目录中取走的三样东西。openclaw.json 中包含一个经过部分脱敏的 Gmail 地址、工作区路径，以及一个以高熵值形式存放在 gateway.auth.token 下的网关令牌。Hudson Rock 的技术说明指出，如果该端口对外暴露，这个令牌就能让攻击者远程连接到受害者的本地 OpenClaw 实例，或者在向 AI 网关发起的已认证请求中冒充该客户端。

device.json 曾保存着用户设备的 publicKeyPem 和 privateKeyPem，这是 OpenClaw 用于配对和签名操作的密钥对。Hudson Rock 表示，利用其中的私钥部分，攻击者可以以受害者设备的身份对消息进行签名，从而有可能绕过“Safe Device”检查，并访问与该设备配对的加密日志或云服务。soul.md，与记忆文件 AGENTS.md 和 MEMORY.md 一起，曾保存着智能体的运行原则、行为准则和伦理边界；按照该公司的描述，它很可能还保存着用户活动的每日日志、私人消息和日历事件——也就是其所称的用户生活蓝图。

供应商的说法中有一个细节值得与其他内容分开来看。Hudson Rock 将窃取的文件输入其自有的人工智能系统 Enki，进行自动化风险评估，而该系统对此输出的摘要结论是：令牌、密钥和个人上下文信息加在一起，等同于用户数字身份的全面失陷。这是将一种风险模型套用到这些文件上，而不是对攻击者利用这些文件做了任何事情的记录。

该机制是个大杂烩，而不是清单上的一项。

该档案的一句话摘要写道，代理凭据已“正式进入标准信息窃取器的检查清单”。其下文档的说法则更为狭窄。Hudson Rock 明确指出，其中并未涉及任何 OpenClaw 专用模块：该恶意软件运行的是一个通用例程，按扩展名和目录名收集文件，而 .openclaw 恰好匹配。Hudson Rock 联合创始人兼 CTO Alon Gal 告诉 BleepingComputer，该例程会扫描包含“token”和“private key”等关键词的文件和目录。

这个专用模块是一种预测，而不是观测结果。Hudson Rock 写道，随着像 OpenClaw 这样的智能体更深入地融入专业工作流程，窃取程序开发者很可能会发布专门用于解密和解析这些文件的模块，就像他们如今针对 Chrome 或 Telegram 所做的那样。2026 年 1 月 26 日，同一家公司曾发布一篇题为《ClawdBot：AI 时代信息窃取程序的新首要目标》的文章，认为该智能体会以明文 Markdown 和 JSON 保存记忆、配置文件和身份验证令牌，而这些内容通常可被以该用户身份运行的任何进程读取。2 月的案例是该公司首次报告这一预测在真实机器上应验。

这一区分并非学术性的。偶然扫过意味着暴露与否取决于智能体把机密存放在哪里，而非攻击者是否决定要猎捕OpenClaw。如果解析器出现，同样的文件就会变得可大规模读取，而不仅仅是可以被收集，防御问题也就从目录权限转移到网关令牌和设备密钥一旦泄露后还能触及什么。

一台机器、一家供应商，以及一长串重复。

Hudson Rock 的帖子描述的是一名受害者（单数），并发布了一台受感染机器目录树的截图。它没有说明样本来自多少台机器，而本文查阅的报道中也没有任何一篇补充第二个案例。BleepingComputer 的 Bill Toulas 直接采访了 Gal，并提供了 Hudson Rock 帖子中没有的细节——Vidar 归因和基于关键字的扫描——但底层观察仍然只是一次感染，且仅由一家厂商看到。Infosecurity Magazine 和 SecurityAffairs 在 Hudson Rock 发帖后一天内重述了同一发现，ThaiCERT 也在 2026 年 2 月 25 日的一份公告中重复了这一说法。国家级 CERT 重复厂商报告是放大，而非独立确认。

这正是档案中置信度 B 所记录的内容：有据可查，但仅来自单一来源或二手来源。该记录的日期也仅精确到月份，为 2026 年 2 月；BleepingComputer 的报道对盗窃发生时间的界定更具体，但档案只保留了月份，本文也遵循档案的精确度。本文查阅的材料中没有任何内容质疑 Hudson Rock 的说法，并且该记录被标记为无争议。这一保留意见并非指存在矛盾。而是说，里程碑式的表述——首个实际案例、从浏览器凭据转向智能体身份——是发现该样本的公司所作的一种定性，而且没有公开基线可以用来核验“首个”这一说法。

未分配 CVE。本文查阅的资料中，没有针对这起窃取事件的 OpenClaw 安全公告，也没有监管机构就此发布自己的调查结论——唯一找到的与政府相关的文件是 ThaiCERT 的公告，而它只是转述了 Hudson Rock 的报告。与软件缺陷不同，这起事件没有可指向的补丁，因为这些文件并没有做任何被软件视为错误的事情。它们以明文形式存放在磁盘上，就在该代理程序旁边。

记录未能确立的内容

• 本文所查阅的任何信源均未显示有被盗网关令牌或设备密钥被使用。Hudson Rock 所描述的危害自始至终都是有条件的——“如果端口被暴露”、“可能绕过”——而反复转述这些内容的报道也并未补充任何已证实的入侵事件。

• 对 Vidar 的归因被作出该归因的公司留有余地。Gal 根据感染细节称，该样本很可能是 Vidar 的一个变种；Vidar 是一款自 2018 年末以来一直活跃的现成窃密程序。此处查阅的来源中未出现已公布的哈希、样本分析或家族比对。

• 受影响用户的数量未知。Hudson Rock 报告了一名受害者，但没有给出其他受影响机器的数量；本文也未找到任何提供该数字的后续报道。

• 此处所阅任何来源均未证实被盗材料曾被任何犯罪服务交易、出售或建立索引。

• 记录所标记的真正危害是数据外泄本身：真实机器的凭据和密钥离开了该机器。这一判定门槛低于系统被接管，而且记录并未声称发生了接管。

已经改变了什么，以及它没有涵盖什么

OpenClaw于2026年2月7日宣布与VirusTotal建立合作，早于Hudson Rock发布其报告。该合作安排会扫描上传到ClawHub的每一项技能——将其打包、计算哈希、将哈希与VirusTotal比对，并对任何未见过的内容运行VirusTotal的Code Insight分析——项目还为此搭配了威胁模型以及针对潜在错误配置的审计。它针对的是市场平台。它不会加密用户磁盘上的openclaw.json，也对已在端点上运行并读取主目录的恶意软件无济于事，而这正是本记录中的攻击向量。

针对这一故障，最接近的指导是建议性的，而非技术性的。ThaiCERT 在 2026 年 2 月 25 日的说明中重复了 Hudson Rock 的发现，并建议在最小权限下于沙箱虚拟机或容器中运行代理，避免直接访问敏感数据，验证每个已安装技能的来源，监控活动日志，并制定包含完整系统重置和凭据轮换的事件响应计划。OpenClaw 自己在 2026 年 4 月发布的关于其安全工作的公开说明称，机密信息已从“请务必小心”转向引用方式，这样凭据就不会留在提示词、日志、转录文本或代理状态中——方向相同，尽管那篇帖子没有涉及 Hudson Rock 记录的配置文件。

值得关注的是，专用解析器是否会出现。Hudson Rock 的预测是它们会出现，而应当认真对待这一预测的理由是其 1 月份的文章，而不是把 2 月份的样本当作证据。在此之前，记录仍然只是一起有充分记录的单一盗窃事件：明文 Agent 状态被一个并非专门寻找它的窃取程序取走，损害由供应商评估，而不是在实际环境中观察到的。