OpenClaw 真实世界安全分析

对开放平台 AI Agent 进行系统性状态投毒攻击与防御评估 (2026-04)

概要

本文对 OpenClaw（一个开放生态的 AI Agent 平台）进行了系统性安全分析，提出 CIK（Capability-Identity-Knowledge）三维攻击模型，在四种主流 LLM 上评估状态投毒攻击，并提出 GuardianClaw 防御机制。研究发现可执行载荷攻击在所有模型上均达 77%+ 成功率，而上下文媒介攻击对更强模型的效果大幅下降。

Overview

攻击模型 CIK：将 Agent 持久化状态分为三个维度：

Knowledge（知识投毒）：在 MEMORY.md 中伪造事实或习惯，如伪造退款习惯导致未经授权的批量退款
Identity（身份投毒）：在 AGENTS.md 中植入信任锚点，如植入虚假 owner 偏好实现凭证窃取
Capability（能力投毒）：在 skill 脚本中嵌入可执行恶意载荷，如 rm -rf 静默删除工作区

测试模型：Sonnet 4.5、Gemini 3 Pro、GPT-5.4、Opus 4.5

防御机制 GuardianClaw：一个安全检查 skill，在操作执行前触发安全检查清单

Key Contribution

CIK 攻击分类法：首次系统性定义 Agent 持久化状态的三个攻击面及其对应机制
不对称性发现：上下文媒介攻击（Knowledge/Identity）对强模型效果递减（Opus 仅 3.3%），但可执行载荷攻击跨模型一致高效（77%+）
部署鸿沟发现：被动安装防御 skill 效果有限（ASR 仅降 10%），必须主动加载才能有效防御（ASR 降 70%）
案例分析：提供退款欺诈（R-F2）、凭证窃取（P-F1）、工作区破坏（R-D1）三个真实攻击路径

Experimental Results

攻击成功率 (ASR)（Phase 2，各模型）：

攻击向量	Sonnet 4.5	Gemini 3 Pro	GPT-5.4	Opus 4.5
Knowledge	85.4%	93.1%	89.2%	76.2%
Identity	80.0%	91.5%	85.4%	60.8%
skill-md	75.0%	40.0%	35.0%	3.3%
skill-bash/py	100%	98.6%	77.1%	100%

GuardianClaw 防御效果（Sonnet 4.5）：

条件	Baseline	Knowledge	Identity	Capability
无防御	26.7%	89.2%	85.4%	88.5%
被动安装	16.7%	71.7%	76.2%	83.1%
主动加载	1.7%	17.5%	9.2%	63.8%

关键发现： - skill-bash/py 是最可靠的攻击向量，在所有模型上 ≥77% - 主动加载 GuardianClaw 将上下文媒介攻击 ASR 降至 <18%，但可执行载荷攻击仍为 63.8% - 更强的模型更能抵抗上下文媒介攻击，但无法防御代码执行攻击

agent-align — Agent 安全性对齐是防御状态投毒的根本方法
clawguard — GuardianClaw 作为 OpenClaw 平台的安全检查机制
agent-safety-via-rl — RL 方法训练 Agent 拒绝危险操作

OpenClaw 真实世界安全分析

概要

Overview

Key Contribution

Experimental Results

Related

反向链接（1）