安全警告：OpenClaw官方插件中心ClawHub成为大规模恶意技能投毒新目标

神经日报 消息，2 月 9 日，慢雾 SLowMist 发布安全警告，近期开源人工智能代理项目 OpenClaw 意外走红，其官方插件中心 CLAwHub 正逐渐成为供应链投毒攻击的新目标，对开发者和用户构成潜在的安全风险。监测显示已有 341 个恶意技能被识别，这些技能通常伪装成加密资产、安全检查或自动化工具。

攻击者利用 SKILL.md 文件作为执行指令入口，通过 Base64 编码隐藏恶意命令，采用两阶段加载机制逃避检测。第一阶段通过 curl 获取载荷，第二阶段部署名为 dyrtvwjfveyXjf23 的样本，诱骗用户输入系统密码并窃取本地文档及系统信息。建议用户审核任何需复制执行的命令，警惕获取系统权限的提示，并优先通过官方渠道获取工具。