详细内容或原文请订阅后点击阅览
DIY AI 机器人农场 OpenClaw 是安全“垃圾箱之火”
你自己的贾维斯。一个聆听你祈祷的机器人。一个关心的机器人。 OpenClaw 不仅仅是为了确保您的安全，人工智能驱动的个人助理用户通过消息应用程序进行交互，有时还会将其凭据委托给各种在线服务，这引发了一波恶意软件，并产生了一些令人震惊的账单。
来源:The Register _恶意软件OpenClaw 是人工智能驱动的个人助理，用户通过消息应用程序进行交互，有时将其凭据委托给各种在线服务，引发了一波恶意软件浪潮，并产生了一些令人震惊的账单。
就在上周，OpenClaw 还被称为 Clawdbot，其开发人员在确定新名称之前将其更改为 Moltbot。
该项目基于 Pi 编码代理，于 11 月启动。它最近吸引了西蒙·威利森（Simon Willison）和安德烈·卡帕蒂（Andrej Karpathy）等拥有大量社交媒体粉丝的开发人员的注意，导致受欢迎程度激增，研究人员和用户很快就发现了严重的缺陷。
过去三天，该项目共发布了三个高影响安全公告：一个一键远程代码执行漏洞、两个命令注入漏洞。
此外，Koi Security 还发现了 341 个提交到 ClawHub 的恶意技能（OpenClaw 扩展），ClawHub 是一个已存在约一个月的 OpenClaw 技能存储库。安全研究员 Jamieson O'Reilly 详细介绍了对 ClawHub 上发布的技能进行后门是多么简单。社区运行的威胁数据库 OpenSourceMalware 还发现了一种窃取加密货币的技能。
毛里求斯安全机构 Cyberstorm.MU 也发现 OpenClaw 技能存在缺陷。该小组为 OpenClaw 的代码做出了贡献，该承诺将使 TLS 1.3 成为该项目用于与外部服务通信的网关的默认加密协议。
与安全相关的开放问题列表也可能引起一些担忧，更不用说相关的、vibe 编码的 Moltbook 项目的暴露数据库了，该项目是作为人工智能代理的社交媒体平台呈现的。一家名为 ZeroLeaks 的初创公司最近使用人工智能软件 [PDF] 进行的安全扫描并没有完全激发人们的信心，尽管这些说法尚未得到人类安全专家的验证。