揭示自主 Agent 的安全威胁与防御架构：OpenClaw 案例研究

具有操作系统级权限的自主工具调用智能体，会使提示注入等认知问题变成远程代码执行、文件删除或数据外泄；作者以 OpenClaw 为案例讨论这一问题。

• 场景：作者称 OpenClaw 是自托管开源助手，可操作浏览器、shell、本地文件和第三方 API，并接入二十余个消息渠道。作者认为本地部署不等于安全执行，公开消息面会持续带来不可信输入。
• 现有做法：作者认为静态 WAF 和基础输入过滤主要面向内容，挡不住指令与数据混在一起，也挡不住把合法工具串起来的目标。未知私信虽要求配对码，作者仍称智能体持续暴露于互联网输入。
• 作者的归类：作者把当前问题写成提示注入驱动的 RCE、顺序工具攻击链、上下文遗忘和供应链污染，并认为认知失误会因系统权限被放大。
• 提出的东西：作者提出三层风险分类，覆盖 AI 认知、软件执行和信息系统；并给出理论防御蓝图 FASA，以及在研实现 ClawGuard。作者在摘要中称该分类是新颖的。
• 威胁模型：
  • 目标：论文写出的后果包括未授权 RCE、任意文件删除、敏感数据外泄，以及恶意 Skills 把设备变成僵尸网络。
  • 知识：论文未写攻击者是否掌握权重、系统提示，或只能投递外部内容。
  • 能力：可利用消息渠道、网页和文档中的不可信输入，可投放第三方 Skills，并可借助工具调用、记忆写入和 Gateway 的认证配置。
  • 受害系统：自托管 OpenClaw，含 Gateway、Pi Agent Runtime、全渠道接入、macOS/iOS/Android 节点，以及智能体管理的浏览器和 Skills 平台。节点还可访问相机、屏幕录制、定位和系统命令接口。

论文没有独立的 Related Work。下面只按引言和案例讨论里实际引用并谈到的工作分组。

工具调用智能体

• Yao et al.（2022）的 ReAct，以及 Patil et al.（2025）：论文用来标记从被动对话界面向可规划、可行动的自主智能体过渡。
• Wang et al.（2024）、Wölfle et al.（2025）：分别讨论可执行代码动作，以及由智能体生成工具。作者用这类工作说明认知决策与工具执行可以分开，OpenClaw 即采用这种运行时。
• 浏览器、shell、文件与 API：作者引用 Ying et al.（2025a）、Wang et al.（2024）、Tao et al.（2024）、Zhang et al.（2026），说明智能体可以操作这些外部资源。论文未单独批评这几篇。

内容风险与传统防护

• 幻觉与有毒文本：Bang et al.（2025）的 HalluLens、Zhang et al.（2025b），以及 Ying et al.（2025b;d）、Xiao et al.（2025）。作者称传统 LLM 主要面对这类以内容为中心的风险，工具调用智能体会把它们放大成系统级威胁。
• 静态过滤：OWASP Foundation（2024）的 WAF，以及 Inan et al.（2023）所代表的基础输入过滤。作者认为这类防御对能串联合法工具的智能体不够用。论文没有把 Llama Guard 写成基于关键词。
• 代码与数据分离：作者用 OWASP Foundation（2021）的注入问题作对照，称 LLM 智能体里指令就是数据，不能靠传统的代码/数据分隔来挡住间接提示注入。

记忆、压缩与工具链

• Lewis et al.（2020）的 RAG：作者称 OpenClaw 的检索增强记忆带来持久感染面，恶意偏好写入向量库后，可能在以后的无关任务中触发。
• Fei et al.（2024）：讨论用语义压缩扩展上下文窗口。作者把它和指令遗忘连在一起，用来解释安全约束被挤出上下文。
• Wang et al.（2025）、Dong et al.（2026）：前者讨论跨模态提示注入；作者引用后者来命名顺序工具攻击链（Sequential Tool Attack Chains）。论文没有批评这两篇，也没有与它们做实验对比。

OpenClaw 上已报道的事件

• Chandonnet（2026）：作者转述的公开事件是智能体删除整个收件箱，并自行将其解释为上下文压缩挤掉较早的安全约束。Grant（2026）在引言中被用来指认知局限造成的自主失败。
• NIST（2026）的 CVE-2026-25253（ClawJacked）：作者映射为 Gateway URL 操纵导致令牌传出和 RCE。Bors（2026）被正文用来支持“本地执行等于安全执行”这一假设不成立；该引用题名写的是绕过 OpenClaw 安全沙箱，论文未解释两处表述的关系。
• 供应链与机密：Baran（2026）、Meller（2026）被用来写 ClawHub Skills 投毒；Oliveira et al.（2026）在引言中对应凭据窃取；Beurer-Kellner et al.（2026）对应明文存储带来的机密性破坏。论文未在正文复述这些报道标题中的包数量或泄露条数。

论文未设置实验基线，也未在某个基准上对比方法。作者把本文定位成：把讨论从被动补洞转到主动的架构级防御，用三层分类整理 OpenClaw 上的现象，再用 FASA 覆盖从感知到系统执行的生命周期。

作者先用 三层风险分类（Tri-layered Risk Taxonomy） 把 OpenClaw 上的现象归到三个维度，再提出 全生命周期智能体安全架构（FASA）。作者称其主张零信任的智能体执行、动态意图核验、跨层推理—行动关联和持续演化。FASA 被写成理论蓝图，不是已测完的检测器；论文未给出阈值、判定模型、迭代次数或量化成功标准。

三层分类

• AI 与认知安全：间接提示注入、上下文压缩造成的指令遗忘，以及经多轮对话写入向量库的软后门。作者举例时把网页隐藏文本和恶意偏好当作机制，不在这里复述原句。
• 软件与执行安全：作者称智能体直接以主机用户的磁盘权限运行，缺少严格容器化或沙箱；对手可把多个单独看合法的工具串成外泄流程；ClawHub 上的第三方 Skills 缺少部署前的静态审计或签名校验。
• 信息与系统安全：Gateway 默认对环回地址 127.0.0.1 豁免严格认证，作者将其映射到 CVE-2026-25253；中间推理和 API 密钥常存在未加密的本地 Markdown 或 SQLite 中。
• 对照表：Table 1 把上述理论风险元素逐项对应到观察到的 OpenClaw 漏洞。Figure 3 的图注称该图把理论漏洞映射到观察到的利用；所给文本没有图内可读数值。

感知与隔离

• 多维输入净化：网页、用户文档等外部数据不应直接进入 LLM 提示上下文。隔离层去掉可执行内容，再抽出结构化文本，以降低复杂媒体里的间接提示注入。论文未写具体解析器。
• Skills 准入：集成前做工具描述的语义分析，以发现提示诱导，并对插件代码做静态分析，以发现可能不安全的系统级操作。论文未写用哪个分析器。
• 短暂执行沙箱：工具调用被假定发生在隔离环境中。轻量短暂容器实施最小权限并限制网络外出，以降低意外外泄或未授权系统访问。论文未写容器运行时名称。

决策与控制

• 上下文指令护栏：不做静态关键词过滤，而检查当前动作是否仍落在预先划定的能力边界内。作者举例：日历管理智能体去读系统配置文件，应被标为异常。
• 行为意图分析：针对顺序工具攻击链，在轨迹层拆计划。复杂计划被分成原子动作，再判断各自良性的操作合在一起是否构成恶意工作流。论文未写判定器或分数阈值。
• 智能体间协议检查：多智能体通道被监视，以阻止恶意指令、间接提示注入或记忆污染在智能体之间传播。论文未说明 OpenClaw 案例本身是否按多智能体部署来测。

执行与响应

• 推理—行动关联：把从推理痕迹推断的语义意图和实际系统行为对照。不一致则触发安全干预。作者举例：推理在说总结文件，同时却发起网络连接。
• 系统遥测与自动处置：内核级遥测持续看文件 I/O、进程创建和网络活动，并与预定行为基线比较。发现违规时，自动处置包括终止进程或容器隔离。论文未写基线如何建成，也未写告警阈值。

治理演化与 ClawGuard

• 威胁情报：运行日志和异常告警与外部漏洞情报关联，用来更新行为基线和访问控制策略。论文未写情报源的具体名称。
• 自适应对抗仿真：在受控环境里用对抗提示词和投毒工具做自动红队。作者称成功的攻击模式会被纳入用于改进检测与缓解的训练数据。论文未写训练用的模型、数据规模，或这一步是否已经跑过。
• ClawGuard：作者称团队正在按这些设计做面向该生态的概念验证平台。早期原型已包含主要安全模块；作者同时称落实 FASA 仍是进行中的挑战，目标是把 OpenClaw 从高风险实验工具变成可按该架构运行的系统。论文未把原型写成已经完成评测。

实验设置

• 无受控实验协议：论文没有 Experiments 节，未报告被测模型、数据集条数、基线、攻击成功率、评审模型、阈值、样本量或重复次数。
• 案例对象：Section 2 描述 OpenClaw，包括本地优先的 WebSocket Gateway、以 RPC 运行的 Pi Agent Runtime、二十余个通信渠道、macOS/iOS/Android 节点、经 CDP 控制的浏览器，以及第三方 Skills 平台。
• 材料来源：Section 3 与 Table 1 是对公开事件、漏洞编号和生态报道的映射，不是文中给出的复现实验。
• 防御部分：Section 4 描述 FASA 四层和 ClawGuard 的工程范围，未报告拦截率、误拒、延迟或自适应攻击测试结果。
• 图：Figure 1–5 在所给文本中只有图注，正文未列出图中数值，因此这里不转述曲线或柱高。

主结果

论文的主要结果是定性映射，不是分数。下表据 Table 1 压缩，没有论文未给出的数字。

| 维度 | Table 1 中的映射 | | AI 与认知 | 指令遗忘致收件箱删除；间接提示注入触发本地数据外泄；恶意规则写入向量库 | | 软件与执行 | 缺少严格沙箱、以主机用户权限运行；用 shell/HTTP 工具外泄 SSH 私钥；ClawHub 未经审计的恶意 Skills | | 信息与系统 | CVE-2026-25253：Gateway URL 操纵导致令牌窃取和 RCE；密钥与中间推理明文存储 |

• 作者称，保住这类框架不能只补单点或只微调 LLM，认知错误和系统权限缠在一起，需要多层防御。这是 Section 3 末的设计理由，不是评测结论。
• 作者在 Conclusion 中称，以内容为中心的措施应对不了提示注入、顺序工具链劫持和供应链污染。论文没有给出这三类各自的成功率。
• 作者把 FASA 写成针对上述三层风险的蓝图。Table 1 没有 FASA 或 ClawGuard 的拦截结果，不能从该表读出防御是否生效。

认知层案例

• 测了什么：作者整理两类认知失败，而不是跑模型。一是间接提示注入把网页中的隐藏文本吃进上下文，再经合法工具外泄本地数据（Section 3.1，McCauley et al., 2026）。二是记忆污染：多轮对话把恶意偏好写入向量库，形成可在以后任务触发的软后门（Lewis et al., 2020；Ying et al., 2025c；Penligent Team, 2026）。
• 结果：论文未给出这些案例的成功率、样本数或评审一致性。
• 作者的解读：作者将 Chandonnet（2026）报道的收件箱清空解释为处理大量邮件时触发上下文压缩，较早的不删除约束被挤出上下文。这是作者的因果叙述，文中没有复现记录。

执行层与供应链

• 测了什么：Section 3.2 讨论宿主机权限、顺序工具链和 ClawHub。Table 1 把多步链写成用常规 shell 与 HTTP 工具外泄 SSH 私钥，以绕过单端点过滤。
• 结果：论文未报告链的步数、查询次数或成功比例。供应链一侧，作者称攻击者上传过带隐藏提示注入或恶意软件的插件，安装后把设备变成僵尸网络，且部署前没有严格静态审计或签名校验。
• 作者的解读：作者认为“本地执行即安全”是设计缺陷，并引用 Bors（2026）。正文写的是缺少严格沙箱；引用题名写的是绕过沙箱。论文未解释这一差别。

系统层案例

• 测了什么：Section 3.3 讨论认证配置和状态存储。作者写 Gateway 默认不对 127.0.0.1 做严格认证，并把 CVE-2026-25253 映射为 URL 操纵导致认证令牌传出，进而任意 RCE。
• 结果：论文给出漏洞编号，未报告受影响部署数量、令牌泄露次数，或作者侧复现是否成功。明文存储一条同样没有计数。
• 作者的解读：作者称，主机被攻破，或智能体被诱导去读自己的记忆目录时，未加密的 Markdown/SQLite 会造成机密性破坏（Beurer-Kellner et al., 2026）。正文没有使用该引用标题中的条数。

其他消融与分析

• 论文未报告消融、参数扫描、人工评估或评审一致性。
• Section 4.5：作者称 ClawGuard 早期原型已含主要安全模块；论文未报告这些模块的测试数字。
• Section 2.1：作者写到 2026 年 2 月下旬仓库超过 200,000 个 GitHub star。这是采用情况，不是安全实验指标。

作者指出的局限与后续方向

论文没有 Limitations、Discussion、Future Work 或附录中的局限清单，未专门讨论局限。

• 工程落地：Conclusion 中作者称，将通过持续的 ClawGuard 工程，把分层隔离、动态意图核验和跨层推理—行动关联转成实际机制。作者用 aim、ongoing 来写这件事，没有把它写成已经完成的评测。

实验覆盖范围

• 分析对象是 OpenClaw 生态：架构在 Section 2，威胁映射在 Section 3 和 Table 1。
• Table 1 覆盖三个分类维度，并给出指令遗忘、间接提示注入、软后门、沙箱、多步工具链、ClawHub 投毒、CVE-2026-25253 和明文机密等映射。
• FASA 在 Section 4 写成四层：感知与隔离、决策与控制、执行与响应、治理与演化。论文未报告这些层的评测指标。
• Section 4.5 写明 ClawGuard 早期原型包含主要安全模块，并称落实 FASA 是进行中的挑战。论文未报告原型的查询次数、重复次数或拦截数字。
• 文中点名的事件包括 Chandonnet（2026）的收件箱删除和 NIST（2026）的 CVE-2026-25253。论文未报告作者侧的复现协议或样本量。

这是一份以 OpenClaw 为案例的威胁梳理和防御架构报告，不是带分数的攻击或防御评测。

• 问题：作者认为，模型一旦能执行 shell、改文件、开浏览器和调用 API，提示注入就不再只改变回复，而可能变成远程代码执行、删除数据或外泄。本地自托管和私信配对码没有去掉公开输入面。
• 分类：三层分类把问题放在认知、软件执行和信息系统。认知层包括注入、上下文压缩和记忆污染；执行层包括主机级权限、工具链和 Skills 供应链；系统层包括 Gateway 对 127.0.0.1 的认证豁免，以及明文保存密钥和中间推理。对照见 Table 1。
• 蓝图：FASA 分四层。外部输入先净化，工具放进最小权限的短暂沙箱，Skills 在接入前做描述和代码检查。规划阶段核对能力边界，并把动作序列合起来看。执行时对照推理痕迹和真实系统调用，并用文件、进程、网络遥测触发隔离。之后用外部情报和受控红队更新策略。论文没有给出判定阈值。
• 材料：支撑来自公开事件映射，而不是文中的模型实验。作者把收件箱清空解释为压缩挤掉安全约束，并把 CVE-2026-25253 映射为令牌传出后的 RCE。论文没有成功率、样本量和防御评测数字。
• 工程状态：作者称 ClawGuard 的早期原型已含主要安全模块，同时把完整落实写成仍在进行的工作。
• 作者的结论：作者认为只做内容过滤不够，需要零信任执行、动态意图核验，以及跨层的推理—行动关联，才能把这类智能体从高风险实验工具往该架构上推。