从魔法到恶意软件：OpenClaw技能如何成为攻击面

摘要

本文揭示了AI agent生态系统中的新型安全威胁。OpenClaw的强大本地访问能力使其成为信息窃取恶意软件的攻击目标。攻击者通过在技能注册表发布伪装成正常技能的恶意文档，利用"前置依赖安装"等话术诱导用户执行命令，最终实现恶意软件植入。这一事件表明，在agent生态中，文档与执行的界限正在模糊，技能注册表正在成为下一个供应链攻击入口。

内容框架与概述

本文采用层层递进的结构。首先，作者回顾了OpenClaw的特性，强调其强大的本地访问能力是一把双刃剑。接着，作者揭示了技能的本质问题：markdown格式的技能文件包含可执行的安装命令，本质上是披着文档外衣的安装程序。随后，作者通过具体案例说明攻击手法：一个高下载量的Twitter技能通过虚假依赖链接引导用户进入恶意基础设施，最终释放macOS信息窃取木马。最后，作者分析了攻击模式的规模化特征，并对agent框架开发者、技能 registry运营者和使用者分别提出了安全建议。

核心概念及解读

OpenClaw：一个具有强大本地访问能力的AI agent框架，可访问文件、浏览器、终端和长期记忆存储。

Agent Skills：以markdown文件形式分发的技能包，包含任务指令，实际可执行安装命令和脚本。

Model Context Protocol (MCP)：模型上下文协议，提供结构化工具调用接口，但无法阻止技能绕过MCP直接执行命令。

Infostealer Malware：信息窃取型恶意软件，专门窃取浏览器凭据、API密钥、SSH密钥等敏感数据。

Supply Chain Attack：供应链攻击，通过信任链中的薄弱环节（如技能注册表）分发恶意内容。

原文信息

此摘要卡片由 AI 自动生成