ClawHavoc：341 個惡意 ClawHub 技能，以及一個不斷變動的數量

2026年2月1日，安全公司 Koi Security 發布了對 ClawHub 的稽核報告；ClawHub 是附屬於開源 AI 代理 OpenClaw 的技能市集：在該處列出的 2,857 個技能中，它回報有 341 個為惡意，其中 335 個被追溯到一個它命名為ClawHavoc的單一協同行動。這僅佔該市集略低於 12%。主要載荷是Atomic Stealer，又稱 AMOS，是一款商品化的 macOS 資訊竊取程式；The Hacker News 報導其租金約為每月 500–1,000 美元，而它是透過使用者最習慣不假思索就會執行的一步進來——一個「先決條件」區段告訴他們先再安裝一個東西。Windows 使用者被引導至 GitHub 上一個受密碼保護的 ZIP 檔；macOS 使用者則被引導至託管於 glot.io 的 shell 指令，並被告知將其貼到 Terminal。該檔案庫本身對這場行動的條目，連同其嚴重性與信心評級，位於Orca AI Incident Archive中，與當週記錄的其他供應鏈事件並列。

Koi 實際上看的是什麼

ClawHub 是與 OpenClaw 並行的社群市集；OpenClaw 是一套自架式 AI 助理，前身為 Clawdbot 與 Moltbot。技能（Skills）是它的擴充機制：將指令與腳本打包在一起，教導代理完成特定任務——讀取 Solana 錢包、摘要 YouTube 影片、追蹤 Polymarket 上的價格。安裝一項技能，就等於賦予它與代理同等的存取權限。

根據《The Hacker News》2 月 2 日的報導，Koi 使用自家名為 Alex 的 OpenClaw 機器人執行稽核。該報導引述的研究員 Oren Yomtov 以直白的話描述這個誘餌：「你安裝了一個看似合法的技能——也許是 solana-wallet-tracker 或 youtube-summarize-pro。該技能的說明文件看起來很專業。但其中有一個『Prerequisites』區段，說你必須先安裝某個東西。」

之所以存在可被投毒的市場，根本原因在於 ClawHub 預設就是開放的。The Hacker News 報導指出，任何人都可以上傳，當時唯一的限制是發布者的 GitHub 帳號必須至少已註冊一週。Koi 自己的報告形容該平台「幾乎沒有安全審查機制」，Antiy CERT 在其分析中引用了這句話。

酬載是如何抵達的

交付方式因作業系統而異，但形態相同：技能本身大致無害，真正的危害在於安裝指示。

• 在 Windows 上，該說明文件所連結的 GitHub 發佈頁面中包含一個受密碼保護的 ZIP 檔。裡面是一個具備鍵盤側錄能力的木馬程式，目標是 API 金鑰、憑證，以及該機器上的機器人程式當時已能觸及的其他任何東西——而在代理程式主機上，這範圍可就大了。Antiy CERT 的報告指出，這些壓縮檔通常帶有三個密碼之一（1202、openclaw 或 1234），並說明了加密的用意：讓檔案能通過 GitHub 本身的掃描，也能通過受害者機器上的即時掃描。

• 在 macOS 上，說明文件指示使用者複製一個託管於 glot[.]io 的腳本，並貼到 Terminal 中。該腳本執行了經過混淆的 shell 指令，並連線至 91.92.242[.]30 取得第二個腳本，而該腳本又下載了一個通用 Mach-O 二進位檔——同一份建置可同時用於 Intel 與 Apple Silicon。

Koi 評估該二進位檔展現出與 AMOS 相符的特徵。由 Paul McCarty 經營的研究團隊 OpenSourceMalware 同日報告了同一波攻擊活動，並對其自身樣本作出略有不同的評估：可能是新的 NovaStealer 變種。兩份報告在基礎設施、誘餌與目標資料上看法一致——交易所 API 金鑰、錢包檔案、瀏覽器擴充功能資料（包括 MetaMask）、助記詞、macOS Keychain、已儲存的瀏覽器密碼、SSH 金鑰、雲端與 Git 憑證、.env 檔案——但在家族標籤上則不盡相同。兩項歸因皆為研究人員自身所做。

並非每個惡意技能都是 ClawHavoc 的前置誘餌。Koi 回報的技能——包括 better-polymarket 和 polymarket-all-in-one——在原本可正常運作的程式碼中藏有反向 shell 後門，因此入侵發生於正常使用時，而非安裝時。另一個是 rankaj，會將儲存在 ~/.clawdbot/.env 的機器人憑證傳送到 webhook[.]site 端點。這些名稱被刻意設計成在快速掃視時容易誤讀：clawhubb、cllawhub、clawwhub、clawhubcli，以及加密貨幣、YouTube、自動更新程式和 Google Workspace 的相似名稱。

Antiy CERT 補充了一項值得標記的細節，並將其定位為評估而非發現：它表示這些技能的佐證文件長達 500–700 行，且「很可能本身也是由 AI 生成的」。這是根據文件長度與一致性所作的推論，並非報告所證實的事。

這個計數不是單一數字

緊跟著 ClawHavoc 的那個數字並不穩定，原因是那些稽核在不同日子裡回答的是不同的問題。

Koi 的 341 是對現存刊登項目在其掃描當下所做的計數：在其檢查的 2,857 個技能中，有 341 個惡意項目，其中 335 個屬於同一場活動。OpenSourceMalware 的數字描述的是一波發布潮，而非市集快照——1 月 27 日至 29 日間發布了 28 個惡意技能，隨後在 1 月 31 日至 2 月 2 日間又發布了 386 個，歸屬於七個發布者帳號，其中第二批有 354 個來自單一帳號 hightower6eu。Antiy CERT 的 1,184 是對歷史的計數：截至 2 月 5 日，其在 ClawHub 儲存庫中識別出的惡意套件，歸屬於 12 個作者 ID，其中 hightower6eu 有 677 個，sakaen736jih 有 390 個。Antiy 還記錄到，來自單一上傳者 moonshine-100rze 的 60 個套件在發布時仍可存取，且已累積 14,285 次下載；而在大規模移除完成後，該平台保有 3,498 個技能。

然後是 824。檔案紀錄將這個數字註記為較晚的修訂版，但它不像其他數字那樣可追溯至 Koi、OpenSourceMalware 和 Antiy 有日期的一手出版物。它出現的地方是後來的第三方評論——例如 2026 年 3 月一位技能掃描器作者在 Hacker News 發的貼文，文中描述「824 個惡意技能（ClawHub 的 20%）」，卻未指明背後是哪次稽核。那裡的算術也無法與其他已公布的數字對上：824 略低於 2,857 的 29%，因此「20%」又暗示了另一個未明說的分母。應把它視為一個流傳中的數字，而非一個有已公布方法論的數字。同樣的謹慎也適用於後來報導中出現的「1,200+」變體。

{{1}}這些都算不上錯，更確切地說是無從比較{{/1}}：某一時刻的列表、跨一段時間範圍的發布，以及某個儲存庫的完整歷史，是三種不同的分母；而一個誤植搶註變體可能算一筆條目，也可能算好幾筆，取決於計數器如何分組。

OpenClaw 改變了什麼

兩件事，都發生在Koi披露之後的那一週內。

最初的一則是使用者回報。《Hacker News》報導指出，OpenClaw 的創作者 Peter Steinberger 推出了一項功能，讓已登入的使用者能夠標記技能；文件記載每位使用者最多可持有 20 筆有效回報，而且「被超過 3 個不同使用者回報的技能，預設會自動隱藏」。那是一種分流機制，並非掃描器，而且得先有人注意到才行。

第二項是 VirusTotal 合作夥伴關係，由 OpenClaw 於 2026 年 2 月 7 日宣布。如 OpenClaw 自己的貼文所述：每個技能套件都會以確定性方式打包成 ZIP，具有一致的壓縮與時間戳，外加一個 _meta.json 攜帶發佈者與版本資料；會產生 SHA-256 雜湊；該雜湊會與 VirusTotal 的威脅情報比對，若沒有判定結果，該套件會透過 VirusTotal 的 v3 API 上傳。VirusTotal 的 Code Insight——一項由 LLM 驅動的審查，OpenClaw 的貼文稱其「由 Gemini 提供技術支援」——會從 SKILL.md 開始讀取整個套件。判定結果會決定後續動作：良性技能會自動核准，可疑技能會帶有警告但仍保持可見，惡意技能則會被阻止下載。所有使用中的技能每天都會重新掃描，疑似誤報會寄至 [email protected]。

OpenClaw 在同一篇文章中明確說明了限制，稱這項整合「不是萬靈丹」，並警告「掃描結果乾淨不代表技能安全」，因為自然語言操弄與提示注入可能無法被特徵碼或威脅資料庫捕捉。Antiy CERT 從外部作出的評估也指向同一點：它稱這項回報功能確有必要，但遠遠不夠，並主張商店規模的防禦需要靜態分析、程式碼與語意分析、沙箱執行，以及背後支援這些工作的應變團隊。

哪些是已經確立的，哪些則尚未

先說明資料來源，因為這對上述所有內容都很重要。Koi 的原始文章已無法在其原先發布的網址解析。檔案所引用的 koi.ai 網址現在會重新導向到 Palo Alto Networks Cortex 產品頁面，這是因為 Palo Alto Networks 收購了 Koi，該公司宣布於 2026 年 4 月 14 日完成收購。因此，這裡引用的 Koi 數據與引述，取自在该報導仍上線時閱讀過的媒體——2 月 2 日的 The Hacker News、2 月 3 日的 eSecurity Planet、2 月 11 日的 Gadget Review——以及 Antiy CERT，該機構在其 2 月分析中直接引用了 Koi 的報告。本文無法閱讀 Koi 的文章本身。

已確認：Koi 稽核了 2,857 個技能，並回報 341 個惡意技能，其中 335 個屬於同一波活動；兩種作業系統上的前置條件誘餌機制；命令與控制位址 91.92.242[.]30；反向 shell 與 .env外洩的異常案例；回報功能；以及 VirusTotal 與上述流程的整合。實際危害無庸置疑——Antiy 記錄到單一上傳者的 60 個仍可存取套件共有 14,285 次下載，而 OpenSourceMalware 則將某個發佈者的總下載量估計為接近 7,000 次——而這些酬載鎖定的資料，正是代理主機集中存放的資料：錢包金鑰、交易所 API 金鑰、SSH 金鑰、雲端權杖、瀏覽器密碼。

不一致：計數（原因如上一節所述）和惡意軟體家族標籤。

尚未確定——至少就本文所能閱讀到的任何已發表內容而言，尚未確定：究竟有多少人實際安裝了惡意技能、有多少憑證遭竊，或是否有任何遭竊資金或金鑰已被追蹤。Antiy 表示，惡意技能「已被下載數千次，感染 Windows 與 macOS 使用者」——這是對暴露程度的評估，而非受害者人數，且沒有任何發布者提出過這樣的人數。同樣未獲說明的是，在 Koi 發布當下，全部 341 筆上架項目是否都仍在線。

真正持久的事實是失敗的形態，而不是算術。一個任何人都能發佈內容的市集，處於安裝套件就等於把代理憑證交給它的生態系中，催生了一場攻擊行動，而其整個漏洞利用手法，只是一份叫使用者去執行某個東西的 README；第一個自動化防禦六天後才出現，針對的是簽章與模型審查，而不是針對讓誘餌奏效的信任模型。