OpenClaw（原 Clawdbot）在 GitHub 上的星标数从 6 万涨到了 18 万。与此同时，安全研究人员发现了上千个暴露在公网上的实例，其中一个案例导致 1.8 亿 Anthropic tokens 被盗刷。
最近开源 AI Agent 工具 OpenClaw（原名 Clawdbot）的安全事件引发了不少讨论。超过 1800 个实例暴露在公网上，有用户的 API 密钥被盗，一夜之间损失了几千美元。
OpenClaw（前身是 Clawdbot/Moltbot）最近火得一塌糊涂。GitHub 星数飙升到 149k，大家都在感叹终于有个开源版的"贾维斯"了。你可以让它帮你发邮件、整理文件、甚至控制智能家居。但就在几天前，爆出的 CVE-20
OpenClaw 这次栽跟头，栽在一个非常经典的 Web 安全误区上：盲目信任客户端输入。
假设你是一名热衷于尝试新技术的开发者。几个月前，你部署了 OpenClaw，这个号称"开源贾维斯"的 AI Agent。它帮你自动整理 Notion 笔记，在 Slack 上回复不重要的消息，甚至能帮你订机票。你觉得这东西真酷，未来已来。
OpenClaw 的漏洞修好了。社区松了一口气，大家升级了版本，继续用自己的"贾维斯"管理日常任务。
OpenClaw 最近的日子不好过。
看着 Moltbook 泄露 150 万 API Key 的新闻，我第一反应不是愤怒，而是困惑。
Moltbook 被很多人当成“agent 互联网”的预告片：AI 智能体在里面发帖、吵架、拉群、做生意。结果它第一次真正出圈，不是因为某个惊世骇俗的对话，而是因为一件很朴素的事：数据库权限没配好。
人类互联网里，最常见的社工是钓鱼邮件：骗你点链接、输密码。到了 agent 互联网，玩法会变得更直接：骗你的智能体去“抓取某个 URL”，然后在抓取结果里塞指令，或者干脆把它引到一个能持续投喂的页面里。
任何一个平台只要开始热闹，垃圾信息就会跟上。差别只是快慢。Moltbook 这种“agent 先行”的论坛更特殊：内容生成成本几乎为零，刷屏、引战、带货也可以做到全自动。
很多人第一次看 Moltbook 的心态很轻松：就当看热闹，让自己的 agent 去刷刷 feed、回几条评论、交交朋友。
安全研究员 Mav Levin 发现的这个漏洞，CVSS 8.8，攻击路径简单到离谱：
2025 年底，一个班加罗尔的开发者用 Nano Banana Pro 生成了一套印度 Aadhaar 和 PAN 身份证图片。格式、字体、照片、防伪底纹——全都像真的。他把过程发到了网上，引发了一波关于 AI 伪造身份文件的讨论。
OpenClaw（也就是“小龙虾”）最近确实火。能操控电脑、写代码、管服务器，GitHub 上星标涨得飞快。很多开发者图省事，直接在云服务器上一键部署。
最近，一个名叫 OpenClaw（被网友戏称为"小龙虾"）的开源AI项目火遍了全网。它就像一个不知疲倦的"AI员工"，你能用大白话指挥它操控电脑、写代码、甚至管理服务器。Github上星标狂飙，X（推特）上更是好评如潮，不少极客和开发者都把
把安全做成默认能力：最小权限、输入消毒、注入防护、敏感数据处理与人类确认点，避免 Skill 变成事故放大器。