網(wǎng)易首頁 > 網(wǎng)易號(hào) > 正文申請(qǐng)入駐

23 個(gè)仿官方插件被清查，OpenClaw 技能市場(chǎng)審核短板徹底暴露

2026-06-28 23:16:33　來源: Tech觀察哨

北京舉報(bào)

分享至

安全廠商近期發(fā)布風(fēng)險(xiǎn)報(bào)告，OpenClaw 配套官方技能市場(chǎng) ClawHub 出現(xiàn)批量冒名項(xiàng)目，總計(jì) 23 個(gè) Skill 刻意使用 @OpenClaw、@ClawHub 專屬命名前綴，偽裝成開發(fā)團(tuán)隊(duì)官方出品，實(shí)際發(fā)布主體和項(xiàng)目官方?jīng)]有任何關(guān)聯(lián)，屬于典型命名搶注類風(fēng)險(xiǎn)。平臺(tái)規(guī)則僅紙面要求命名與開發(fā)者匹配，缺少自動(dòng)化校驗(yàn)與資質(zhì)鎖定機(jī)制，第三方賬號(hào)可隨意占用官方專屬命名空間。多數(shù)使用者看到熟悉的官方標(biāo)識(shí)便直接下載，很少核對(duì)發(fā)布方主頁信息，極易落入誤導(dǎo)圈套。這批冒名插件雖暫未檢出惡意代碼，但此前 ClawHub 早已爆發(fā)過大規(guī)模惡意技能投毒事件，安全隱患不容輕視。

在我看來，此次批量冒名事件的核心根源是平臺(tái)寬松的上架審核體系。對(duì)比主流應(yīng)用商店強(qiáng)制開發(fā)者認(rèn)證、代碼預(yù)審、簽名校驗(yàn)機(jī)制，ClawHub 僅需普通賬號(hào)即可上傳技能，無常態(tài)化人工審查，命名空間管控形同虛設(shè)，給第三方鉆漏洞留下充足空間。

我認(rèn)為這件事不能簡單當(dāng)作小漏洞看待，OpenClaw 技能擁有和主程序同等完整系統(tǒng)權(quán)限。一旦后續(xù)不法廠商在同款冒名插件中植入竊取腳本，就能直接讀取本地文件、各類密鑰憑證，給個(gè)人、企業(yè)數(shù)據(jù)帶來泄露風(fēng)險(xiǎn)，屬于高等級(jí)供應(yīng)鏈威脅。

我覺得普通使用者和企業(yè)運(yùn)維都要養(yǎng)成核驗(yàn)習(xí)慣，下載技能不能只看名稱前綴，必須確認(rèn)開發(fā)者是否帶有官方認(rèn)證標(biāo)識(shí)，同時(shí)定期審計(jì)本地已安裝插件。平臺(tái)也需要快速補(bǔ)齊命名空間保護(hù)、資質(zhì)白名單機(jī)制，從源頭杜絕仿官方項(xiàng)目上架。

整體來看，23 個(gè)冒名技能只是浮出水面的問題，AI 智能體插件市場(chǎng)安全規(guī)范仍存在大量短板，平臺(tái)與使用者雙方都需要同步收緊安全防線，才能規(guī)避后續(xù)更大規(guī)模的投毒攻擊。

特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺(tái)“網(wǎng)易號(hào)”用戶上傳并發(fā)布，本平臺(tái)僅提供信息存儲(chǔ)服務(wù)。

Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.