安全警告：OpenClaw官方插件中心ClawHub成为大规模惡意技能投毒新目標

BlockBeats 消息，2 月 9 日，慢雾 SlowMist 发布安全警告，近期开源人工智能代理项目 OpenClaw 意外走紅，其官方插件中心 ClawHub 正逐漸成為供應鏈投毒攻擊的新目標，對開發者和用戶構成潛在的安全風險。監測顯示已有 341 個惡意技能被識別，這些技能通常偽裝成加密資產、安全檢查或自動化工具。

攻擊者利用 SKILL.md 檔案作為執行指令入口，通過 Base64 編碼隱藏惡意命令，採用兩階段加載機制逃避檢測。第一階段通過 curl 獲取載荷，第二階段部署名為 dyrtvwjfveyxjf23 的樣本，誘騙用戶輸入系統密碼並竊取本地文檔及系統信息。建議用戶審核任何需複製執行的命令，警惕獲取系統權限的提示，並優先通過官方渠道獲取工具。