AI agents like OpenClaw could drain crypto wallets via ‘malicious skills’: CertiK
安全風險與惡意技能
CertiK 研究人員發現，OpenClaw 的「Skill 掃描」與 AI 基礎審核機制可被惡意第三方擴充套件繞過，導致潛在安全漏洞。
惡意技能的實際影響
已有超過 386 個惡意擴充套件被發現，這些技能會在用戶裝載時，執行資訊竊取惡意軟體，針對加密貨幣帳戶進行攻擊。
部分惡意技能並未直接包含惡意程式碼，而是透過指令讓 OpenClaw AI 代理下載並執行外部檔案，進而導致系統被感染。
攻擊手法與目標
- 攻擊者利用 GitHub 偽冒帳號，以「提供 $5,000 不存在的 CLAW 帳戶」為誘餌，誘導開發者點進惡意網站。
- 惡意技能透過社會工程學手法，針對 Windows 與 macOS 使用者進行擴散。
- 這些惡意技能被設計用於竊取登入憑證、安裝後門，以及資料外洩。
專家建議
CertiK 明確建議一般使用者（非安全專業人員、開發者或經驗豐富的技術愛好者）應避免安裝與使用 OpenClaw，以降低遭攻擊風險。
來源：https://cointelegraph.com/news/ai-agent-openclaw-security-risk-certik