【資安週報】0126~0130，開源AI代理Clawdbot竄紅，不當配置的風險引發高度關注
開源AI代理Clawdbot迅速竄紅，引發開發者社群熱議
這一星期，開源AI代理專案Clawdbot（現更名為OpenClaw）在開發者社群迅速竄紅，吸引大量使用者自行架設與使用，然而其快速擴張也伴隨嚴重的資安風險。
多數系統因不當配置導致公開暴露，攻擊者可輕易接管
資安專家與研究員指出，大量Clawdbot部署因錯誤配置而暴露於公開的網際網路，導致攻擊者可無需認證即存取系統，甚至可能完全接管整套AI代理系統。
例如，有研究員發現數百個ClawdBot控制伺服器直接暴露在互聯網上，且18789埠對外開放且無登入保護，使API Key與聊天紀錄完全裸露，構成嚴重隱私與安全風險。
專家警告：預設設定存在嚴重安全漏洞
針對Clawdbot的預設設定，資安機構已發出緊急提醒，指出其預設設定存在嚴重風險，建議使用者立即修改設定檔，並加強系統認證與防火牆規則。
相關風險已引發產業關注與應對措施
- Fortinet等資安公司已針對Clawdbot相關漏洞發布安全警訊。
- 網宿科技推出AIAgent原生防護，以應對因配置不當引發的風險。
- 透過AI-Infra-Guard等工具掃描發現，大量Clawdbot服務存在未經鑑權即可存取的漏洞。
此事件凸顯即使開源專案具有強大功能，若缺乏正確的配置與使用者教育，仍可能引發重大資安事件。