ClawJacked：任何网站都能暴力破解本地 OpenClaw 智能体

ClawJacked 是 Oasis Security 于 2026 年 2 月 26 日披露的开源 AI 智能体 OpenClaw 中的一个漏洞，它让开发者访问的任何网站都能与运行在开发者自己机器上的智能体建立连接，并不断猜解其密码，直到它交出控制权。无需点击、无需插件，也无需任何提示。攻击目标是为该智能体提供编排的网关：入侵者一旦进入，就能直接与智能体对话、转储其配置、列出所有已配对设备并读取其日志。Oasis 是一家智能体访问管理软件供应商，它在自己的实验室中端到端演示了这条攻击链并私下报告了该问题，OpenClaw 在不到 24 小时内发布了修复。本文引用的任何来源均未记录该攻击被用于真实用户。该档案将这一事件归档为高严重性基础设施事件，日期精确到日为 2026 年 2 月 25 日，且未记录现实世界危害，并将其与其他 OpenClaw 条目一同收录在Orca AI Incident Archive。

三个默认值，一条链

OpenClaw 是一个自托管的个人代理，用户可通过网页仪表板或终端来操作它，它还能连接到消息应用、日历和开发者工具，并在其中执行操作。其核心是一个网关，这是一个本地 WebSocket 服务器，Oasis 将其描述为“运作的大脑”：它负责身份验证、存储配置、管理聊天会话，并向 macOS 配套应用或 iPhone 等节点分派命令。身份验证通过令牌或密码进行，而网关默认绑定到 localhost，其明确假设是本地访问天然可信（Oasis Security，2026年2月26日）。

这一假设带来了三个相互关联的后果。第一，浏览器对 WebSocket 连接不会像对普通 HTTP 请求那样应用跨源规则，因此用户访问的任何页面上的 JavaScript 都能打开一个连接到本地网关端口的套接字，而屏幕上没有任何可见迹象。第二，网关的速率限制器完全豁免了回环连接，因此来自 127.0.0.1 的密码猜错尝试既不会被计数，也不会被限流或记录。第三，网关会自动批准来自 localhost 的设备配对，因此一个已通过身份验证的脚本可以将自身注册为受信任设备，而不会触发远程设备会遇到的确认提示。

Oasis 在其自有实验室中测量了猜测速率，并在披露报告中写道：“在我们的实验室测试中，仅靠浏览器 JavaScript 就实现了每秒数百次密码猜测的持续速率。以这样的速度，一份常见密码列表不到一秒就会被穷尽，而一部大型字典也只需几分钟。由人类选择的密码毫无胜算。”BleepingComputer 于 2026 年 3 月 1 日报道了这份披露，其中描述了同样的三个步骤和同样的顺序。

攻击者能得到什么，以及 Oasis 实际展示了什么

一旦通过身份验证，该脚本便持有一个具有管理员级权限的操作员会话。Oasis 列出了它随后可以直接执行的四件事：向 AI 代理发送消息并读取其回复；导出网关配置，从而揭示正在使用的 AI 提供商、模型和消息传递渠道；枚举每个已连接节点及其平台和 IP 地址；以及读取应用程序日志。在此基础上，Oasis 描述而非演示了升级路径：指示代理在开发者的 Slack 历史记录中搜索 API 密钥、读取私信、从配对设备中窃取文件，或在任何配对节点上运行任意 shell 命令。该公司对结果的总结是，对于使用典型 OpenClaw 集成的开发者而言，这相当于“从浏览器标签页发起的完整工作站沦陷”。

Oasis 公布的演示附带了一段概念验证视频，其范围比上述描述要窄：在一个无关网站上的浏览器猜中了网关密码，以完整权限建立连接，并成功与用户的 agent 进行了交互，而用户全程没有收到任何提示。文件窃取和 shell 执行被描述为这种访问权限所能实现的结果，而非该概念验证实际执行的步骤。当把这份记录解读为一起已实际发生的事件、而不是一次演示时，这一区别就很重要。

补丁是在 2026.2.25 中合入的，而不是 2026.2.26。

Oasis 告知读者应更新至 2026.2.25 或更高版本，OpenClaw 自己的安全公告也同意这一点。GitHub 安全公告 GHSA-jmmg-jqc7-5qf4 将受影响版本列为 2026.2.24 及以下，将修复版本列为 2026.2.25 及以上，并将该报告归功于 @luz-oasis，即 Oasis 研究负责人 Elad Luz。npm 注册表中 2026.2.25 的时间戳为 2026 年 2 月 26 日 04:16 UTC，该项目针对该版本的发布说明对修复的描述与三项默认设置一一对应：“安全/网关 WebSocket 认证：对 Control UI/Webchat 之外直接来自浏览器的 WebSocket 客户端强制执行来源检查，对来自浏览器来源的环回尝试（包括 localhost）应用密码认证失败限流，并阻止非 Control UI 浏览器客户端进行静默自动配对。”

有两篇新闻报道提到了不同的版本号。BleepingComputer 称该修复“已于 2 月 26 日在 2026.2.26 版本中发布”，而 SecurityAffairs 也重复称 2026.2.26 是解决该问题的发布版本，但其自身的建议段落却告诉读者应更新到 2026.2.25 或更高版本。Infosecurity Magazine 在报道 2026 年 3 月 2 日的披露时，引用的是 2026.2.25。2026.2.26 版本确实存在，但 npm 记录其发布时间为 2 月 26 日 23:59 UTC，比 2026.2.25 晚大约二十个小时，而且其发布说明是另一批加固内容。读者应查找的修复是 2026.2.25 中的那个。

该标识符后来才出现。GitHub 公告于 2026 年 3 月 3 日以 CVE-2026-32025 发布，NVD 的相关记录于 2026 年 3 月 19 日发布，CVSS 3.1 基础评分为 7.5，NVD 作为主要评分方将其评为高危，VulnCheck 作为次要评分方也将其评为高危。公告本身比评分更为谨慎：其自身的严重性字段显示为中危，正文称该漏洞“严重但有条件”，并明确列出四个前提条件——网关可通过环回地址访问、使用密码认证、受害者打开攻击者控制的网页内容，以及密码可在可行尝试次数内被猜中。公告还直白说明了该漏洞不是什么：“这本身并非未认证、暴露于互联网的远程代码执行类问题；它是一个本地浏览器来源的认证加固缺口，在上述条件下具有实际影响。”

42,665 这个数字从何而来，以及为什么它不是 ClawJacked 的数字

该档案的摘要记载，披露时有 42,665 个实例暴露；并指出 SecurityScorecard 给出了不同的数字 40,214，其中 35.4% 存在漏洞。该记录引用的三个来源均未包含这两个数字——Oasis、BleepingComputer 和 SecurityAffairs 都描述了该漏洞，但未附带安装基数。这两个数字都来自别处，且都在 ClawJacked 出现之前就已发布。

42,665 这一数字来自一次独立扫描。安全研究员 Maor Dayan 在 Medium 上发布了他的研究结果；他构建了一个名为 ClawdHunter v3.0 的扫描器，并用其扫描了 2026 年 1 月 28 日至 31 日期间收集的 Shodan 和 Censys 数据，报告称有“至少 42,665 个实例”的 OpenClaw 公开暴露在互联网上，其中 5,194 个经主动验证被确认存在漏洞，且在这些已验证实例中有 93.4% 表现出身份验证绕过。40,214 这一数字来自 SecurityScorecard 的 STRIKE 团队于 2026 年 2 月 9 日发布的研究；该研究统计了暴露在互联网上的 OpenClaw 实例，并将 15.2K 个标记为易受远程代码执行影响，同时称“35.4% 的已观察部署被标记为存在漏洞”。SecurityScorecard 自己的摘要要点给出了 42.9K 个托管暴露控制面板的唯一 IP 地址，而其正文中则给出了 40,214 个已确认实例——同一份报告内存在两种不同的测量结果。

这两个数字都不能衡量 ClawJacked 的影响范围，因为二者统计的都是会在公共接口上响应的实例。ClawJacked 的前提条件恰恰是相反的配置：网关绑定到回环地址、处于密码模式，并且所在机器上的用户会浏览到恶意页面。在全互联网扫描中被计入的服务器，可能位于其自身的认证机制之后，因而未受此漏洞影响；而那台从未出现在此类扫描中的笔记本电脑，正是 Oasis 所描述的目标。因此，该存档自身的措辞“at disclosure”，将一月份的总体数量统计附会到了二月份的漏洞上。这些计数确实是对 OpenClaw 暴露程度的真实测量；但它们并不是对 ClawJacked 可能接管的机器数量的计数。本文并非在裁决一场争议——相关记录并未被标记为有争议——但这两个数字的来源可以核查，并且不支持“at disclosure”这一表述框架。

哪些已经确立，哪些尚未确立

已确认：Oasis Security 发现了该攻击链并在实验室中进行了演示；OpenClaw 自身的公告和发行说明确认了全部三项行为——浏览器 WebSocket 客户端缺少 Origin 强制校验、回环地址密码尝试缺少限流、静默自动配对——并且 2026.2.25 对每一项都作出了更改；修复在报告发布后一天内交付；发现者自己的博客之外，还有三家媒体对此进行了报道。该档案的 A 级置信度与这一记录相符，相关方对其中任何内容均无异议。

尚未确认：有人使用过它。此处未引用任何来源，围绕该披露的报道中也未发现任何来源报告过现实世界中的系统失陷、受害者或数据被取走。Oasis 的演示是实验室演示，文章描述的是攻击者能力，而非实际观察到的攻击。这与存档未记录任何实际损害相一致，而且这是对该报道最重要的限定：这是一份漏洞记录，而不是泄露事件报告。

目前流传的两个标签都是错的，而这两个错误都很容易被沿用。若干二手报道将 CVE-2026-25253 安到了 ClawJacked 头上。NVD 对该编号的记录描述的是同一产品中的另一个漏洞：2026.1.29 之前的 OpenClaw 会从查询字符串中取出 gatewayUrl，在没有任何提示的情况下连接该地址，同时发送令牌——这是一次点击即可完成的令牌窃取，CVSS 评分为 8.8，于 2026 年 2 月 1 日发布，1 月 29 日修复。那属于 1 月的那个漏洞，机制不同，补丁也不同。ClawJacked 的编号是 CVE-2026-32025。与此同时，《Infosecurity Magazine》将 ClawJacked 描述为间接提示注入；而 Oasis 记录的利用链完全不涉及提示，也不涉及任何模型决策——它是一次最终取得运维人员会话的身份验证绕过。

之后发生了什么变化

OpenClaw 修复了该问题，发布了安全公告并致谢报告者，CVE 也在公开文章发布后一周内完成分配。Oasis 向组织提出的建议不止于打补丁：盘点开发者机器上正在运行的智能体和助手，更新每一个实例，审计每个实例持有的凭据和能力，并吊销未使用项；将智能体作为非人类身份进行治理，实施意图检查、策略执行、即时访问，以及从人类到智能体再到操作的审计追踪。该公司销售最后一类软件——在权衡最后一条建议与前三条建议时，这一点值得了解。

更广泛的背景是，ClawJacked 只是大量公告中的一条。GitHub 公告数据库中收录了一大批日期为 2026 年 3 月 3 日的 OpenClaw 公告——与 ClawJacked 的公告发布是同一天——涵盖 2026.2.19 至 2026.2.26 各版本中彼此独立的身份验证、配对、路径遍历和沙箱逃逸漏洞。ClawJacked 记录所保留的模式比“AI 智能体不安全”更具体，也更有用：网关把回环地址当作信任边界，而浏览器让这一假设不再成立。任何将 127.0.0.1 排除在限流之外的本机服务，以及任何自动批准本地调用方的设备配对流程，无论背后是否有 AI 模型，都具有相同的形态。在这个案例中，模型从来都不是存在漏洞的组件——它周围的身份验证层才是。