驯服 OpenClaw：自主 LLM 智能体威胁的安全分析与缓解

自主 LLM 智能体在长程、高权限运行中面临跨阶段复合威胁，点状防御对不上这类风险。

• 场景：作者称 OpenClaw 经即时通讯衔接意图与执行，并编排第三方插件、保持持久记忆、做软件工程和系统管理。作者认为持久记忆、跨系统集成和特权访问扩大了攻击面。
• 现有不足：作者称多数防御只加固孤立接口，如护栏过滤、结构化查询分离提示与数据、偏好优化训练，以及注入检测。作者认为这些与生命周期级保证基本正交，难以处理跨时间的多阶段攻击。
• 观察：作者把生命周期分为初始化、输入、推理、决策、执行，并认为间接提示注入、技能供应链污染、记忆投毒和意图漂移会沿阶段复合。
• 本文做法：提出对齐这五阶段的分析框架，用 OpenClaw 案例讨论威胁，并整理插件审查、指令过滤、记忆完整性校验、意图核验和能力强制。
• 威胁模型：
  • 目标：计算有界对手，追求数据渗出、提权，或操纵决策。
  • 知识：推理时无白盒（梯度或隐状态）；不能绕过主机级密码学认证，也不能攻破 TCB。
  • 能力：External Content Attacker 只经恶意网页、API 响应或文件；Supply Chain Attacker 分发木马插件、破坏社区仓库或操纵外部工具；Malicious Tenant 是已授权恶意用户，试图逃出隔离、访问跨租户记忆或执行未授权命令。
  • 边界：TCB 含智能体内核、硬件、宿主 OS、标准密码学原语、推理基础设施和基础模型权重。权重投毒、模型抽取、对抗前缀优化、硬件侧信道、网络层拒绝服务和带外社工排除。重点是不可信外部交互（第 3 节）。

自主智能体架构

• Park et al.（2023）的生成式智能体被用来划分五阶段；RAG、Chain-of-Thought 和 ReAct 被当作检索、推理和工具规划的技术来源。
• OpenClaw（Steinberger 等，2026）是分析对象：kernel–plugin 架构，pi-coding-agent 负责记忆、规划和执行编排，插件扩展能力。
• 论文只把该架构当作信任边界扩大的来源，没有把它和别的智能体框架做实验对比。

攻击与经验审计

• 间接提示注入来自 Greshake et al.（2023）、Liu et al.（2025）和 AgentVigil（2025）；记忆侧引用 MemoryGraft（2025）与 Sunil et al.（2026）；目标劫持引用 Deng et al.（2026）；context drift 引用 Dongre et al.（2025）。
• Liu et al.（2026）审计社区技能；Chen et al.（2026）做 Clawdbot/OpenClaw 的轨迹安全审计；Wang et al.（2026）讨论把 OpenClaw 从助手变成双重代理。
• 论文明确说 AgentDojo（2024）和 ASB（2025）主要刻画攻击，而不是做实时缓解；并称常规沙箱可被绕过（Bors，2026；Zou et al.，2025）。

点状防御

• 输入侧包括护栏（Dong et al.，2024；Wang et al.，2026 的 DataFilter）、StruQ（2025）、SecAlign（2025）、DataSentinel（2025）、PISanitizer（2025）和 PromptArmor（2025）。论文称它们多假设无状态、单轮交互，间接注入仍未充分缓解。
• AegisAgent（2025）、A-MemGuard（2025）、BlindGuard（2025）和 AGrail（2025）被作者用来说明自主检测、持续记忆防护、运行时意图核验或自适应强制可行，但尚未并入 OpenClaw 的全生命周期防御。
• 初始化侧的插件审查、静态分析和社区声誉（Chen et al.，2026；Liu et al.，2026）被作者批评为假设初始状态可信，挡不住部署后更新或恶意配置变化（并引用 AGrail）。

基线与基准 论文没有运行对比基线，也没有在 AgentDojo 或 ASB 上报告分数。这两个环境只在讨论中被点名为偏攻击刻画的评测框架。

作者把本文定位成：按完整生命周期组织 OpenClaw 的复合风险，并考察各阶段防御与跨阶段缺口，而不是再提出一次单接口攻击或单点过滤。

作者用 五层纵深防御 对齐 OpenClaw 的五阶段生命周期，主张单接口点防御挡不住跨阶段传播，例如恶意提示先污染持久记忆、再触发未授权调用。

问题设定与设计原则

• 架构：pi-coding-agent 是最小 TCB，管记忆、任务规划和执行编排；插件生态扩展能力。作者称动态加载缺少严格完整性校验、对外部 API 有隐含信任，代码生成时又有宿主特权。
• 目标：Integrity 把用户指令与不可信数据隔开；Confidentiality 保护凭证、会话令牌和长期记忆，防止经看似合法的 API 渗出；Availability 隔离被攻破插件、沙箱执行并剪除被投毒上下文，同时避免无限推理循环和语义拒绝服务。
• 三原则：Complete Lifecycle Mediation，凡能改变状态或行为的接口都要设防；Defense-in-Depth，叠词法、语义和系统级检查；Least Privilege with Provenance Tracking，用元数据标签或信息流控制把输入的信任等级往后传。
• 不变量：作者提出，不可信输入、状态变更或合成计划，须先满足对应阶段的安全谓词，才能影响外部环境。图 6 图注称每层执行不同安全目标，并把经密码学或语义核验的上下文传给相邻层。

五阶段威胁

• 初始化：恶意或有漏洞插件、技能冒充合法能力、凭证泄露，以及关闭插件签名校验或执行沙箱。作者引用 Liu et al. 的审计，称社区贡献工具中约 26% 含各类安全漏洞。
• 输入：间接提示注入、系统提示抽取、恶意文件解析。作者称外部内容里的指令可在用户不再点击的情况下改写控制流；媒体摄入和归档解压的弱点可被用来读敏感文件或越出沙箱。
• 推理与决策：记忆投毒把一次写入变成后续会话的行为约束；作者称 context drift 即使没有明确对抗操纵也可能偏离。决策阶段包括目标劫持、工具选择操纵和对齐策略绕过；作者称含糊指令在良性条件下也可能触发意图漂移。
• 执行：高风险命令、提权、数据渗出和横向移动。作者称恶意行为常被拆成单步看似良性的链，到最后一步才触发。附录 A–E 给出案例，这里不复述载荷。

初始化与输入防御

• 初始化：对外部模块做 AST 和污点分析，检查未授权动态执行、凭证收集和异常网络套接字；核验技能的声明元数据、行为嵌入与可执行逻辑是否一致，并用签名 SBOM 绑定来源；按部署策略校验 RBAC、API 范围和记忆限制。通过后发出 Trusted Execution Manifest，作者称最好锚定在 TEE，供后续审计。
• 输入：系统提示视为高特权，外部检索视为低特权，可用密码学 token 标记或注意力掩码处理冲突。语义防火墙用辅助的微调轻量模型做意图分类，标出不该出现的指令性内容或内部工具调用意图。论文未说明该辅助模型名称。处置从删改到隔离。

推理、决策与执行防御

• 推理：写入向量库前检查矛盾、策略违反或潜伏指令；读写按多租户隔离。用 Merkle 树做已校验状态的检查点，异常时回滚。cross-encoder 比较当前工作上下文与冻结的原始系统提示。论文未给出距离阈值。作者称 OpenClaw 目前没有持续监测合法上下文被逐步颠覆。
• 决策：约束解码（论文举例 JSON schema）保证句法；符号或形式化引擎检查硬不变量，论文举例某目录数据不得流向某网络端口。独立核验模型看子目标是否引入寄生目标。论文未说明核验模型名称。高风险计划被描述为会挂起并反馈策略引擎。作者称 OpenClaw 缺少持续核验计划与用户目标是否一致的机制。
• 执行：按假设已被突破来设计。eBPF、seccomp 和容器限制系统调用、文件 I/O 和出站流量；轨迹监测 living-off-the-land、延迟执行和资源耗尽；能做原子事务则在可逆环境中执行，事后可回滚。不可逆或高权限操作走 Human-in-the-Loop，向人展示来源和风险评估。
• 覆盖表：Table 1 用勾和叉标作者认为哪一层缓解哪类威胁。纯文本转换后列可能错位，这里不逐格转写。

实验设置

• 对象：OpenClaw。论文未说明案例所用底层 LLM 的名称或版本。
• 材料：第 4 节按五阶段各给一组案例，细节在附录 A–E，图 1–5 与图 7–12 配效果。不是公开基准上的批量测试。
• 引用审计：Liu et al. [17] 称社区贡献工具约 26% 含各类安全漏洞。这不是本文的抽样。
• 指标：论文未定义 ASR，未写评审模型、阈值、样本量或重复次数。
• 防御矩阵：Table 1 是设计覆盖标记，不是拦截率。
• 对照：论文未报告与 AgentDojo、ASB 或既有防御的并列分数。

主结果

表格较宽，可左右滑动

阶段	证据	作者报告的现象	定量指标
初始化	图1，附录A	良性请求触发被注入 skill，输出由攻击者控制	未报告
输入	图2，附录B	检索内容中的嵌入指令覆盖用户请求	未报告
推理	图3，附录C	注入的记忆规则使后续会话拒绝良性请求	未报告
决策	图4，附录D	检查请求演变为未授权配置更改与服务重启，系统不可访问	未报告
执行	图5，附录E	隐蔽组装的脚本链导致资源耗尽与服务中断	未报告

• 作者把这些案例当作威胁可以沿生命周期落地的证据，并称点状防御处理不了跨阶段传播。
• 第 4.3–4.4 节作者称，context drift 可以没有明确对抗输入；含糊指令在良性条件下也可能把局部合理的工具调用推向越权结果。
• 约 26% 出自被引的技能审计，不能当成上表案例的发生率。

案例中的防御讨论

• 附录 A–E 用同一批案例讨论对应层会如何处理：技能的声明与行为不一致则拒绝、输入按段隔离、记忆写入校验并可回滚、计划级意图核验、在多步轨迹上拦截最终触发。作者用会拒绝或可以阻断来写，论文未报告实现、拦截次数或误拒。
• 附录 D：一次配置写入因目标路径在允许的工作区根之外被挡住；作者称随后的进程终止仍使网关断开，WebUI 不可访问（图 4）。
• 附录 E：作者称触发后资源消耗从近空闲基线升至满饱和，并造成网关断开。图 12 图注为 CPU Utilization Surge。论文未给出百分比。

既有防御的阶段判断

• 第 5.2 节作者称：静态插件审查抓不住部署后被武器化的组件；输入防御多假设单轮，个体良性输入跨轮累积仍可能触发恶意行为；推理侧缺持续记忆监测；决策侧缺计划与用户目标的持续核验；常规沙箱可被绕过，且缺行为监测和安全回滚。
• 跨阶段上，作者称输入清洗在初始化已被攻破时会失效，执行沙箱也不能补救先前被投毒的记忆。
• Table 1 把上述判断收成层级覆盖表。文本列可能错位，不转写具体勾叉。

其他消融与分析

论文未报告消融、参数扫描或重复实验。

作者指出的局限与后续方向

• 仍有挑战（第 7.2 节）：作者写生命周期感知防御只是基础，若干挑战仍在，应对更复杂的对抗威胁还要继续研究。
• 硬件信任根（第 7.2 节）：作者提出用 TEE–GPU 协同或边缘侧 Arm TrustZone 执行关键组件和记忆参数，把信任清单和记忆校验迁入这些环境，以降低计算与延迟开销，并建立硬件信任链。
• 自适应策略（第 7.2 节）：作者提出不要只靠静态配置的毒性或上下文漂移阈值，而用强化学习按任务复杂度和环境不确定性调整各层敏感度。作者认为这样可能更好平衡任务效用与安全控制。
• 机制统一（第 5.2 节）：作者写后续应把动态记忆防护、自适应护栏、自主提示注入防御和系统级监测统一成可操作框架，以应对时间性、组合性和面向记忆的威胁。第 6 节给出的是设计整理，第 7.2 节仍把硬件化与自适应策略留作研究。

实验覆盖范围

• 案例对象是 OpenClaw，对应第 4 节五个阶段；附录 A–E 分别展开技能投毒、间接提示注入、记忆投毒、意图漂移和高风险命令执行。
• 第 3 节定义 External Content Attacker、Supply Chain Attacker 和 Malicious Tenant，并写明 TCB 与排除的攻击类型。
• Table 1 是五层对生命周期威胁类别的设计覆盖表；第 6 节按层写插件审查、输入过滤、记忆完整性、意图核验和执行隔离。
• 论文未报告案例所用 LLM、语义防火墙辅助模型和决策核验模型的名称，也未报告样本量、重复次数、查询预算、攻击成功率、拦截率、效用下降或延迟。
• 第 5.2 节逐阶段讨论了插件静态审查、输入护栏与结构化分离、记忆监测、决策核验和常规沙箱；论文未报告作者实现这些防御后的对照实验。

这是对 OpenClaw 的生命周期威胁分析，并配套一套分层缓解设计。

要处理的问题是：自主智能体把即时通讯、持久记忆、第三方插件和高权限执行连在一起之后，攻击不再限于单轮越狱，而会跨初始化到执行的多个阶段复合。作者认为只加固单个接口的防御，挡不住这种跨时间攻击。

方法上，威胁与防御共用五阶段划分。防御三原则是全周期中介、异质控制叠层、最小权限并传递来源。初始化做插件与配置核验并发出信任清单；输入区分高特权指令和低特权外部数据；推理校验记忆写入并检测语义漂移；决策核验计划是否偏离授权目标；执行用内核级能力限制、轨迹监测和人工确认兜底。

作者给出的证据是定性案例，没有成功率。图 1 中良性请求被恶意 skill 接管；图 2 中检索内容改写任务；图 3 中伪造记忆规则在后续会话拒绝良性请求；图 4 中检查请求走到未授权改动并使系统不可访问；图 5 中分步命令链造成资源耗尽和服务中断。文中「约 26%」是 Liu et al. 的技能审计结果，不是这批案例的统计。Table 1 只标设计覆盖。

作者的结论是：现有缓解仍然碎片化，需要生命周期感知的纵深架构，避免单点失败。他们把 TEE 一类硬件原语和自适应阈值留作后续研究。