【安全资讯】逾13.5万个OpenClaw实例暴露于互联网，构成重大安全威胁

概要：

随着人工智能技术的普及，开源AI代理平台OpenClaw因其便捷性而迅速流行，但其安全性的严重缺失正引发一场全球性的网络安全危机。SecurityScorecard的STRIKE威胁情报团队近日发出警告，发现超过13.5万个OpenClaw实例直接暴露在互联网上，结合其已知的多个高危漏洞，这些实例已成为攻击者唾手可得的高价值目标，预示着一次大规模的系统性安全失败。

主要内容：

STRIKE团队的报告揭示，OpenClaw平台存在根本性的访问控制和身份安全问题。其默认网络配置绑定到`0.0.0.0:18789`，意味着安装后即监听所有网络接口，包括公共互联网，而非安全的本地主机地址。这种“开箱即用”的便利性部署和弱访问控制，为攻击者敞开了大门。

该平台的安全隐患是多方面的。其技能商店中充斥着恶意软件，近期已被分配了三个高风险CVE漏洞。更严重的是，其各种技能模块容易被破解，导致API密钥、信用卡号、个人身份信息等敏感数据泄露。攻击者一旦攻陷一个OpenClaw实例，就能获得该代理所能访问的一切资源。

威胁规模正在急剧扩大。STRIKE的实时威胁仪表板显示，易受远程代码执行漏洞影响的实例数量在报告发布后数小时内从约1.2万激增至超过5万个。同时，与已知威胁行为者IP地址关联的暴露实例数量也出现爆炸性增长，许多实例来自企业组织IP，而不仅仅是个人家庭系统。

专家警告，OpenClaw的设计本质就是为执行系统更改和向网络暴露服务，这本身就带来了固有风险。SecurityScorecard建议用户至少立即将绑定地址改为本地主机，并在虚拟机或隔离系统中进行严格测试和集成，充分评估其带来的数据与访问风险后再行部署。