The Verge
·
OpenClaw的AI‘技能’扩展是一个安全噩梦
内容提要
OpenClaw是一款流行的AI助手，但市场上出现了恶意软件，用户提交的“技能”插件存在安全隐患。研究发现，已有28个恶意技能和386个恶意插件被上传，可能窃取用户的加密资产。开发者正在采取措施，如要求用户至少拥有一周的GitHub账户才能发布技能。
关键要点
-
OpenClaw是一款流行的AI助手，但存在安全隐患。
-
研究发现，用户提交的技能插件中有恶意软件。
-
OpenClaw的技能市场成为攻击目标，最受欢迎的插件被用作恶意软件传播工具。
-
OpenClaw允许用户通过消息应用与AI助手互动，但某些用户给予其过多权限。
-
OpenSourceMalware发现28个恶意技能和386个恶意插件被上传，可能窃取用户的加密资产。
-
恶意技能伪装成加密货币交易自动化工具，诱导用户执行恶意代码。
-
OpenClaw的技能通常以markdown文件上传，可能包含恶意指令。
-
OpenClaw的开发者正在采取措施，如要求用户至少拥有一周的GitHub账户才能发布技能。
延伸解读
安全隐患的严重性
OpenClaw的技能市场已成为恶意软件的温床，用户上传的插件中存在大量安全隐患。研究显示，28个恶意技能和386个恶意插件可能窃取用户的加密资产，用户在使用时需格外小心，避免轻易授权给AI助手过多权限。
用户权限管理的重要性
OpenClaw允许用户通过消息应用与AI助手互动，但部分用户给予其过多的设备访问权限。这种做法增加了被恶意软件攻击的风险，用户应谨慎管理权限，确保只授予必要的访问权限，以保护个人信息和资产安全。
开发者的应对措施
为了应对安全隐患，OpenClaw的开发者已采取措施，如要求用户至少拥有一周的GitHub账户才能发布技能。这一措施虽然能在一定程度上减少恶意插件的上传，但仍需用户保持警惕，定期检查已安装的技能和插件。
延伸问答
OpenClaw的技能市场存在哪些安全隐患？
OpenClaw的技能市场存在恶意软件，用户提交的技能插件中有28个恶意技能和386个恶意插件，可能窃取用户的加密资产。
恶意技能是如何影响OpenClaw用户的？
恶意技能伪装成加密货币交易自动化工具，诱导用户执行恶意代码，从而窃取用户的加密资产和敏感信息。
OpenClaw的开发者采取了哪些安全措施？
OpenClaw的开发者要求用户至少拥有一周的GitHub账户才能发布技能，并新增了报告技能的方式。
用户如何与OpenClaw进行互动？
用户可以通过WhatsApp、Telegram、iMessage等消息应用与OpenClaw进行互动。
OpenClaw的技能是如何上传的？
OpenClaw的技能通常以markdown文件的形式上传，这些文件可能包含恶意指令。
OpenClaw的流行原因是什么？
OpenClaw被宣传为一个能够实际执行任务的AI助手，如管理日历、检查航班等，因此在短时间内获得了广泛的关注和使用。
