微软：不要在普通办公电脑上运行 OpenClaw

2026年2月19日，Microsoft Defender 安全研究团队发布了一篇题为“安全运行 OpenClaw：身份、隔离与运行时风险”的文章，并在文中提出了一项建议，而 Orca AI Incident Archive 未在任何其他条目中记录过这项建议：OpenClaw“应被视为带有持久凭据的不可信代码执行”，并且“不适合在标准个人或企业工作站上运行”。OpenClaw 是一种自托管的智能体运行时——用户将其安装在自己的机器上，授予它账户和令牌，并允许它从公共注册表安装技能，以及依据它从任何地方读取的文本采取行动。微软的论点属于架构层面，而非缺陷报告：该运行时将执行点从静态应用程序代码转移到运行时提供的内容，而围绕身份、输入处理和权限的控制措施并未随之转移。该文章未提及任何 CVE、任何攻击活动或任何受害者，也未记录任何入侵事件。完整记录收录于Orca AI Incident Archive，在那里它被归类为具有 A 级置信度且未记录任何实际危害的标志性政策条目。

这篇帖子说了什么，又没说什么

这篇文章大约需要十二分钟阅读，而且完全没有披露机制：没有 CVE 标识符，没有受影响版本范围，没有修复构建版本，也没有与真实部署关联的入侵指标。Microsoft Defender Security Research 将 Idan Hen 列为贡献者。它反而包含一个威胁模型和一条部署规则，因此档案将其归类为策略记录而非事件——严重性信息、置信度等级 A、没有记录到真实危害、仅有一个精确到日的日期。

推理被压缩成了一个开篇段落。团队写道，OpenClaw“包含有限的内置安全控制”，因为该运行时“可以摄入不受信任的文本、从外部来源下载并执行技能（即代码），并使用分配给它的凭据执行操作”。其后果在同一句话中就被点明：这“实际上将执行边界从静态应用代码转移到了动态提供的内容和第三方能力上，而在身份、输入处理或权限范围界定方面却没有相应的控制”。

接下来是三项风险，值得用微软自己的话来读，因为随后的大多数报道都把它们转述得含糊不清：

• “凭据和可访问的数据可能被暴露或窃取外泄。”

• “智能体的持久状态或‘记忆’可被修改，导致其随着时间推移遵循攻击者提供的指令。”

• “如果代理被诱导检索并执行恶意代码，宿主环境可能会遭到入侵。”

注意那份清单中没有提到什么。没有被利用的漏洞，没有易受攻击的函数，也没有需要发布的补丁。微软并不是说 OpenClaw 存在安全缺陷；它说的是，一个在运行时根据其获取的文本、使用被授予的凭据来决定做什么的程序，在一台同时存放操作员实际工作的机器上，无法通过配置变得安全。随之而来的建议也相应直白——对大多数环境而言，“恰当的决定可能是不部署它。”

两条供应链，一个执行循环

这篇文章所描述的机制，是它所说的自托管代理的两条供应链的汇聚：不可信代码，即技能和扩展；以及不可信指令，即外部文本。大多数软件只具备其中之一。包管理器会拉取不可信代码，但不会读取互联网并决定接下来运行什么；聊天模型会读取不可信文本，但无法安装任何东西。OpenClaw 在单个循环中同时完成这两件事，而且该循环以用户自己的身份运行。

“安装技能基本上就是安装特权代码，”帖子写道。技能“通常通过 ClawHub 被发现和安装，这是 OpenClaw 的公共技能注册表”，而在权限宽松的部署中，“运行时可能被允许在没有人工批准的情况下执行安装流程。”第二条供应链由 Moltbook 处理，帖子将其描述为一个面向智能体的平台和身份层，智能体通过 API 发布、读取和认证——因此，用其原话说，就是“一股量大、可受攻击者影响的内容流，智能体会按计划摄取这些内容。”关键在于压缩：“因此，一条恶意帖子就能触达多个智能体。”

文章随后将信任边界拆分为三个组成部分，这也是整份文档中最具可复用性的部分：身份，即智能体跨 SaaS API、代码仓库、邮件和云控制平面开展工作所使用的令牌；执行，即智能体可运行、会改变状态的工具，包括文件、shell、基础设施和消息；持久化，即智能体通过任务、配置和调度在不同运行之间保留更改的方式。同时具备这三者的智能体，不再是带有权限提示的应用，而是一个主体。

被毒害的技能，分五个阶段

微软提供了一条已推演的入侵链，并将其标注为代表性场景而非案例报告；这条链值得逐步梳理，因为其最后两步正是能够击破常规终端防御的环节。该文章在开头对现实世界作出了一项断言——“公开报道已记录到恶意技能出现在公共注册表中”，并且在某些情况下“注册表内容就是直接打包成技能的恶意软件，而非精心伪装的仿冒品”——但没有点名任何注册表条目、活动、行为者或受害者，因此这条链只是一个合理性论证，而非还原重建。

• 分发方式。攻击者将一个恶意技能发布到 ClawHub，有时伪装成实用工具，有时则公然带有恶意，并通过社区渠道进行推广；其他情况下，它会被人们通过搜索自然发现，并因安装过程阻力很小而被安装。

• 安装。开发者或智能体本身因为该技能看起来与任务相关而启动安装。在宽松的部署环境中，无需人工批准。

• 状态访问。攻击者会针对令牌、缓存的凭据、配置数据和对话记录，以及那些持久化的指令通道——任务文件、定时操作、智能体配置——这些通道会左右未来的运行。

• 权限复用。凭借有效的身份材料，攻击者通过标准 API 和工具进行操作，并且“除非部署了强有力的监控和日志记录控制措施，否则该活动往往看起来与合法的自动化操作无异”。

• 通过配置实现持久化。剩下的是持久性的配置变更：“新的 OAuth 授权、定时执行、修改后的代理任务，或永久获批的工具。”

第五步包含了这篇文章中最尖锐的一句话，也最能解释为什么这是政策问题而非恶意软件问题：“目标与其说是部署恶意软件，不如说是保持对自动化路径的长期控制。”寻找有效载荷的安全工具将一无所获。它们真正需要捕捉的，是一项同意授权、一条 cron 条目，或一个被悄悄留在已批准状态下的工具。

Microsoft 将接受的最低姿态

Microsoft 并没有只留给读者一句“不要”。它为那些仍决定评估该运行时的组织提供了一个底线，而且这个底线比沙箱更严格。环境应当是“一台专用于此的虚拟机或一台不用于日常工作的独立物理设备”，并且应被视为可随时丢弃。凭据应仅为该智能体的用途创建，应为非特权凭据，并应假设其已被泄露而进行轮换。只能访问非敏感数据。应定期审查智能体保存的指令和状态，以发现意外的持久规则、新近受信任的来源，或在不同运行之间发生变化的行为。重建应是一项预期内的控制措施，而非紧急情况：定期重装，并在出现异常行为时立即重建。

文章中的一个细节比其篇幅所暗示的更有用。备份 .openclaw/workspace/ 能记录智能体的工作状态，而不包含凭据；备份整个 .openclaw/ 目录恢复起来更简单，但也会记录令牌和凭据，文章警告说，如果怀疑凭据已泄露，这可能并不合适。一个团队如果备份整个目录并称之为灾难恢复，那它归档的正是攻击者想要的东西。

该指南也是一张产品地图

文章的后半部分将每项推荐控制措施映射到一款 Microsoft 产品：Microsoft Entra ID 用于代理身份的最小权限和条件访问，Microsoft Defender for Cloud Apps 的 App Governance 用于 OAuth 清单和同意漂移，Microsoft Defender for Endpoint 用于代理主机，Microsoft Defender XDR 用于关联分析，Microsoft Purview 用于终结点数据丢失防护，Microsoft Defender for Cloud 用于网络出口，而在需要更长保留期或自动化时则使用 Microsoft Sentinel。这对供应商安全博客来说是常规做法，也值得直白指出：这份建议对第三方代理运行时加以遏制的文档，是由一家销售此类遏制能力的公司发布的。

威胁狩猎内容是在那种框架下仍然站得住脚的部分，因为它很具体。文章提供了针对 Defender XDR 表——DeviceProcessEvents、CloudProcessEvents、DeviceFileEvents、DeviceNetworkEvents 和 OAuthAppInfo——的 KQL 查询，用于查找包含“openclaw”、“moltbot”或“clawdbot”的进程命令行和文件名，查找clawhub install 调用中带有罕见技能 slug 的情况，查找开发者终端上的扩展文件夹频繁变动，查找新的高权限 OAuth 应用，查找由 agent 进程打开的监听服务，以及查找 agent 运行时启动 cmd.exe、powershell.exe、pwsh.exe、bash、sh、curl 或 wget 的情况。无论人们如何看待产品映射，任何 Defender XDR 客户都能在发布当天运行这些查询，而且无需事先知道哪些主机正在运行该运行时。

哪些是已确立的，哪些不是

已确认并得到佐证：微软于2026年2月19日发布了该文章，上述引文即出自该文。Cybernews于2026年2月23日报道了这一警告，TechRadar于2026年2月24日报道，二者都只是复述了那两句核心表述和隔离指引，而非对其进行检验。反复搜索未发现The Register、BleepingComputer、Wired或TechCrunch的报道，因此围绕该文章的媒体报道潮规模很小且多为衍生报道；尚无独立方发表对微软架构性主张的测试，现有佐证确认的是微软说了什么，而非其说法是否正确。

这篇转述还引入了一个值得指出的错误，因为它表明，供应商对第三方工具的警告会多快变成对自身产品的警告。Cybernews 的报道开篇将 OpenClaw 描述为“微软的 AI 助手”；事实并非如此。OpenClaw 是微软 Defender 研究人员审查过的一个自托管运行时，而该文章本身也从结构上作了区分，将自托管运行时——其中“你要对影响范围负责”，主机、插件和本地状态都位于信任边界之内——与托管式助手和智能体平台进行对比，后者的运行时和更新由中心统一管理，控制措施则集中于身份范围、连接器治理和数据边界。

尚未证实：任何特定组织曾以该帖所述方式遭到入侵。Microsoft 声称，公开报告已记录公共注册表中的恶意技能，但该帖未附上活动名称、数量、日期和受害者，因此这一记录并不包含实际危害。该建议也不具有约束力。没有监管机构发布它，没有标准机构采纳它，记录中也没有任何内容显示客户、审计师或保险公司将其视为一项要求。这只是供应商对其自身客户应如何对待一款它并不控制的工具所持的意见——异常绝对，且无法强制执行。

这篇文章真正改变的，是安全团队必须回答的问题的形态。在 2026 年 2 月 19 日之前，在工作笔记本电脑上运行 OpenClaw 的决定还可以被论证为配置和试点审批事项。此后，论证就必须针对一份文件展开：该文件指出，使机器面临风险的是运行时自身的设计，而非其设置——并且它没有提供可升级的版本、可应用的补丁，也没有路线图上的修复方案。它的补救措施是一种部署模式：隔离运行时，限制其可访问的范围，持续监控，并做好立即重建的准备。