一、概述
OpenClaw核心能力的不断成熟与全面开放，引发了业界的关注热潮。得益于其底层架构的灵活性与高扩展性，OpenClaw不仅支撑了大量基于它的二次开发，更启发了众多团队借鉴其理念开启独立自研，推动生态向多极化方向发展。
这种繁荣同时也伴随着产品形态的能力转变。当前的Claw系应用正逐渐打破传统工具“被动响应”的局限，向着具备自主决策能力的Agent跨越。这种能力跃迁不可避免地要求系统赋予其更复杂的接口与更宽泛的权限边界。当这些高权限、高自治的实体运行在不可信的网络环境中，或是面临潜在的恶意攻击时，失控的风险将被急剧放大。面对此类具备高度主观能动性的新型应用目标，传统的安全测试手段往往难以有效覆盖其动态逻辑与模糊边界。
基于此，本报告开展了一次深度的“漏洞挖掘智能体实践”。360漏洞研究院引入自研的漏洞挖掘智能体，以“Agent对抗Agent”的创新范式，对OpenClaw生态产品展开了系统性的安全分析。借助漏洞挖掘智能体高效的全流程自动化漏洞挖掘能力，我们成功突破了复杂应用的测试瓶颈，累计挖掘出安全漏洞20余个，涵盖远程代码执行、认证绕过、权限提升、信息泄露等多种高危漏洞类型。在对智能体在实战中捕获的丰富漏洞数据与攻击链路进行归纳分析后，我们发现，由于OpenClaw生态演进的独特性，其潜在的安全风险呈现出多样化、普遍性与可传播性，并深度渗透至各类衍生产品之中。本报告将结合此次智能体实践的成果，将OpenClaw生态划分为三大核心分析维度：OpenClaw架构特征与防护失效、二次开发中的安全债传递、以及开源自研的安全挑战。围绕上述维度，本报告将系统性地剖析不同应用场景下潜藏的安全风险，旨在为Claw生态的持续、健康与积极发展夯实安全底座，贡献实质力量。
本文来自知之小站
报告已上传百度网盘群，限时15元即可入群及获得1年期更新
（如无法加入或其他事宜可联系zzxz_88@163.com）
