1. OpenClaw 木马攻击到底怎么中的从供应链投毒到凭据外泄的完整链路OpenClaw 是一个开源 AI 智能体框架早期叫 Clawdbot、Moltbot主打本地运行、技能插件化、能直接读写文件和执行终端命令。它能做什么简单说就是让大模型帮你操作电脑整理文件、跑脚本、抓网页、调 API。适合谁适合想搭个人自动化助手的开发者、运维和折腾党。但正因为权限大、插件生态开放它成了木马攻击的重灾区。我复盘这次事件时发现攻击者并不是直接黑进你的机器而是走了一条更隐蔽的路供应链投毒。核心链路分四步。第一步恶意技能上架。ClawHub 这类技能市场里攻击者上传伪装成「加密货币价格跟踪」「YouTube 视频摘要」「PDF 批量转换」的技能包。这些技能描述正常、README 齐全但安装脚本里藏了 Base64 混淆的载荷。有安全团队抽样统计约 11.9% 的技能存在恶意行为这个比例相当高。第二步诱导执行。技能安装时往往要求「前置条件」比如先运行一段 bash 或 PowerShell 完成「环境初始化」。用户一看是安装步骤直接复制执行载荷就落地了。第三步身份验证绕过。OpenClaw 默认信任 localhost 连接本地访问免鉴权。如果你用 Nginx 或 Caddy 做反向代理真实 IP 会被误判成 127.0.0.1密码和 Token 校验直接被跳过。攻击者通过代理跳板就能拿到管理员权限。第四步凭据窃取与远程控机。载荷通常是 Atomic Stealer 这类窃取器目标很明确API 密钥、SSH 私钥、浏览器 Cookie、钱包私钥、云服务凭证。拿到后静默外发到 C2 服务器同时留后门实现远程控机。还有一个容易被忽略的点间接指令注入。OpenClaw 在同一个上下文里处理你的指令和它读到的外部内容邮件、网页、文档。如果它读了一封恶意邮件邮件里藏的命令可能被当成你的指令执行。这个设计缺陷让攻击面从「你主动装了什么」扩大到「它读了什么」。受影响面怎么判断如果你满足以下任意一条就要警惕装过来源不明的技能用反向代理暴露过 OpenClaw 端口在 OpenClaw 环境里配置过云厂商 AccessKey 或 OpenAI/Anthropic 的 API Key让它读过外部邮件或网页。这几类场景下凭据泄露的风险最高。我自己的做法是先把所有智能体的凭据做物理隔离不让它们共用一套 Key。这也是后面要重点讲的 TaoToken 统一 Key 隔离实践——把「一个 Key 走天下」改成「一个智能体一个 Key统一走一个通道」这样即使某个智能体被投毒泄露的凭据也是受限的、可快速轮换的。2. TaoToken 前置准备统一 Key 通道如何隔离各智能体凭据在讲配置之前先说清楚为什么要用 TaoToken 做统一 Key 通道。传统做法是每个智能体、每个工具都配一套原始厂商的 API Key。问题在于Key 散落在各个配置文件里一旦某个智能体被投毒攻击者拿到的可能是你主力账号的 Key影响面直接拉满。而且轮换的时候要一个个改容易漏。TaoToken 的思路是做一个统一的 API 通道。你只需要在 TaoToken 侧管理上游凭据各智能体统一指向 TaoToken 的 Base URL用 TaoToken 签发的 Key。这样带来三个好处一是隔离每个智能体可以签发独立的 Key权限和额度单独控制二是可轮换某个 Key 疑似泄露在控制台吊销重签即可不用动上游厂商配置三是可审计哪个 Key 在什么时候调了什么模型通道侧有记录。前置准备分三步。第一步注册并登录 TaoToken 控制台。地址是 https://taotoken.net/api 这是 API 入口。控制台里可以创建和管理 Key。建议先建一个「管理用」Key专门用来做后续的 Key 签发和额度分配不要拿它去跑业务。第二步规划 Key 粒度。我的建议是按「智能体 用途」两个维度拆。比如 OpenClaw 主智能体一个 Key负责网页抓取的子技能一个 Key负责代码执行的子技能一个 Key。这样即使抓取技能被投毒泄露的 Key 也只能调它被授权的模型动不了你其他智能体的额度。第三步确认模型 ID。TaoToken 通道兼容主流模型调用格式你在配置里填的 Model ID 要和通道侧支持的名称一致。常见的有 claude 系列、gpt 系列等。具体支持列表在接入文档里查地址是 https://taotoken.net/api 文档里有完整的模型对照表。这里有个关键点OpenClaw 这类智能体框架通常支持自定义 OpenAI 兼容的 Base URL。你要做的就是把它的 Base URL 从原始厂商地址改成 TaoToken 的 API 地址把 API Key 换成 TaoToken 签发的 KeyModel ID 填通道支持的名称。三件套齐了智能体就能正常跑但凭据已经和上游解耦了。如果你用的是 Claude Code 这类编码智能体配置逻辑一样Base URL 指向 TaoTokenKey 用签发的Model ID 填对应名称。Cline、Codex 的 auth.json 也是同样思路。后面配置章节会给具体的 JSON 和 TOML 片段。还要提醒一点TaoToken 是合规的 API 聚合通道不是所谓的「中转」。它的作用是帮你统一管理凭据、做权限隔离和审计这在供应链攻击频发的当下是实打实的安全收益。别把它当成绕过什么限制的工具定位就是凭据治理。3. 可复制配置依赖锁定、权限最小化与 TaoToken 三件套这一节给可直接复制的配置。分三块依赖锁定、权限最小化、TaoToken 接入三件套。先说依赖锁定。OpenClaw 的技能安装如果直接拉最新版等于把供应链风险敞口开到最大。正确做法是锁定版本 校验哈希。在项目根目录建一个skills.lock.json{ skills: [ { name: web-summary, version: 1.2.3, source: official, integrity: sha256-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, autoUpdate: false }, { name: file-organizer, version: 0.9.1, source: official, integrity: sha256-yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy, autoUpdate: false } ], allowUnverified: false, installScriptPolicy: deny }关键字段说明integrity是技能包的哈希安装前校验对不上就拒绝autoUpdate设为 false禁止静默升级allowUnverified设为 false只允许官方源installScriptPolicy设为 deny禁止技能在安装时执行任意脚本。这一条能挡掉大部分「前置条件」型投毒。然后是权限最小化。OpenClaw 默认拿系统级读写和终端执行权限这太宽了。在config.yaml里收紧security: localhost_auth: true require_token: true workspace_only: true allowed_paths: - ~/OpenClaw-Workspace denied_commands: - rm - dd - mkfs - curl - wget command_timeout: 30 network: allow_outbound: true allowed_hosts: - api.taotoken.net deny_private_ip: truelocalhost_auth: true强制本地连接也要 Token堵住免鉴权绕过workspace_only把文件读写限制在工作目录denied_commands禁掉高危命令allowed_hosts只放行 TaoToken 的 API 域名其他出站一律拒绝这样即使载荷想外发数据也发不出去。如果你用 Nginx 做反向代理还要加真实 IP 配置避免 IP 误判set_real_ip_from 127.0.0.1; real_ip_header X-Real-IP; real_ip_recursive on;最后是 TaoToken 三件套。OpenClaw 的模型配置在~/.openclaw/config.yaml或项目级配置里改成model: provider: openai-compatible base_url: https://taotoken.net/api api_key: sk-你的TaoToken密钥 model_id: claude-3-5-sonnet timeout: 60三件套就是 Base URL、API Key、Model ID。Base URL 固定填https://taotoken.net/apiKey 用控制台签发的Model ID 填通道支持的名称。如果你用 Claude Code配置在~/.claude/settings.json{ env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_API_KEY: sk-你的TaoToken密钥, ANTHROPIC_MODEL: claude-3-5-sonnet } }Cline 的 MCP 配置类似在cline_mcp_settings.json里把 provider 的 baseUrl 和 apiKey 换成 TaoToken 的。Codex 的auth.json也是同样三件套逻辑。核心原则所有智能体的上游地址统一指向 TaoTokenKey 各自独立。4. 验证请求与成功结果一次本地恶意依赖扫描加凭据轮换配置改完必须验证两件事一是智能体能正常通过 TaoToken 通道调通模型二是本地没有残留的恶意依赖。先验证通道。用 curl 直接打 TaoToken 的 API确认 Key 有效curl -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer sk-你的TaoToken密钥 \ -H Content-Type: application/json \ -d { model: claude-3-5-sonnet, messages: [{role: user, content: ping}], max_tokens: 10 }返回里如果有choices字段和正常内容说明通道通了。如果返回 401说明 Key 有问题如果返回reading choices相关错误说明响应格式没对上检查 Model ID 是否正确。然后启动 OpenClaw让它跑一个简单任务比如「总结当前目录下的 README」。观察日志里模型调用是否走 TaoToken有没有报错。成功的话日志里会显示请求发往api.taotoken.net响应正常。接下来做本地恶意依赖扫描。这一步是判断你有没有中招的关键。先查进程和启动项# macOS launchctl list | grep -i openclaw ls -la ~/Library/LaunchAgents/ | grep -i openclaw ps aux | grep -i openclaw # Windows PowerShell Get-CimInstance -ClassName Win32_StartupCommand | Where-Object {$_.Command -like *openclaw*} Get-Process | Where-Object {$_.ProcessName -like *openclaw*}看有没有你不认识的 openclaw 相关进程或启动脚本。然后查网络连接# macOS lsof -i -P | grep -i openclaw netstat -an | grep ESTABLISHED # Windows netstat -ano | findstr ESTABLISHED重点看有没有连向陌生 IP 的出站连接。如果发现可疑 IP记下来做溯源。再扫恶意文件。重点目录# macOS ls -la ~/Downloads ~/tmp ~/Library/Application\ Support/OpenClaw find ~ -name openclaw-agent.zip -o -name *.sh -newer ~/Downloads 2/dev/null # Windows dir %USERPROFILE%\Downloads dir %TEMP% dir %LOCALAPPDATA%\OpenClaw\skills找 Base64 混淆脚本、来源不明的 bash 文件、可疑 zip。找到后不要直接删先备份样本再处理。最后做凭据轮换。这是止损的核心动作。按优先级先换云服务 AccessKey阿里云、腾讯云、AWS 等再换代码仓库 TokenGitHub、GitLab再换模型厂商 API Key最后换 SSH 密钥和钱包私钥。每换一个在 TaoToken 控制台吊销对应的旧 Key重新签发新 Key更新到各智能体配置里。轮换完再跑一次上面的验证请求确认新 Key 生效、旧 Key 已失效。这一步做完即使之前凭据泄露攻击者手里的也已经是废 Key。5. 本篇常见错排查401、local proxy failed、reading choices 与 OAuth 报错配置和验证过程中几个报错特别常见逐个拆。401 Unauthorized。最常见的原因是 Key 填错或已吊销。先确认 TaoToken 控制台里这个 Key 状态是「启用」没被误删。然后检查配置文件里 Key 有没有多余空格或换行。如果是环境变量注入的确认变量名对得上比如 Claude Code 用的是ANTHROPIC_API_KEY别写成OPENAI_API_KEY。还有一种情况Key 有额度限制用超了也会 401去控制台看余额和用量。local proxy failed。这个报错通常出现在智能体尝试走本地代理但代理没起来或者代理配置指向了不存在的地址。如果你没配代理检查配置文件里有没有残留的proxy字段删掉。如果配了反向代理确认 Nginx/Caddy 进程在跑端口对得上。还有一种allowed_hosts里没放行 TaoToken 域名导致出站被拦表现也像代理失败。把api.taotoken.net加进白名单。reading choices 报错。典型信息是cannot read property choices of undefined或reading choices。这说明请求发出去了但响应格式不是预期的 OpenAI 兼容格式。原因通常是 Model ID 填错通道返回了错误结构。去 TaoToken 接入文档核对支持的 Model ID 列表填对名称。另一个可能是 Base URL 少了/v1或多了/v1不同框架要求不一样OpenClaw 一般填到/api即可具体看文档。OAuth 相关报错。如果你用 Claude Code 或 Codex 的 OAuth 登录方式可能会遇到OAuth token expired或invalid_grant。这类报错说明你在用 OAuth 而不是 API Key。解决办法是切到 API Key 模式把三件套配好别走 OAuth。因为 OAuth 的凭据轮换更麻烦而且和 TaoToken 的 Key 隔离思路不搭。统一用 API Key轮换和审计都清晰。技能安装被拒。如果你按前面的installScriptPolicy: deny配了某些技能会装不上报「install script blocked」。这是预期行为不是 bug。遇到这种技能先看它的安装脚本要干什么确认安全后临时放行装完再改回 deny。别为了图省事把策略改成 allow那等于把门敞开。端口暴露告警。如果扫描发现 OpenClaw 默认端口 3000 或 8080 对公网开放立刻用防火墙限制。只允许信任 IP 访问或者干脆只监听 127.0.0.1。公网暴露的智能体等于把终端执行权限挂在网上风险极高。排查顺序建议先看 Key 和 Base URL 对不对再看网络白名单再看 Model ID最后看框架版本兼容性。大部分报错集中在前两项。6. 把凭据治理做成习惯TaoToken 统一 Key 的长期实践这次 OpenClaw 事件给我的最大教训不是「某个技能有木马」而是「凭据散落本身就是最大的风险」。一个智能体一套 Key散在十几个配置文件里你根本不知道哪个泄露了、该换哪个。所以我把凭据治理做成了固定动作。第一所有智能体的模型调用统一走 TaoToken 通道。Base URL 固定https://taotoken.net/apiKey 在控制台按智能体粒度签发。新搭一个智能体先建 Key再配三件套不直接填上游厂商的 Key。第二Key 命名带用途和日期。比如openclaw-web-202503、cline-code-202503。这样一看就知道是哪个智能体、什么时候签的。轮换的时候按日期批量处理不会漏。第三每月做一次凭据轮换演练。不用等出事定期把非核心 Key 吊销重签走一遍流程确认配置更新顺畅。真出事的时候就不会手忙脚乱。第四技能安装坚持「锁定 校验 禁脚本」。skills.lock.json里的 integrity 哈希是硬门槛对不上直接拒。安装脚本默认 deny需要时临时放行。第五出站白名单只放行 TaoToken 域名。这样即使某个技能被投毒载荷想外发数据也出不去。配合日志审计异常调用能第一时间发现。如果你还在用「一个 Key 跑所有智能体」建议这周就改掉。去 TaoToken 控制台建几个独立 Key把配置里的 Base URL 和 Key 换掉跑一遍验证请求。花不了半小时但安全收益是长期的。接入文档在 https://taotoken.net/api 模型列表和配置示例都有。长期跑编码和 Agent 任务的可以看下 Coding Plan额度管理更省心。