庄闲游戏

证券简称:庄闲游戏 证券代码:002212
7x24小时效劳: 400-777-0777

OpenClaw误差曝光!当AI接受电脑后,,,是万能助手照旧AI刺客??? ?

克日,,,清静研究团队Oasis Security披露了Open-Claw框架中的一个高危误差“ClawJacked”。。。 。。该误差允许攻击者仅通过诱导用户会见一个恶意网页,,,即可远程控制其外地运行的AI Agent。。。 。。

OpenClaw误差曝光!当AI接受电脑后,,,是万能助手照旧AI刺客??? ?

宣布时间:2026-03-04
浏览次数:4357
分享:

克日,,,清静研究团队Oasis Security披露了Open-Claw框架中的一个高危误差“ClawJacked”。。。 。。该误差允许攻击者仅通过诱导用户会见一个恶意网页,,,即可远程控制其外地运行的AI Agent。。。 。。这一发明再次敲响了AI应用清静的警钟——当我们将越来越多的控制权交给AI时,,,攻击者也在伺机而动。。。 。。

图片泉源于网络

“惊吓”往往泛起于不经意间

庄闲游戏助理总裁王媛媛向北京商报记者分享了几个OpenClaw相关的真实案例:“海内多名用户袒露18789默认端口,,,无密码防护,,,装备被入侵后用于挖矿、DDoS攻击。。。 。。”这意味着许多用户装置OpenClaw后,,,基础没有修改默认设置,,,直接让自家电脑成了黑客的“肉鸡”,,,不但性能被消耗,,,还可能加入不法攻击。。。 。。

另一个案例更令人啼笑皆非:“用户让OpenClaw‘帮我整理一下电脑里没用的暂时缓存文件,,,释放空间’。。。 。。由于模子明确误差或幻觉,,,它天生了过失的正则表达式或系统下令,,,直接清空了正在开发的项目文件夹,,,甚至删除了系统要害依赖,,,导致电脑系统瓦解无法开机。。。 。。”AI的“误解”有时比黑客攻击更直接,,,一个模糊的指令就可能酿成大祸。。。 。。

王媛媛这样比喻道:“若是你妄想在小我私家电脑上一样平常使用OpenClaw,,,务必将其视为一个‘执行力很强但阅历尚浅’的实习生”。。。 。。

实习生劲头十足,,,但缺乏履历,,,容易盛意办坏事;;AI同样能快速执行指令,,,却可能因明确误差或幻觉,,,做出意料之外的破损。。。 。。

清静建议:给AI套上“缰绳”

面临日益普及的外地AI Agent,,,我们该怎样�;;ぷ约旱氖肿什�??? ?以下清静建议请务必珍藏:

实时更新,,,打上补�。。。 。。旱谝皇奔涔刈penClaw官方清静通告,,,实时升级到修复ClawJacked误差的版本。。。 。。许多攻击正是使用已知误差,,,而用户疏于更新。。。 。。

修改默认设置,,,强化会见控制:更改默认端口,,,不要使用18789等果真默认端口,,,改为随机高位端口;;设置强密码,,,纵然外地运行,,,也需启用密码或密钥认证,,,避免局域网或外地越权会见;;禁用不须要的远程效劳,,,若是不需要远程挪用,,,请关闭网络接口,,,仅允许外地回环地点会见。。。 。。

限制AI权限:遵照最小化原则:在操作系统层面,,,为AI Agent建设自力的低权限用户,,,榨取其会见系统要害目录(如/System、C:\Windows);;对文件读写操作举行白名单限制,,,例如只允许会见特定文件夹;;使用容器或虚拟机运行AI Agent,,,实现情形隔离,,,纵然被攻破,,,也无法问鼎宿主机。。。 。。

指令清晰,,,阻止歧义:下达使命时只管详细,,,例如“删除桌面上文件名包括‘tmp’且凌驾7天未修改的文件”,,,而非笼统的“整理缓存”;;关于高危害操作(如删除、名堂化、修改系统设置),,,可要求AI在执行前二次确认,,,或加入人工审批办法。。。 。。

按期备份主要数据:无论AI多智能,,,都无法取代备份。。。 。。养成按期备份要害文件、项目代码的习惯,,,并测试恢复流程。。。 。。这样即便AI“发疯”,,,也能迅速恢复。。。 。。

监控异常行为:关注AI Agent的日志输出,,,若发明其频仍实验会见敏感区域、执行不明下令,,,应连忙中止历程并排查是否被入侵。。。 。。

AI Agent正快速走进庄闲游戏事情和生涯,,,带来便当的同时也翻开了新的攻击面。。。 。。ClawJacked误差和上述案例提醒我们:手艺越强盛,,,越需要审慎驾驭。。。 。。把AI当成一位“实习生”,,,给它清晰的指引、严酷的权限和须要的监视,,,才华让手艺真正效劳于人,,,而非成为清静隐患。。。 。。

注:文中部分图片由AI天生

客户效劳热线

400-777-0777
7*24小时效劳

联系邮箱

servicing@topsec.com.cn

扫码关注
【网站地图】【sitemap】