OpenClaw爆火之后，AI迈入“黑暗森林”时代
作者： 发布时间：2026-03-11 14:00:36 浏览量：
电子发烧友网报道（文/黄山明）近期，一款在全球开发者社区和科技圈现象级爆火的开源AI智能体（AIAgent）框架火出了圈，它被用户亲切地称为“数字龙虾”或“全能管家”，这就是OpenClaw。这并不是一款单纯的聊天机器人，而是一个真正能够帮助我们执行具体任务的助手。
也因此，OpenClaw在GitHub上的星标数在短短3个月内从0飙升至25万以上，超越了Linux内核和React的历史增速，成为GitHub史上增长最快的项目。但也正是由于OpenClaw的出现，催生了大量的“恶意仿冒项目”和“寄生攻击”，这些恶意项目不仅难以识别，并且一旦中招，破坏力远超传统病毒。这也让AI正式进入到“黑暗森林”时代。
OpenClaw爆火之后
OpenClaw作为一款开源的AI Agent，其作者为知名开发者PeterSteinberger，也是PSPDFKit的作者，曾用名Clawdbot、Moltbot。与其他的AIAgent不同的是，OpenClaw可以操作浏览器、读写文件、执行系统命令、调用API，并通过WhatsApp、Telegram、飞书等聊天软件接收指令和汇报结果。
这种能够切实帮助人们进行操作而非只是提供建议的能力，让普通用户第一次感受到AI真的能够替自己干活。
更重要的是，在如今数据隐私日益敏感的今天，OpenClaw的完全开源与本地化部署能力可以让用户完全放心。因此代码完全开放，也可以直接部署在个人电脑、NAS或私有服务器中，同时数据完全自主可控，不会上传到第三方云端，与Claude、ChatGPT等“黑盒”服务形成鲜明对比。
当然，最关键的一点是，这款AI直接接管了执行权。例如需要修改代码BUG，原来的方式是将代码投喂给AI，让AI进行修改，然后再将代码复制回来。如今只需要打开OpenClaw，对它说“修复这个BUG”，它就可以代替用户直接在电脑上改好。
与此同时，OpenClaw是完全免费开源的项目，配合本地运行的低成本模型，提供了一种“去中心化”的替代方案，让每个人都可以拥有自己的AI Agent。
也正是因为开源，全球的开发者为OpenClaw开发了成千上万个插件，覆盖了从“自动抢票”到“量化交易”等各种场景。并且在社交媒体上也充斥着各种OpenClaw自动操作电脑的短视频，例如全自动写论文、全自动炒股分析等，这种直观的视觉冲击极大地推动了传播。
有意思的是，其制作者PeterSteinberger在今年2月份宣布加入OpenAI，但OpenClaw将会以基金会形式继续作为开源项目而存在。
不过也正是因为开源，OpenClaw天然就存在一定的风险，Microsoft安全博客直接把OpenClaw的这种带动用户操作的行为定义为：可以加载来自外部的代码，用授予它的凭据去操作本地和云资源，本质上就是“带持久凭据的不可信代码执行”。
也就是说，OpenClaw可以拥有高权限，以及可动态加载外部的代码，因此一旦被恶意利用，危害非常大。并且这种危害，已经开始显现。
AI应用迈入“黑暗森林”时代
OpenClaw的爆火催生了官方维护的Skills（技能包）市场ClawHub，用户可以在这里下载各种Skills来实现自己想要的功能，到2026年初，ClawHub已经有上万个Skill。
但到今年2月，安全团队KoiSecurity发现大量恶意Skill，将攻击命名为ClawHavoc，也被译为“利爪浩劫”。据相关统计，历史ClawHub上至少出现过1184个恶意Skill，截至报告时，ClawHub平台仍有3498个Skills，其中相当一部分是“垃圾/重复包装”，恶意比例显著。
这些恶意的Skills会在SKILL.md或脚本中插入“虚假安装步骤”，诱导用户执行curl/wget等命令，从攻击者服务器下载恶意二进制文件。如果在macOS上下载并运行Atomic macOS Stealer （AMOS）木马病毒，则会被窃取浏览器会话、SSH密钥、云账户密码、加密货币钱包等信息。
而针对Windows用户，黑客则分发伪造的“OpenClaw_x64.exe”文件，在内存中静默运行Vidar窃密程序以盗取账号数据，并植入GhostSocks木马将受害者电脑变成黑客的跳板节点。
科技媒体BleepingComputer报道，为了引导用户下载到这些恶意程序，黑客们利用了微软Bing的AI增强搜索功能中的BUG，将其搜索结果引导至托管在GitHub上的虚假OpenClaw安装程序。
据AuthMind报道，近期还出现了伪造的“ClawdBot Agent”VS Code扩展，实际是窃取凭证的恶意软件。研究人员Jamieson O’Reilly发现大量OpenClaw实例暴露在互联网，并泄露明文API Key、Bot Token、OAuth凭证和对话历史，被攻击者利用。
传统的电脑病毒通常会尝试注入奇怪的代码、连接未知的IP、修改系统文件，容易被杀毒软件特征库拦截。但OpenClaw的恶意项目识别难度却呈指数级上升，这是因为OpenClaw的核心设计特性本身就具有攻击性，具备高系统权限、自主决策、持久化运行等。
因此即便使用到了恶意的Skill，它所有的操作本质上都是用户授权去给AI做的。也就是当恶意插件删除你的文件时，在系统日志里看来，这就是“用户通过OpenClaw执行了删除命令”。
并且恶意逻辑不再写死在代码里，而是通过自然语言动态生成，攻击者可以使用另一个AI不断变异恶意提示词，使得每一次攻击的代码表现都不一样。传统的基于“特征码”的杀毒软件完全失效。恶意指令还可能隐藏在图片、PDF甚至音频文件中，只有当OpenClaw的多模态模型解析这些文件时，隐藏的指令才会被激活。
加上OpenClaw主打“本地优先”，流量不出内网，传统的网络防火墙和云端威胁情报系统无法监测到内部的异常数据流转。恶意行为发生在用户的封闭的本地环境中，除非用户实时监控每一个系统调用，否则很难察觉。
因此如果使用OpenClaw，这里给出几个建议。尽量不要在个人工作机或生产环境直接运行，只在隔离的虚拟机或专用物理机里运行，使用最小权限账户。
同时严格限制Skills的安装来源，如果需要安装Skill，需要仔细阅读SKILL.md和脚本内容，警惕任何要求你执行curl/wget、输入密码或关闭安全软件的步骤。
绝不要给OpenClaw及其Skills高权限云账号/生产密钥，避免把AWS/GitHub/生产数据库凭证暴露给OpenClaw或第三方Skill。确保绑定在127.0.0.1，不要监听公网；必要时在前端再加一层反向代理和认证，达到网络层严格隔离。
总结
OpenClaw本身是一个有创意的开源个人AI助手，但它的高权限与开放生态，在爆火之后迅速成为攻击目标，官方Skills市场、安装包分发、搜索结果和VS Code扩展等多个环节都出现了大量恶意项目。甚至打开了“自动化攻击”的潘多拉魔盒。恶意项目不再是简单的破坏代码，而是利用AI的执行力和社会工程学技巧，让攻击变得更具隐蔽性和破坏力。
这使得识别恶意AI项目从单纯的“代码扫描”问题，演变成了复杂的“意图识别”和“行为审计”问题。对于普通用户来说，现在的风险不仅是下载到病毒，更是“被自己信任的AI助手背叛”。
也因此，OpenClaw在GitHub上的星标数在短短3个月内从0飙升至25万以上，超越了Linux内核和React的历史增速，成为GitHub史上增长最快的项目。但也正是由于OpenClaw的出现，催生了大量的“恶意仿冒项目”和“寄生攻击”，这些恶意项目不仅难以识别，并且一旦中招，破坏力远超传统病毒。这也让AI正式进入到“黑暗森林”时代。
OpenClaw爆火之后
OpenClaw作为一款开源的AI Agent，其作者为知名开发者PeterSteinberger，也是PSPDFKit的作者，曾用名Clawdbot、Moltbot。与其他的AIAgent不同的是，OpenClaw可以操作浏览器、读写文件、执行系统命令、调用API，并通过WhatsApp、Telegram、飞书等聊天软件接收指令和汇报结果。
这种能够切实帮助人们进行操作而非只是提供建议的能力，让普通用户第一次感受到AI真的能够替自己干活。
更重要的是，在如今数据隐私日益敏感的今天，OpenClaw的完全开源与本地化部署能力可以让用户完全放心。因此代码完全开放，也可以直接部署在个人电脑、NAS或私有服务器中，同时数据完全自主可控，不会上传到第三方云端，与Claude、ChatGPT等“黑盒”服务形成鲜明对比。
当然，最关键的一点是，这款AI直接接管了执行权。例如需要修改代码BUG，原来的方式是将代码投喂给AI，让AI进行修改，然后再将代码复制回来。如今只需要打开OpenClaw，对它说“修复这个BUG”，它就可以代替用户直接在电脑上改好。
与此同时，OpenClaw是完全免费开源的项目，配合本地运行的低成本模型，提供了一种“去中心化”的替代方案，让每个人都可以拥有自己的AI Agent。
也正是因为开源，全球的开发者为OpenClaw开发了成千上万个插件，覆盖了从“自动抢票”到“量化交易”等各种场景。并且在社交媒体上也充斥着各种OpenClaw自动操作电脑的短视频，例如全自动写论文、全自动炒股分析等，这种直观的视觉冲击极大地推动了传播。
有意思的是，其制作者PeterSteinberger在今年2月份宣布加入OpenAI，但OpenClaw将会以基金会形式继续作为开源项目而存在。
不过也正是因为开源，OpenClaw天然就存在一定的风险，Microsoft安全博客直接把OpenClaw的这种带动用户操作的行为定义为：可以加载来自外部的代码，用授予它的凭据去操作本地和云资源，本质上就是“带持久凭据的不可信代码执行”。
也就是说，OpenClaw可以拥有高权限，以及可动态加载外部的代码，因此一旦被恶意利用，危害非常大。并且这种危害，已经开始显现。
AI应用迈入“黑暗森林”时代
OpenClaw的爆火催生了官方维护的Skills（技能包）市场ClawHub，用户可以在这里下载各种Skills来实现自己想要的功能，到2026年初，ClawHub已经有上万个Skill。
但到今年2月，安全团队KoiSecurity发现大量恶意Skill，将攻击命名为ClawHavoc，也被译为“利爪浩劫”。据相关统计，历史ClawHub上至少出现过1184个恶意Skill，截至报告时，ClawHub平台仍有3498个Skills，其中相当一部分是“垃圾/重复包装”，恶意比例显著。
这些恶意的Skills会在SKILL.md或脚本中插入“虚假安装步骤”，诱导用户执行curl/wget等命令，从攻击者服务器下载恶意二进制文件。如果在macOS上下载并运行Atomic macOS Stealer （AMOS）木马病毒，则会被窃取浏览器会话、SSH密钥、云账户密码、加密货币钱包等信息。
而针对Windows用户，黑客则分发伪造的“OpenClaw_x64.exe”文件，在内存中静默运行Vidar窃密程序以盗取账号数据，并植入GhostSocks木马将受害者电脑变成黑客的跳板节点。
科技媒体BleepingComputer报道，为了引导用户下载到这些恶意程序，黑客们利用了微软Bing的AI增强搜索功能中的BUG，将其搜索结果引导至托管在GitHub上的虚假OpenClaw安装程序。
据AuthMind报道，近期还出现了伪造的“ClawdBot Agent”VS Code扩展，实际是窃取凭证的恶意软件。研究人员Jamieson O’Reilly发现大量OpenClaw实例暴露在互联网，并泄露明文API Key、Bot Token、OAuth凭证和对话历史，被攻击者利用。
传统的电脑病毒通常会尝试注入奇怪的代码、连接未知的IP、修改系统文件，容易被杀毒软件特征库拦截。但OpenClaw的恶意项目识别难度却呈指数级上升，这是因为OpenClaw的核心设计特性本身就具有攻击性，具备高系统权限、自主决策、持久化运行等。
因此即便使用到了恶意的Skill，它所有的操作本质上都是用户授权去给AI做的。也就是当恶意插件删除你的文件时，在系统日志里看来，这就是“用户通过OpenClaw执行了删除命令”。
并且恶意逻辑不再写死在代码里，而是通过自然语言动态生成，攻击者可以使用另一个AI不断变异恶意提示词，使得每一次攻击的代码表现都不一样。传统的基于“特征码”的杀毒软件完全失效。恶意指令还可能隐藏在图片、PDF甚至音频文件中，只有当OpenClaw的多模态模型解析这些文件时，隐藏的指令才会被激活。
加上OpenClaw主打“本地优先”，流量不出内网，传统的网络防火墙和云端威胁情报系统无法监测到内部的异常数据流转。恶意行为发生在用户的封闭的本地环境中，除非用户实时监控每一个系统调用，否则很难察觉。
因此如果使用OpenClaw，这里给出几个建议。尽量不要在个人工作机或生产环境直接运行，只在隔离的虚拟机或专用物理机里运行，使用最小权限账户。
同时严格限制Skills的安装来源，如果需要安装Skill，需要仔细阅读SKILL.md和脚本内容，警惕任何要求你执行curl/wget、输入密码或关闭安全软件的步骤。
绝不要给OpenClaw及其Skills高权限云账号/生产密钥，避免把AWS/GitHub/生产数据库凭证暴露给OpenClaw或第三方Skill。确保绑定在127.0.0.1，不要监听公网；必要时在前端再加一层反向代理和认证，达到网络层严格隔离。
总结
OpenClaw本身是一个有创意的开源个人AI助手，但它的高权限与开放生态，在爆火之后迅速成为攻击目标，官方Skills市场、安装包分发、搜索结果和VS Code扩展等多个环节都出现了大量恶意项目。甚至打开了“自动化攻击”的潘多拉魔盒。恶意项目不再是简单的破坏代码，而是利用AI的执行力和社会工程学技巧，让攻击变得更具隐蔽性和破坏力。
这使得识别恶意AI项目从单纯的“代码扫描”问题，演变成了复杂的“意图识别”和“行为审计”问题。对于普通用户来说，现在的风险不仅是下载到病毒，更是“被自己信任的AI助手背叛”。