超575个恶意OpenClaw skills投递恶意软件，影响Windows与macOS系统

安全研究团队披露大规模供应链投毒事件，ClawHub市场内超过575个恶意OpenClawSkills被批量投放，伪装成各类实用工具，一旦被AI代理加载，就会向Windows、macOS终端下发恶意载荷，执行窃取凭证、植入后门、远程控制等操作。这是Agent智能体生态里典型的插件市场污染事件，也把AI技能包的供应链风险推到台前，打破了很多用户“AI插件只是辅助脚本”的安全认知。

一、伪装套路：披着实用工具外衣，诱导自动下载恶意载荷

OpenClaw是一款开源Agent智能体框架，ClawHub是配套的技能（Skills）市场，开发者可以上传技能包，拓展AI能力，技能包以Markdown格式分发，权限很大，允许调用本地Shell、读写本地文件、发起网络请求。

这批恶意技能包装极具迷惑性，大多伪装成加密货币钱包追踪、YouTube摘要、交易机器人、网盘集成、求职自动化工具，配上完整说明文档，普通用户很难分辨真伪。它不会直接在技能包内捆绑大体积木马规避扫描，而是在安装流程里设置“依赖前置步骤”：在Windows上引导下载压缩包，在macOS诱导用户复制终端命令执行，从外部不可信服务器拉取恶意程序落地运行。

很多Agent开启自动执行权限后，不需要用户二次确认，就会顺着技能内的指令完成下载、解压、运行，攻击全程静默，传统杀毒软件很难第一时间识别。

二、跨平台攻击链路：Windows、macOS两套载荷分开适配

该批恶意Skills针对两大主流桌面系统做了差异化适配，一套流程适配Windows，另一套专门针对macOS，覆盖个人开发者、加密交易者、内容创作者等高频使用OpenClaw的人群。

Windows端，恶意脚本优先寻找浏览器Cookie、本地钱包文件、SSH密钥、各类账号凭证，打包回传C2服务器，同时写入开机自启项，建立持久后门；macOS端则利用终端命令绕过沙箱限制，窃取钥匙串信息、iMessage记录、本地文档，部分样本还会植入截图、录屏能力。

和普通恶意软件不同，它的触发载体是AI技能，风险绑定在Agent的权限模型上。只要智能体拥有系统执行权限，恶意技能就可以调动这个权限完成攻击，相当于借AI的身份拿到本地系统控制权。

三、检测难点：绕过平台基础扫描，AI生态的新型盲区

ClawHub平台本身搭载了VirusTotal、ClawScan自动检测机制，但是这批恶意技能采用了拆分加载的规避手法，本体技能包内不含恶意二进制，恶意代码放在外部远程地址，静态扫描时技能包本身干净，顺利绕过初审拦截。

同时，这类攻击属于Agentic供应链攻击，风险藏在自然语言指令里，依靠提示词引导AI自动执行高危操作。传统安全产品擅长查杀本地木马，却很难识别Markdown文档里诱导AI执行恶意动作的文本指令，形成检测盲区。攻击者还会分批上传、轮换账号，被下架一批之后继续上新，持续维持攻击池规模。

四、用户处置与加固方案

对于正在使用OpenClaw的用户，第一原则是不信任来源不明的第三方Skills，优先只使用官方认证、开源可审计的技能包。

权限层面，关闭Agent的自动执行Shell、文件读写权限，凡是涉及本地终端操作的技能，强制开启人工确认；及时清点已经安装的技能列表，删除钱包工具、交易机器人等可疑第三方技能，清理对应的定时任务、开机启动项。

感染排查方面，Windows重点检查陌生启动程序、临时目录下载包；macOS核查终端历史、未知launchd守护进程，一旦发现异常，立刻断开网络，修改全部本地密钥、钱包密码，必要时重装系统。

企业运维侧，建议隔离Agent运行环境，使用容器沙箱限制AI技能的系统权限，禁止Agent直接持有高权限账号，同时对ClawHub的技能引入做白名单管控。