ClawJacked：任何網站都可能暴力破解本機的 OpenClaw 代理程式

ClawJacked 是 Oasis Security 於 2026 年 2 月 26 日披露的開源 AI 代理 OpenClaw 漏洞，讓開發者造訪的任何網站都能連線到在其自己機器上執行的代理，並不斷猜測其密碼，直到取得控制權。無需點擊、無需外掛，也無需提示。目標是協調該代理的閘道：入侵者一旦進入，就能直接與代理對話、傾印其設定、列出所有配對裝置並讀取其日誌。Oasis 是一家代理式存取管理軟體供應商，在其自家實驗室端到端演示了這條攻擊鏈並私下通報，而 OpenClaw 在不到 24 小時內發布了修復。本文引用的來源均未記錄該攻擊曾被用於真實使用者。該檔案將此事件歸類為高嚴重性基礎設施事件，日期精確到日為 2026 年 2 月 25 日，且未記錄到現實世界危害，並與其餘 OpenClaw 條目一併收錄於 Orca AI Incident Archive。

三項預設，一條鏈

OpenClaw 是一款自架式的個人代理程式，使用者可透過網頁儀表板或終端機操作它，而它會連接通訊應用程式、行事曆與開發者工具，並在這些系統內實際執行操作。其核心是一個閘道，也就是一套本機 WebSocket 伺服器，Oasis 稱之為「整個運作的大腦」：它負責處理身分驗證、儲存設定、管理聊天工作階段，並將指令分派給各節點，例如 macOS 伴隨應用程式或 iPhone。身分驗證可採用權杖或密碼，而閘道預設綁定於 localhost，其明確預設是相信本機存取本身即為可信（Oasis Security，2026 年 2 月 26 日）。

那個假設的三個後果環環相扣。首先，瀏覽器不會像對待一般 HTTP 請求那樣，對 WebSocket 連線套用跨來源規則，因此使用者造訪的任何頁面上的 JavaScript 都能開啟連線到本機閘道通訊埠的 socket，而畫面上完全看不出來。其次，閘道的速率限制器完全豁免了回送連線，因此來自 127.0.0.1 的密碼嘗試失敗不會被計數、節流或記錄。第三，閘道會自動核准來自 localhost 的裝置配對，因此已通過驗證的指令碼就能把自己註冊為受信任裝置，而不會觸發遠端裝置會遇到的確認提示。

Oasis 在自己的實驗室中測量了猜測速率，並在揭露內容中報告：「在我們的實驗室測試中，僅靠瀏覽器 JavaScript，我們就達到每秒數百次密碼猜測的持續速率。以這樣的速度，一份常見密碼清單不到一秒就會被耗盡，而大型字典僅需幾分鐘。人類挑選的密碼毫無勝算。」於 2026 年 3 月 1 日報導該揭露內容的 BleepingComputer，描述了相同的三個步驟，且順序相同。

攻擊者能得到什麼，以及 Oasis 實際展示了什麼

一旦通過身分驗證，該腳本便持有一個具備管理員層級權限的操作員工作階段。Oasis 列出它接著可直接從事的四件事：向 AI 代理傳送訊息並讀取其回覆、傾印閘道設定（這會揭露所使用的 AI 供應商、模型與訊息通道）、列舉每個已連線節點及其平台與 IP 位址，以及讀取應用程式日誌。接著，Oasis 描述（而非示範）權限提升：指示代理搜尋開發者的 Slack 歷史紀錄以尋找 API 金鑰、讀取私人訊息、從配對裝置外洩檔案，或在任何已配對節點上執行任意 shell 命令。該公司對結果的總結是：對於具有典型 OpenClaw 整合的開發者而言，這相當於「從一個瀏覽器分頁發動的完整工作站入侵」。

Oasis 所發布的示範（附有影片概念驗證）比該描述更狹隘：一個位於無關網站上的瀏覽器猜中了閘道密碼，以完整權限連線，並成功與使用者的代理互動，且未向使用者顯示任何跡象。檔案外洩與 shell 執行被描述為該存取權限所能實現的事，而非概念驗證實際執行的步驟。當這段紀錄被解讀為已實際發生的事件、而非僅為示範時，這項區別就很重要。

這個修補程式是在 2026.2.25 上線的，而不是在 2026.2.26。

Oasis 建議讀者更新至 2026.2.25 或更新版本，OpenClaw 自家的公告也持相同看法。GitHub 公告 GHSA-jmmg-jqc7-5qf4 將受影響版本列為 2026.2.24 及更早版本，修補版本為 2026.2.25 及以上，並將此回報歸功於 @luz-oasis，即 Oasis 研究主管 Elad Luz。npm 登錄檔中 2026.2.25 的時間戳記為 2026 年 2 月 26 日 04:16 UTC，而該專案針對此版本的發布說明如此描述這項修復，其用語與這三項預設值一一對應：「安全性／Gateway WebSocket 驗證：對 Control UI／Webchat 以外的直接瀏覽器 WebSocket 用戶端強制執行來源檢查，將密碼驗證失敗的節流機制套用於來自瀏覽器來源的迴路位址嘗試（包括 localhost），並阻止非 Control UI 瀏覽器用戶端進行無聲自動配對。」

有兩篇新聞報導提到不同的版本號。BleepingComputer 表示修復「已於 2 月 26 日在 2026.2.26 版中發布」，而 SecurityAffairs 重複稱 2026.2.26 是解決該問題的版本，但其自身的建議段落卻告訴讀者要更新到 2026.2.25 或更高版本。Infosecurity Magazine 在報導 2026 年 3 月 2 日的披露時，引用的是 2026.2.25。2026.2.26 版本確實存在，但 npm 記錄其發布時間為 2 月 26 日 23:59 UTC，比 2026.2.25 晚約二十小時，且其說明是另一批加固內容。讀者應尋找的修復是 2026.2.25 中的那一個。

這個識別碼後來才出現。GitHub 公告於 2026 年 3 月 3 日以 CVE-2026-32025 發布，而 NVD 對其的記錄則於 2026 年 3 月 19 日發布，CVSS 3.1 基本分數為 7.5，並由主要評分者 NVD 及次要評分者 VulnCheck 評為高風險。公告本身比這個分數更為謹慎：其自身的嚴重性欄位標示為中等，且其內文稱該漏洞為「嚴重，但有條件」，並明確列出四項先決條件——閘道可透過回送位址存取、使用密碼驗證、受害者開啟攻擊者控制的網頁內容，以及密碼可在可行嘗試次數內被猜中。它 also 直白說明該漏洞不是什麼：「這本身不是未經驗證、暴露於網際網路的 RCE 類問題；這是一個本機瀏覽器來源的驗證強化缺口，在上述條件下具有重大影響。」

42,665 從哪裡來，以及為什麼它不是 ClawJacked 的數字

該檔案的摘要記載，披露時共有 42,665 個執行個體暴露在外，並指出 SecurityScorecard 給出另一個數字 40,214，其中 35.4% 存在漏洞。此紀錄所引用的三個來源中，沒有任何一個包含這兩個數字——Oasis、BleepingComputer 與 SecurityAffairs 都描述了該漏洞，卻未附上安裝基數的統計。這兩個數字都出自別處，且都在 ClawJacked 問世之前便已發表。

42,665 這個數字來自一項獨立掃描。安全研究員 Maor Dayan 在 Medium 上發表其研究發現，他建置了一套名為 ClawdHunter v3.0 的掃描器，並對 2026 年 1 月 28 日至 31 日期間收集的 Shodan 與 Censys 資料執行掃描，通報「至少 42,665 個」OpenClaw 執行個體公開暴露於網際網路上，其中 5,194 個經主動驗證為存在漏洞，而這些已驗證者中有 93.4% 顯示存在身分驗證繞過。40,214 這個數字則來自 SecurityScorecard 的 STRIKE 團隊於 2026 年 2 月 9 日發布的研究，該研究計數了網際網路上暴露的 OpenClaw 執行個體，並將 15.2K 標記為易受遠端程式碼執行攻擊，同時指出「35.4% 的觀察到部署被標記為存在漏洞」。SecurityScorecard 自己的摘要要點列出 42.9K 個代管暴露控制台的唯一 IP 位址，同時其正文則提到 40,214 個已確認執行個體——同一份報告內出現兩種不同的量測。

這兩個數字都無法衡量 ClawJacked 的觸及範圍，因為兩者計入的都是會在公開介面上回應的執行個體。ClawJacked 的前提條件正好相反：閘道繫結至 loopback、處於密碼模式，且所在機器的使用者會瀏覽到惡意頁面。在一場網際網路全域掃描中被計入的伺服器，可能位於其自有驗證機制之後，因而未受此漏洞影響；而那台從未出現在這類掃描中的筆電，正是 Oasis 所描述的目標。因此，該存檔本身的措辭「at disclosure」，是把一月的母體計數套到二月的漏洞上。這些計數是對 OpenClaw 暴露程度所做的真實測量；它們並不是 ClawJacked 可能接管機器數量的計數。本文並非在裁斷一項爭議——該紀錄並未標示為有爭議——但這兩個數字的出處可受查核，且不支持「at disclosure」這種框架。

何者為已確立，何者則否

已確認：Oasis Security 發現了該攻擊鏈，並在實驗室中進行了示範；OpenClaw 自家的安全公告與發行說明確認了全部三種行為——瀏覽器 WebSocket 用戶端缺少來源強制驗證、對回送位址的密碼嘗試缺乏節流、靜默自動配對——且 2026.2.25 對每一項都做了變更；修補程式在通報後一天內發布；以及發現者自家部落格之外有三家媒體報導了此事。該檔案的信心評級 A 與上述紀錄相符，且相關各方對這裡的內容均無爭議。

尚未證實：有人曾使用過它。此處未引用任何來源，而在披露相關報導中也找不到任何來源，能報導現實世界中的入侵、受害者或資料遭竊。Oasis 的案例是實驗室演示，該文章描述的是攻擊者的能力，而非實際觀察到的攻擊。這與該檔案未記錄任何實際損害相符，而這也是這則報導最重要的單一限定條件：這是一份漏洞記錄，不是外洩事件報告。

目前流傳的兩種標籤都是錯的，而且兩者都很容易被沿用。有幾篇二手報導把 CVE-2026-25253 歸到 ClawJacked。NVD 對該識別碼的紀錄所描述的，是同一產品中的另一個漏洞：2026.1.29 之前的 OpenClaw 會從查詢字串取得 gatewayUrl，並在未提示使用者的情況下連線至該位址，同時送出權杖；這是一鍵式權杖竊取，CVSS 分數為 8.8，於 2026 年 2 月 1 日發布，並於 1 月 29 日修補。那是 1 月的漏洞，機制不同，修補也不同。ClawJacked 的識別碼是 CVE-2026-32025。另一方面，Infosecurity Magazine 將 ClawJacked 描述為間接提示注入；Oasis 記錄的攻擊鏈完全不涉及提示，也沒有任何模型決策——它是一種身分驗證繞過，最終取得操作員工作階段。

之後有什麼改變？

OpenClaw 修補了它、發布了公告並表揚了通報者，而 CVE 在公開文章發布後一週內就被指派。Oasis 給組織的建議不只是修補：盤點開發人員機器上執行哪些代理與助理、更新每一個執行個體、稽核每一個各自持有什麼憑證與能力並撤銷未使用部分，以及把代理視為非人類身分來治理，搭配意圖檢查、政策執行、即時存取，以及從人類到代理再到動作的稽核軌跡。該公司銷售最後一類的軟體，這點在權衡最後一項建議與前三項時值得知道。

更廣泛的背景是，ClawJacked 只是眾多安全公告中的一則。GitHub 安全公告資料庫收錄了一大批日期標為 2026 年 3 月 3 日的 OpenClaw 公告——與 ClawJacked 的公告發布日同一天——涵蓋 2026.2.19 至 2026.2.26 各版本中各自獨立的驗證、配對、路徑穿越與沙箱逃逸漏洞。ClawJacked 紀錄所保留的模式，比「AI 代理不安全」這種說法更為狹窄，卻也更有用：閘道把回送位址（loopback）當成信任邊界，而瀏覽器讓這個假設不再成立。任何將 127.0.0.1 排除在流量限制之外的本地服務，以及任何會自動核准本地呼叫方的裝置配對流程，不論背後是否有 AI 模型，都承襲了同樣的形態。在這個案例中，模型從來就不是易受攻擊的元件——真正脆弱的是圍繞著它的驗證層。