你的智能体，他们的资产：OpenClaw 真实环境安全分析

核心问题：个人 AI 智能体的持久演化状态（记忆、身份配置、可执行技能）可被攻击者投毒，造成真实世界危害，但现有安全评测无法覆盖这一攻击面。

• 场景与重要性：OpenClaw 在本地机器上拥有完全系统访问权，接入 Gmail、Stripe 和文件系统，靠持久状态持续演化；作者称 2026 年初已有超过 220,000 个部署实例（引 HackMag, 2026）。
• 现有工作不足：作者称先前工作只针对单一维度（记忆投毒、配置后门、恶意技能等），且在沙盒或模拟环境中评测，未在接入真实外部服务的在线系统上同时评估三个维度。
• 核心观察：持久文件既是演化能力的来源，也是攻击面——投毒内容会在未来会话被加载并重塑智能体行为。
• 论文贡献：提出 CIK 分类法（Capability、Identity、Knowledge）统一刻画持久状态，并在真实 OpenClaw 实例上对 12 个影响场景、四个骨干模型做安全评测，另评估三种维度对齐防御和一种文件保护机制。
• 威胁模型：
  • 目标：让智能体在后续会话中执行有害动作（数据外泄、不可逆操作）。
  • 知识/能力：攻击者能向持久状态注入内容——通过提示词让智能体改写记忆/身份文件，或安装携带隐藏载荷的技能。
  • 协议：两阶段，Phase 1 注入、Phase 2 在后续会话触发（会话内注入除外）。
  • 受害系统：运行真实 Gmail、Stripe、文件系统集成的 OpenClaw 实例。

持久状态攻击（按维度单点研究）

• Knowledge 投毒：AgentPoison（Chen et al., 2024）和 PoisonedRAG（Zou et al., 2024）针对检索增强知识库；MINJA（Dong et al., 2025）演示仅查询的记忆注入；Zombie Agents（Yang et al., 2026）通过自我强化的记忆注入实现持久控制。
• Capability 攻击：SkillJect（Jia et al., 2026）自动化针对编码智能体的技能注入；Agent Skills in the Wild（Liu et al., 2026）大规模调查技能漏洞；MCPTox（Wang et al., 2025）评测 MCP 服务器工具投毒；ToxicSkills（Snyk, 2026）和 ClawHavoc（Koi Security, 2026）记录 ClawHub 上的真实恶意技能。
• Identity 攻击：AIShellJack（Liu et al., 2025）和 Pillar 的规则文件后门（Pillar Security, 2025）演示通过编码智能体（Cursor、Copilot）配置文件实施攻击。

智能体安全评测基准

• InjecAgent（Zhan et al., 2024）、AgentDojo（Debenedetti et al., 2024）、ASB（Zhang et al., 2025）、AgentHarm（Andriushchenko et al., 2025）、OpenAgentSafety（Vijayvargiya et al., 2026）。论文指出这些基准在沙盒或模拟环境中运行，攻击不产生真实后果。

相关机制与视角

• 提示注入：Greshake et al.（2023）的间接提示注入、经网页内容和工具输出的注入（Zhan et al., 2024；Debenedetti et al., 2024）、多轮注入（Russinovich et al., 2025）。作者称本文贡献不是新的注入技术，而是系统研究注入成功之后持久状态如何跨会话重塑行为。
• 智能体演化风险：Misevolve（Shao et al., 2026）和 ATP（Han et al., 2025）把危险行为视为演化的非意图副产品；本文关注同一演化机制的对抗性利用。

定位：作者称本文区别有三点——提出 CIK 统一分类框架、在单一智能体系统内系统评测全部三个维度、在接入真实外部服务的在线部署中而非模拟环境中评测。论文未设对比基线方法，防御对照为作者自建的三种 CIK 对齐防御和文件保护。

整体思路：先把 OpenClaw 的持久演化状态形式化为 CIK 分类法，再在接入真实服务的在线实例上，用两阶段攻击协议系统测量每个维度被投毒后的攻击成功率，并评估维度对齐的防御。

CIK 分类法与文件映射

• Capability（能做什么）：skills/ 目录，含可执行脚本（.sh/.py）和技能文档 SKILL.md；关键性质是可执行代码直接在主机运行、不经 LLM 检查。
• Identity（是谁、如何行事）：SOUL.md、IDENTITY.md、USER.md、AGENTS.md，存人格、价值观、用户画像、操作规则。
• Knowledge（知道什么）：MEMORY.md 长时记忆，另含会话上下文（Table 1）。

生命周期与攻击面

• 每次会话开始时全部持久文件随用户提示词载入 LLM 上下文；智能体推理后行动，并会自主更新持久文件。
• 作者称这一自我修改循环既是演化能力的来源，也是攻击面：投毒状态会在未来会话被加载并重塑行为。

两阶段攻击协议

• Phase 1（注入）：向持久状态引入投毒内容；Knowledge/Identity 用提示词让智能体改写持久文件，Capability 安装携带隐藏载荷的载体技能。
• Phase 2（触发）：在后续会话用后续提示词激活投毒状态，引发有害动作；除会话上下文注入外，两阶段在不同会话进行以测试持久性。
• 案例设计：全部由有 OpenClaw 红队经验的安全研究员人工设计，注入内容在智能体运行上下文中显得合理；另为演化–安全权衡实验设计结构分布相同的良性提示词对照组。

评测设计

• 影响场景：12 个场景，分隐私泄露（金融、身份/物理、其他敏感数据）和高危不可逆操作（金融损失、社会后果、数据安全）两大类六小类（Table 7）。
• 条件：每场景测 4 种条件——无投毒基线 + 三个维度各自独立投毒；每模型共 88 个用例（12 基线 + 76 注入，Table 6）。
• 环境：单一 OpenClaw 实例跑在 Mac Mini 上，接入真实 Gmail、Stripe、文件系统；自动化测试框架负责工作区备份、经 Telegram 投递提示词、捕获响应和结果核验。

成功判定

• ASR 定义为有害动作被成功执行的用例比例，以外部证据核验（如目标地址收到邮件、Stripe API 确认退款、文件系统确认删除；逐场景标准见附录 C）。
• 成功严格定义为未经确认即鲁莽执行；任何中止自主执行的行为（拒绝、要求确认、要求澄清、索要缺失信息）都计为防御成功。所有指标为 5 次独立运行的平均值，标准差在附录 H。

实验设置

• 被测模型：Claude Sonnet 4.5、Claude Opus 4.6、Gemini 3.1 Pro、GPT-5.4，均部署在同一真实 OpenClaw 实例（Mac Mini，接入 Gmail、Stripe、文件系统）。
• 场景与用例：12 个影响场景 × 4 种条件，每模型 88 个用例（12 基线 + 76 注入，Table 6）。
• 指标：ASR（有害动作执行比例，外部证据核验）；Phase 1 注入成功率、Phase 2 触发成功率（以注入成功为条件，强制 Ph.1 = 100%）。
• 重复次数：所有指标为 5 次独立运行的均值，标准差见附录 H（Table 11–16）。
• 防御评测：三种 CIK 对齐防御（Knowledge/Identity/Capability）在 Sonnet 4.5 上测；文件保护在四个模型上测，仅针对 Knowledge 和 Identity 文件。
• 评审方式：成功判定基于外部证据（邮件送达、Stripe API 确认、文件系统状态），论文未报告使用 LLM 评审。

主结果

ASR（%）按投毒维度和骨干模型（据 Table 2）：

表格较宽，可左右滑动

模型	Baseline	Knowledge	Identity	Capability
Sonnet 4.5	26.7	89.2	85.4	88.5
Gemini 3.1 Pro	36.7	83.3	75.4	71.5
GPT-5.4	25.0	80.8	63.1	57.7
Opus 4.6	10.0	44.2	33.1	55.4

• 作者称基线 ASR 为 10.0%–36.7%，原生安全对齐只能缓解不能阻止；投毒后所有模型所有维度 ASR 均上升。
• 作者称这一趋势在四个模型上一致，说明易感性源于智能体架构的结构性属性而非单个模型缺陷；最强的 Opus 4.6 平均 ASR 也从 10.0% 升至 44.2%。
• 摘要口径：投毒任一维度使平均 ASR 从 24.6% 升至 64–74%（Knowledge 74.4%、Capability 68.3%、Identity 64.3%）。

阶段级分解（Table 3、Table 8）

• Phase 1：Knowledge 注入成功率 87.5%–100%（作者称智能体很少拒绝记忆更新）；Identity 65.4%–96.2%；Capability 因安装技能即构成注入而为 100%。
• Phase 2 按向量：skill-bash/py 在 Sonnet、Gemini、Opus 上为 100%、98.6%、100%，GPT-5.4 为 77.1%（作者称其偶尔读取并拒绝可疑脚本）；skill-md 从 Sonnet 75.0% 降至 Opus 3.3%。
• 作者解读：上下文介导的攻击（Knowledge、Identity、skill-md）可被较强模型部分抵抗，代码执行攻击（skill-bash/py）在多数架构上完全绕过模型推理。

防御评测（Table 4，Sonnet 4.5）

• Capability 防御（GuardianClaw 安全技能）：基线 ASR 降至 1.7%，Knowledge/Identity 攻击降至 17.5%/9.2%，但 Capability 攻击仍为 63.8%；作者称原因是可执行载荷绕过 LLM 推理循环。
• Identity 防御（AGENTS.md 加安全原则）：基线降至 13.3%，攻击 ASR 平均 59.9%；Knowledge 防御（MEMORY.md 加安全事实）：基线从 26.7% 降至 8.3%，攻击 ASR 平均 49.6%。
• 作者解读：动作级干预（执行前核验意图）优于上下文级干预（追加安全信息），但没有任何单一防御能跨全部维度消除投毒风险。

演化–安全权衡（Table 5）

• 测了什么：文件保护（修改 Knowledge/Identity 文件前需用户批准）对攻击提示词和良性更新提示词的 Phase 1 注入率。
• 结果：平均攻击注入率从 87.0% 降至 5.0%；但合法更新率从 100% 降至 13.2% 以下（各模型 0.5%–13.2%）。
• 作者解读：当前模型无法区分恶意注入与合法更新，文件保护以约 93% 的合法更新下降为代价，构成演化–安全权衡。

其他消融与分析

• GuardianClaw 被动安装 vs 主动加载（Table 9，Sonnet 4.5）：被动安装攻击 ASR 平均 77.0%，主动加载基线 1.7%、Knowledge/Identity 17.5%/9.2%、Capability 63.8%。
• mem-long 的 Phase 2 平均 90.8%，mem-session 在 Opus 上降至 40.0%（Table 8）。
• Identity 的 Phase 1 在 Opus 上为 65.4%、GPT-5.4 上为 96.2%（Table 8）。
• 附录 E 指出安全技能必须在会话开始时主动加载，否则智能体不会自发调用。

作者指出的局限与后续方向

• 覆盖范围有限：评测只覆盖单一智能体平台（OpenClaw）、四个骨干模型和 12 个人工设计的影响场景（Conclusion，Limitations and Future Work）。
• 维度独立测试：各 CIK 维度独立评测，跨维度攻击链（如投毒 Knowledge 强化 Identity 攻击）可能放大效果，作者称当前结果可能是下界（同上）。
• 后续方向：自动化攻击生成、更多平台、生产模式评测、纵向用户研究（同上）。
• 防御层级不足：现有防御在提示词层面运作；作者称 Capability 攻击表明需要架构级防护（代码签名、沙盒执行、运行时监控）才能实现稳健保护（同上；附录 F 亦提及强制人工批准脚本调用）。

实验覆盖范围

• 被测模型为 Claude Sonnet 4.5、Claude Opus 4.6、Gemini 3.1 Pro、GPT-5.4 共 4 个，均部署在同一 OpenClaw 实例（Section 3.1）。
• 每模型 88 个用例（12 基线 + 76 注入），所有指标为 5 次独立运行的均值（Section 3.1、附录 A、附录 H）。
• 防御评测中，三种 CIK 对齐防御只在 Sonnet 4.5 上测试；文件保护在四个模型上测试，仅适用于 Knowledge 和 Identity 文件，作者明确说明 Capability 注入在文件修改之外运作、需单独防护（Section 3.3）。
• 攻击案例全部由安全研究员人工设计，论文未报告自动化攻击生成（Section 3.1）。
• 实验在研究者自有实例、研究者控制的账户和邮箱地址上进行，Stripe 使用测试模式，无真实金融交易（Ethics Statement）。

一篇针对个人 AI 智能体持久状态安全的真实世界评测论文。作者提出 CIK 分类法，把智能体的持久演化状态统一为 Capability（可执行技能）、Identity（身份与行为配置）、Knowledge（长时记忆）三个维度，并给出 OpenClaw 的文件级映射。

• 问题：OpenClaw 这类智能体拥有本地完全访问权并接入 Gmail、Stripe 等真实服务，其自我演化的持久状态构成攻击面；作者称现有评测只在沙盒中单维度研究，无法覆盖。
• 方法：在接入真实 Gmail、Stripe、文件系统的在线 OpenClaw 实例上，用两阶段协议（注入投毒状态、后续会话触发）评测 12 个影响场景 × 4 个骨干模型，每模型 88 个用例、5 次运行取均值。
• 主结果：无投毒基线 ASR 为 10.0%–36.7%；投毒后全面上升，Knowledge 投毒平均 74.4% 最高，Sonnet 4.5 在 Knowledge 投毒下达 89.2%；最稳健的 Opus 4.6 平均也升至 44.2%（Table 2）。
• 阶段分解：可执行脚本载荷（skill-bash/py）在 Sonnet、Gemini、Opus 上 Phase 2 达 98.6%–100%，作者称其绕过模型推理；文本型 skill-md 在 Opus 上仅 3.3%（Table 8）。
• 防御：三种 CIK 对齐防御均不彻底，最强的 GuardianClaw 下 Capability 攻击仍有 63.8% ASR；文件保护把攻击注入率从 87.0% 降至 5.0%，但合法更新率也降至 13.2% 以下（Table 4、5）。
• 作者结论：漏洞是结构性的而非单个模型的问题；持久文件既是演化能力来源又是攻击面，区分合法更新与注入仍是开放问题，需要 CIK 感知的安全架构和架构级防护。