資訊竊取程式開始蒐集 OpenClaw 設定與閘道權杖

2026 年 2 月，一款商品化資訊竊取程式從受感染的機器上取走了 OpenClaw 代理程式的組態環境：存放該代理程式閘道權杖的 JSON 檔案、存放其裝置簽署金鑰的 JSON 檔案，以及定義其角色人格與記憶的 Markdown 檔案。發布這項發現的威脅情報公司 Hudson Rock 稱其為竊取程式行為的里程碑，並描述這是從瀏覽器憑證轉向個人 AI 代理程式身分的轉變；BleepingComputer 報導了該公司的說法，稱這是同類事件中首個在野外出現的案例，The Hacker News 當月也報導了此事。該竊取程式並非專為 OpenClaw 打造。Hudson Rock 的說法指出，一個大範圍的檔案抓取常式掃描了敏感副檔名與諸如 .openclaw 的目錄名稱，並順帶取走了該資料夾，因此該公司形容這款惡意程式是挖到金礦，而非刻意獵捕該代理程式。該檔案庫將此事件歸檔為高嚴重性憑證事件，信心等級為 B，爭議標記為 false，並記錄了實際損害，而Orca AI Incident Archive將此紀錄與相鄰的 OpenClaw 條目並列收錄，每一項皆依其自身證據評級。

三個檔案，以及每一個能解鎖什麼

OpenClaw（前稱 Clawdbot 與 Moltbot）是一款自架式個人 AI 代理，會將持久狀態保存在使用者自己電腦上的檔案中。Hudson Rock 的報告由 The Hacker News 與 BleepingComputer 摘要，列出從受害者 OpenClaw 目錄中取得的三樣東西。openclaw.json 內含一個部分遮蔽的 Gmail 地址、工作區路徑，以及儲存在 gateway.auth.token 下的高熵閘道權杖。Hudson Rock 的技術說明指出，若連接埠對外暴露，該權杖可讓攻擊者遠端連線到受害者的本機 OpenClaw 執行個體，或在對 AI 閘道發出的已驗證請求中冒充該用戶端。

device.json存放了使用者裝置的 publicKeyPem 與 privateKeyPem，也就是 OpenClaw 用於配對及簽署作業的金鑰對。Hudson Rock 表示，攻擊者握有其中的私鑰後，便能以受害者的裝置名義簽署訊息，可能藉此繞過「Safe Device」檢查，觸及加密日誌或與該裝置配對的雲端服務。soul.md連同記憶檔案 AGENTS.md 與 MEMORY.md，存放了代理的運作原則、行為準則與倫理界線，且依該公司的描述，其中很可能還存有使用者活動、私人訊息與行事曆事件的每日日誌——該公司稱之為使用者生活的藍圖。

廠商說法中有一個細節值得與其餘部分分開來看。Hudson Rock 將被竊檔案輸入自家的 AI 系統 Enki，進行自動化風險評估，而它對該輸出結果的總結是：權杖、金鑰與個人背景資訊加總起來，等同於使用者數位身分的全面淪陷。那是套用在這些檔案上的風險模型，並非攻擊者對這些檔案做了什麼的紀錄。

該機制是個大雜燴，而非清單上的一個項目。

檔案庫的單行摘要寫道，代理程式憑證已「正式列入標準竊資程式檢查清單」。但其下方文件所述的範圍較窄。Hudson Rock 明確表示，並未涉及 OpenClaw 專用模組：該惡意程式執行的是通用例行程序，依副檔名與目錄名稱蒐集檔案，而 .openclaw 正好符合。Hudson Rock 共同創辦人暨技術長 Alon Gal 向 BleepingComputer 表示，該例行程序會掃描包含「token」和「private key」等關鍵字的檔案與目錄。

這個專用模組是一項預測，而非觀察結果。Hudson Rock 寫道，隨著像 OpenClaw 這類代理更深入地整合進專業工作流程，竊取程式開發者很可能會推出專門設計來解密與解析這些檔案的模組，就像他們今日針對 Chrome 或 Telegram 所做的那樣。2026 年 1 月 26 日，同一家公司曾發布一篇題為《ClawdBot：AI 時代資訊竊取程式的新主要目標》的文章，主張該代理會將記憶、設定檔與驗證權杖以純文字 Markdown 和 JSON 保存，而這些內容通常可被任何以該使用者身分執行的程序讀取。二月這起案例是該公司首次回報這項預測在真實機器上成真。

這種區別並非學術上的空談。附帶性的掃描意味著，暴露與否取決於代理程式存放機密的位置，而非攻擊者是否決定獵捕 OpenClaw。若解析器出現，同樣的檔案就會變得可大規模讀取，而不只是可被蒐集；防禦問題也從目錄權限，轉變為閘道權杖與裝置金鑰一旦遺失後仍能觸及什麼。

一台機器、一家供應商，以及一長串的重複。

Hudson Rock 的貼文描述的是一名受害者（單數），並公布了一台受感染機器目錄樹的截圖。貼文未說明該樣本來自多少台機器，而本文查閱的所有報導也都沒有補充第二個案例。BleepingComputer 的 Bill Toulas 直接與 Gal 交談，並提供了 Hudson Rock 貼文未包含的細節——Vidar 歸因以及基於關鍵字的掃描——但核心觀察仍只是一次感染，且僅由一家廠商看到。Infosecurity Magazine 和 SecurityAffairs 在 Hudson Rock 發文後一天內重述了相同發現，ThaiCERT 也在 2026 年 2 月 25 日的一份公告中重複了這一點。國家級 CERT 重複廠商報告只是放大傳播，並非獨立證實。

檔案的信心等級 B 記錄了這一點：有記錄，但來源單一或為二手來源。該記錄的日期也標為 2026 年 2 月，僅精確到月份；BleepingComputer 的報導把盜竊時間定得更精確，但檔案只記載月份，本文也沿用檔案的精確度。本文查閱的資料均未質疑 Hudson Rock 的說法，該記錄標為無爭議。這項保留說明並非矛盾，而是：里程碑式的框架——首個實際案例、從瀏覽器憑證轉向代理身分——是發現該樣本的公司所作的描述，且沒有公開基準可用來核實「首個」。

未指派任何 CVE。本文所查閱的來源中，沒有出現任何針對這起竊取事件的 OpenClaw 安全公告，也沒有任何監管機構自行公布相關調查結果——唯一找到的政府相關文件是 ThaiCERT 的公告，而該公告只是重述 Hudson Rock 的報告。與軟體瑕疵不同，這起事件沒有可供指向的修補程式，因為這些檔案並沒有做出任何被軟體視為錯誤的行為。它們就以明文形式存放在磁碟上，緊鄰著代理程式。

紀錄未能確立的事項

• 本文所查閱的任何來源，都沒有顯示有人使用遭竊的閘道權杖或裝置金鑰。Hudson Rock 所述的危害自始至終都是有條件的——「若該連接埠暴露在外」、「可能得以繞過」——而重複引述這些說法的報導，也並未提出任何已獲證實的入侵案例。

• 做出 Vidar 歸因的公司在表述上有所保留。Gal 根據感染細節，將該樣本描述為可能是 Vidar 的變體；Vidar 是一款自 2018 年底以來活躍的現成竊取程式。此處所查閱的來源中，並未出現已公布的雜湊值、樣本分析或家族比較。

• 受影響的使用者人數未知。Hudson Rock 通報了一名受害者，但未提供其他機器的數量，而本文後續也找不到任何報導提供相關數字。

• 此處所閱讀的任何來源，均未證實遭竊資料是否曾被任何犯罪服務交易、出售或建立索引。

• 紀錄所標記的真正危害在於外洩本身：真實機器的憑證與金鑰離開了該機器。這比遭接管是更低的門檻，而紀錄並未聲稱遭到接管。

已經改變了什麼，以及它沒有涵蓋到什麼

OpenClaw 於 2026 年 2 月 7 日宣布與 VirusTotal 合作，時間早於 Hudson Rock 發表其說法。這項安排會掃描上傳至 ClawHub 的每一項技能：將其封裝、計算雜湊值、拿雜湊值與 VirusTotal 比對，並對任何未曾見過的項目執行 VirusTotal 的 Code Insight 分析；該專案還為此搭配了威脅模型，以及針對潛在錯誤設定的稽核。它處理的是市集層面。它不會加密使用者磁碟上的 openclaw.json，對已在端點上執行並讀取家目錄的惡意軟體也毫無作用，而這正是本記錄中的攻擊向量。

針對這項失效，最接近指引的內容屬於建議性質，而非技術性指引。ThaiCERT 於 2026 年 2 月 25 日發布的公告重述了 Hudson Rock 的發現，並建議在最小權限下，於沙箱虛擬機或容器中執行代理程式、避免直接存取敏感資料、驗證每個已安裝技能的來源、監控活動日誌，以及準備包含完整系統重設與憑證輪換的事件應變計畫。OpenClaw 於 2026 年 4 月發布的資安工作公開說明指出，機密處理已從「請小心」轉向參照機制，讓憑證不會留在提示詞、日誌、逐字稿或代理程式狀態中；方向相同，儘管該篇文章並未處理 Hudson Rock 所記錄的設定檔。

值得觀察的是專用解析器是否會出現。Hudson Rock 的預測是它們會出現，而該公司一月的文章才是認真看待這項預測的理由，二月的樣本並非其證明。在那之前，這項紀錄仍只是一起記錄詳盡的單一竊取事件：明文代理程式狀態被一個並非衝著它而來的竊取程式取走，損害由廠商評估，而非在實際環境中觀察到。