OpenClaw Security Risks: 6 Dangers of Autonomous AI Agents

AI代理現已成為科技熱點，OpenClaw作為最受關注的本地運行平台，降低了進入門檻。但這個強大工具背後隱藏著複雜的安全風險。代理的核心機制是一個大語言模型在自主循環中調用工具，這帶來多層風險。首先是模型層——LLM出現幻覺時會無意犯錯卻充滿自信，當代理在循環中執行這些有缺陷的推理時，錯誤不會改善反而被放大。此外還有訓練數據中毒、模型感染、MCP協議未知風險等威脅。

工具層面面臨憑證洩露風險——代理調用工具時可能將API密鑰或身份憑證傳給不受信任來源。工具本身也可能被惡意設計或包含漏洞，擴大攻擊面。最後的自主運行特性意味著缺乏人為監管，一旦出錯就難以及時制止。錯誤會被快速放大，就像有人說的「人會犯錯，但要搞砸需要一台電腦」——代理會把錯誤成倍放大。

OpenClaw具體化了這些風險。它允許用戶從ClawHub或GitHub安裝「技能」（第三方代碼），實際上等同於以代理系統權限運行不受信任代碼。多次審計發現這些市場中存在相當比例的惡意或易受攻擊技能。即使代碼開源也不能保證安全——OpenBSD漏洞隱藏近三十年仍未被全球社區發現。這說明必須將OpenClaw視為不受信任程式碼，特別是以管理員或root權限運行時風險最大。

具體的六大風險需要警惕：不受信任代碼執行可導致任意指令執行、憑證盜竊和多會話後門；間接提示注射允許攻擊者透過網頁、郵件、PDF等嵌入惡意指令，這已被反覆驗證；持久性記憶體中毒使攻擊者能在memory.md等文件隱埋指令，重啟後仍生效；憑證曝光導致數萬個暴露網關洩漏明文憑證；自主行動風險包括無需批准即執行、串聯工具、觸發未預期後台任務、進行橫向移動、竊取敏感數據甚至透過API濫用造成經濟損失；主機工作空間妥協允許代理修改主機文件、訪問SSH密鑰並攻擊其他系統。

防禦應基於零信任架構——假設系統已被攻破，預先設計防禦措施。核心原則包括：在持久性憑證執行不受信任代碼時謹慎，避免以系統許可等級運行代理；認識網路訪問本身就成為提示注射攻擊面；切勿將代理連接敏感身份、敏感數據或生產系統，除非在嚴格隔離環境；接受系統會被攻破的現實，設計防禦層限制橫向移動和數據外洩。講者推薦進一步學習「使用MCP建立安全代理」和「將零信任原則應用於AI代理」。