---
title: "Your Agent, Their Asset: A Real-World Safety Analysis of OpenClaw"
title_zh: "OpenClaw 个人 AI 代理的 CIK 安全分析"
arxiv_id: "2604.04759"
paper_type: "analysis"
source_kind: "raw"
raw_path: "raw/papers/2026/04/2604.04759.md"
generated: "2026-05-11"
model: "LongCat-Flash-Chat"
quality: "ok"
---

# OpenClaw 个人 AI 代理的 CIK 安全分析

## 一句话定位

提出 CIK 分类法（能力、身份、知识），对 OpenClaw 个人 AI 代理进行真实环境安全评估，揭示持久状态中毒的结构性漏洞。

## 小学生也能听懂

这篇论文像检查一个会自己做事的机器人有没有“中毒”漏洞：它把机器人的记忆、身份和技能分成三类，发现只要偷偷改其中一类，就能让机器人乱发邮件或乱花钱，而且现有的防护方法要么防不住，要么连正常更新都阻止了。

## 为什么值得记录

- 首次对真实部署的个人 AI 代理（OpenClaw）进行端到端安全评估，涵盖 Gmail、Stripe 和本地文件系统等真实服务
- 提出 CIK 分类法，统一描述代理持久状态的三个攻击维度：Capability（可执行技能）、Identity（身份配置）、Knowledge（长期记忆）
- 实验显示任一维度中毒均可将攻击成功率从基线 10–36.7% 提升至 64–74%，证明漏洞具有结构性而非模型依赖性
- 评估三种防御策略均无法全面防护，文件保护机制虽阻断 97% 恶意注入，但也阻止 93% 合法更新，揭示演化-安全权衡难题

## 核心方法

- 采用两阶段攻击协议：Phase 1 注入污染内容至持久状态文件，Phase 2 在后续会话中触发有害行为
- 设计 12 个影响场景，覆盖隐私泄露（财务、身份、敏感数据）和不可逆操作（财务损失、社交后果、数据破坏）
- 在真实 OpenClaw 实例上测试四种前沿 LLM（Claude Sonnet 4.5/Opus 4.6、Gemini 3.1 Pro、GPT-5.4），每个模型运行 88 个测试用例
- 定义攻击成功率为‘无确认 reckless 执行’，通过外部证据（如邮件发送、Stripe API 响应、文件删除）验证
- 引入 CIK 文件映射：Capability → skills/ 目录，Identity → SOUL.md/IDENTITY.md 等，Knowledge → MEMORY.md
- 评估三种对齐防御：知识增强（MEMORY.md 添加安全事实）、身份原则（AGENTS.md 添加行为规则）、能力防护（GuardianClaw 安全技能）
- 测试文件保护机制：要求代理在修改 Knowledge/Identity 文件前需用户批准

## 关键结果

- 基线攻击成功率（无中毒）为 10.0%–36.7%，表明原生安全对齐仅部分有效
- 中毒后平均攻击成功率显著上升：Knowledge 达 74.4%，Capability 68.3%，Identity 64.3%；最强模型 Opus 4.6 的 ASR 仍从 10.0% 升至 44.2%
- Phase 级分析显示：Knowledge 注入成功率最高（87.5–100%），Capability 注入为确定性成功（100%），但 Phase 2 执行率差异大
- GuardianClaw 能力防御最有效，将基线 ASR 降至 1.7%，但对 Capability 攻击仍达 63.8% 成功率，因可执行载荷绕过 LLM 推理
- 文件保护使攻击注入率从 87.0% 降至 5.0%，但合法更新率也从 100% 降至 <13.2%，严重抑制代理演化能力

## 局限与风险

- 仅评估单一平台（OpenClaw）和四种模型，未测试跨维度攻击链（如知识中毒强化身份攻击）
- 所有攻击场景为人工设计，缺乏自动化生成，可能低估实际威胁规模
- 防御策略局限于提示层干预，未探索代码签名、沙箱执行等架构级防护
- 实验在受控环境进行，未涉及生产模式或长期用户交互影响

## 适合沉淀的概念

`cik-taxonomy`, `persistent-agent-state`, `agent-safety-evaluation`, `evolution-safety-tradeoff`, `capability-poisoning`, `identity-injection`, `knowledge-fabrication`, `file-protection-mechanism`

## 阅读注意

- 重点关注 CIK 分类法如何将抽象的持久状态映射到具体文件（如 MEMORY.md 对应 Knowledge），这是理解攻击向量的关键
- 注意 Phase 1（注入）与 Phase 2（触发）的分离设计，这体现了持久状态攻击的跨会话特性
- GuardianClaw 的‘主动加载 vs 被动安装’对比（附录 E）揭示了安全技能部署的实际挑战
- 文件保护实验（表 5）虽简单，但清晰展示了演化与安全的根本矛盾：保护文件即冻结学习
- 附录 F 的对比表总结了三种攻击机制的本质差异：事实伪造 vs 信任锚定 vs 代码执行绕过

## 质量说明

- 采用来源：`raw`，`raw/papers/2026/04/2604.04759.md`
- 生成模型：`LongCat-Flash-Chat`
- 源材料判断：论文提供了完整的实验设置、详细结果（含标准差）、附录涵盖评估标准与防御实现，数据充分支持结论。尽管部分攻击为人工设计，但方法论严谨，复现路径清晰。