OpenClaw 最近披露了四個安全漏洞，這些漏洞被稱為 Claw Chain 的漏洞如果被串聯起來使用，將允許攻擊者從最初的程式碼執行，一路升級到獲取系統最高權限並在主機中植入後門。對於開發 AI Agent 或維護沙箱環境的工程師來說，這次事件是一個非常典型的案例，展示了如何透過多個中低風險漏洞的組合，達成毀滅性的攻擊效果。
理解漏洞鏈的攻擊路徑
這次的攻擊並非單一漏洞就能完成，而是一個循序漸進的過程。攻擊者首先需要透過惡意插件、提示詞注入（Prompt Injection）或是受污染的外部輸入，在 OpenShell 沙箱環境中取得初步的程式碼執行能力。一旦進入沙箱，攻擊者便開始利用接下來的四個漏洞來突破限制。
第一階段：突破沙箱讀寫限制
在 OpenShell 的沙箱後端中，存在兩組 TOCTOU 漏洞（CVE-2026-44113 與 CVE-2026-44112）。TOCTOU 全稱是 Time-of-Check to Time-of-Use，中文稱為檢查時間與使用時間的競爭條件。簡單來說，就是系統在檢查某個檔案是否允許訪問（Check）與實際執行讀寫動作（Use）之間存在一個極短的時間差。
攻擊者可以在這個時間差內迅速更換檔案路徑，欺騙系統讓它以為在操作沙箱內的文件，實際上卻讀取或寫入了沙箱外的系統檔案。透過 CVE-2026-44113，攻擊者可以讀取系統機密或憑證；而透過 CVE-2026-44112，則可以將惡意檔案寫入到預期之外的目錄中。
第二階段：繞過輸入驗證執行指令
除了路徑突破，CVE-2026-44115 揭露了一個輸入驗證不完全的問題。系統雖然有白名單限制允許執行的指令，但攻擊者可以利用 Here Document（一種在 Shell 中將多行文字傳遞給指令的機制）在內容中嵌入 Shell 擴展符號。這使得攻擊者能夠繞過白名單，在運行時執行未經授權的指令。
第三階段：權限提升與身分冒充
最關鍵的權限跳躍發生在 CVE-2026-44118。這個漏洞源於 OpenClaw 對於客戶端傳遞的 senderIsOwner 標記過度信任。原本這個標記是用來告知系統呼叫者是否為擁有者，但系統竟然直接信任這個由客戶端控制的標記，而沒有對其進行身分驗證。
這導致非擁有者身分的用戶只要在請求中將該標記設為 True，就能冒充擁有者，進而控制閘道配置、排程任務（Cron）以及管理整個執行環境。
最後的持久化控制
當攻擊者掌握了擁有者權限，並能利用之前的 TOCTOU 漏洞寫入檔案後，他們就可以在主機中植入後門（Backdoor），確保即便初始的進入點被封堵，依然能隨時重新進入系統。
為什麼這次攻擊難以偵測
這次事件最危險的地方在於，攻擊者是利用 AI Agent 本身就擁有的權限來進行操作。在傳統的安全監控系統看來，這些行為（讀取檔案、修改配置、執行指令）看起來就像是 AI Agent 在正常工作。這大大擴展了攻擊的影響範圍，也讓偵測變得極其困難。
修復方案與工程實務建議
OpenClaw 已在 2026.4.22 版本中修復了這些問題。針對 CVE-2026-44118 的修復方式非常有參考價值：開發團隊取消了對客戶端傳遞標記的信任，改為發行區分權限的 Bearer Token（一種承載令牌，用於身分驗證）。現在系統會根據 Token 的類別來判定 senderIsOwner 的狀態，而非信任請求標頭中的宣告。
對於工程師的啟示是，絕對不能信任任何來自客戶端的權限宣告。所有涉及權限的判定必須基於伺服器端驗證的身分憑證。同時，在設計沙箱環境時，應盡量避免依賴路徑檢查來達成隔離，而應使用更底層的機制（如 Linux Namespaces 或 Cgroups）來確保物理上的隔離。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。