中國國家信息安全漏洞共享平台（CNVD）發布公告，指多個 AI 智能體技能包（Skills）存在嚴重安全風險，可在 OpenClaw 等主流智能體系統中被惡意利用執行未經授權的操作 [1]。部分技能包偽裝成辦公助手或資料分析工具，暗中下載並執行木馬竊取系統密碼與業務憑證，另有技能包誘導用戶進行加密貨幣交易或接入未經核驗的第三方服務 [1]。CNVD 建議個人用戶只從官方管道取得技能包、依最小權限原則審慎授權、定期清理不再使用的技能包並開啟多因素驗證 [1]。
補記：這起事件在 2026年4月22日 公開，本站於 2026年11月11日 才收錄，不是新發生的事件。
高監控中補記官方確認
中國 CNVD 示警：OpenClaw 等智能體惡意技能包暗藏木馬竊取憑證
閱讀約 1 分鐘
- 揭露
- 2026年4月22日
- 發布
- 2026年11月11日
- 最後更新
- 2026年11月12日
- CVSS 依據
- 本站評估
- 技術 / 系統類型
- AI / LLM 應用
- 外洩資料類型
- 帳號密碼 / 憑證
- 攻擊者類型
- 其他網路犯罪
- 動機
- 金錢
本頁內容
30 秒摘要
事件時間軸
- CNVD 發布安全公告[1]
- 國家計算機病毒應急處理中心 4 月 22 日已預警 OpenClaw 技能包遭投毒[2]
中國國家計算機病毒應急處理中心與計算機病毒防治技術國家工程實驗室於 2026 年 4 月 22 日發布預警，指在「龍蝦」（OpenClaw）智能體系統相關技能倉庫中發現多個含惡意程式碼的仿冒技能包；用戶一旦安裝，呼叫技能時會在背景靜默下載安裝木馬，竊取隱私並可能造成財產損失。該中心建議安裝前審計提示詞、外部連結與腳本，將智能體與生產及日常系統隔離或嚴格存取控制，並以檔案雜湊在國家計算機病毒協同分析平台（virus.cverc.org.cn）查詢與送檢可疑安裝包、可執行檔或技能包。此預警早於後續 CNVD 5 月 11 日公告，屬同一事件類別的更早官方示警。
技術細節
修復指引
廠商建議
- 1清理可疑 Skills mitigate[1]
比對公告清單，清除可疑技能包並收回權限。
參考來源
官方 / 一級來源1
- [1]CNCERT/CNVD2026-05-11擷取日 2026-11-11已存檔 2026-11-11 sha256 db7cdfd04a02
“近日，国家信息安全漏洞共享平台（CNVD）综合研判发现，多个智能体技能包（Skills）存在严重安全风险，可在“龙虾”（OpenClaw）等主流智能体系统中被恶意利用以执行未经授权的操作，或通过诱导方式使用户执行高危指令。”
媒體報導1
- [2]國家計算機病毒應急處理中心2026-04-22擷取日 2026-11-11已存檔 2026-11-12 sha256 7c40bef70cf1
“用户的智能体系统一旦安装相关技能包，会在调用这些技能时在后台静默下载安装木马病毒程序（如图2），窃取用户的隐私信息，造成重要敏感信息泄露甚至财产损失。”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。