1. OpenClaw 木马攻击到底怎么中的：从供应链投毒到凭据外泄的完整链路

OpenClaw 是一个开源 AI 智能体框架，早期叫 Clawdbot、Moltbot，主打本地运行、技能插件化、能直接读写文件和执行终端命令。它能做什么？简单说就是让大模型帮你操作电脑：整理文件、跑脚本、抓网页、调 API。适合谁？适合想搭个人自动化助手的开发者、运维和折腾党。但正因为权限大、插件生态开放，它成了木马攻击的重灾区。

我复盘这次事件时发现，攻击者并不是直接黑进你的机器，而是走了一条更隐蔽的路：供应链投毒。核心链路分四步。

第一步，恶意技能上架。ClawHub 这类技能市场里，攻击者上传伪装成「加密货币价格跟踪」「YouTube 视频摘要」「PDF 批量转换」的技能包。这些技能描述正常、README 齐全，但安装脚本里藏了 Base64 混淆的载荷。有安全团队抽样统计，约 11.9% 的技能存在恶意行为，这个比例相当高。

第二步，诱导执行。技能安装时往往要求「前置条件」，比如先运行一段 bash 或 PowerShell 完成「环境初始化」。用户一看是安装步骤，直接复制执行，载荷就落地了。

第三步，身份验证绕过。OpenClaw 默认信任 localhost 连接，本地访问免鉴权。如果你用 Nginx 或 Caddy 做反向代理，真实 IP 会被误判成 127.0.0.1，密码和 Token 校验直接被跳过。攻击者通过代理跳板就能拿到管理员权限。

第四步，凭据窃取与远程控机。载荷通常是 Atomic Stealer 这类窃取器，目标很明确：API 密钥、SSH 私钥、浏览器 Cookie、钱包私钥、云服务凭证。拿到后静默外发到 C2 服务器，同时留后门实现远程控机。

还有一个容易被忽略的点：间接指令注入。OpenClaw 在同一个上下文里处理你的指令和它读到的外部内容（邮件、网页、文档）。如果它读了一封恶意邮件，邮件里藏的命令可能被当成你的指令执行。这个设计缺陷让攻击面从「你主动装了什么」扩大到「它读了什么」。

受影响面怎么判断？如果你满足以下任意一条，就要警惕：装过来源不明的技能；用反向代理暴露过 OpenClaw 端口；在 OpenClaw 环境里配置过云厂商 AccessKey 或 OpenAI/Anthropic 的 API Key；让它读过外部邮件或网页。这几类场景下，凭据泄露的风险最高。

我自己的做法是先把所有智能体的凭据做物理隔离，不让它们共用一套 Key。这也是后面要重点讲的 TaoToken 统一 Key 隔离实践——把「一个 Key 走天下」改成「一个智能体一个 Key，统一走一个通道」，这样即使某个智能体被投毒，泄露的凭据也是受限的、可快速轮换的。

2. TaoToken 前置准备：统一 Key 通道如何隔离各智能体凭据

在讲配置之前，先说清楚为什么要用 TaoToken 做统一 Key 通道。传统做法是每个智能体、每个工具都配一套原始厂商的 API Key。问题在于：Key 散落在各个配置文件里，一旦某个智能体被投毒，攻击者拿到的可能是你主力账号的 Key，影响面直接拉满。而且轮换的时候要一个个改，容易漏。

TaoToken 的思路是做一个统一的 API 通道。你只需要在 TaoToken 侧管理上游凭据，各智能体统一指向 TaoToken 的 Base URL，用 TaoToken 签发的 Key。这样带来三个好处：一是隔离，每个智能体可以签发独立的 Key，权限和额度单独控制；二是可轮换，某个 Key 疑似泄露，在控制台吊销重签即可，不用动上游厂商配置；三是可审计，哪个 Key 在什么时候调了什么模型，通道侧有记录。

前置准备分三步。

第一步，注册并登录 TaoToken 控制台。地址是 https://taotoken.net/api ，这是 API 入口。控制台里可以创建和管理 Key。建议先建一个「管理用」Key，专门用来做后续的 Key 签发和额度分配，不要拿它去跑业务。

第二步，规划 Key 粒度。我的建议是按「智能体 + 用途」两个维度拆。比如 OpenClaw 主智能体一个 Key，负责网页抓取的子技能一个 Key，负责代码执行的子技能一个 Key。这样即使抓取技能被投毒，泄露的 Key 也只能调它被授权的模型，动不了你其他智能体的额度。

第三步，确认模型 ID。TaoToken 通道兼容主流模型调用格式，你在配置里填的 Model ID 要和通道侧支持的名称一致。常见的有 claude 系列、gpt 系列等。具体支持列表在接入文档里查，地址是 https://taotoken.net/api ，文档里有完整的模型对照表。

这里有个关键点：OpenClaw 这类智能体框架通常支持自定义 OpenAI 兼容的 Base URL。你要做的就是把它的 Base URL 从原始厂商地址改成 TaoToken 的 API 地址，把 API Key 换成 TaoToken 签发的 Key，Model ID 填通道支持的名称。三件套齐了，智能体就能正常跑，但凭据已经和上游解耦了。

如果你用的是 Claude Code 这类编码智能体，配置逻辑一样：Base URL 指向 TaoToken，Key 用签发的，Model ID 填对应名称。Cline、Codex 的 auth.json 也是同样思路。后面配置章节会给具体的 JSON 和 TOML 片段。

还要提醒一点：TaoToken 是合规的 API 聚合通道，不是所谓的「中转」。它的作用是帮你统一管理凭据、做权限隔离和审计，这在供应链攻击频发的当下是实打实的安全收益。别把它当成绕过什么限制的工具，定位就是凭据治理。

3. 可复制配置：依赖锁定、权限最小化与 TaoToken 三件套

这一节给可直接复制的配置。分三块：依赖锁定、权限最小化、TaoToken 接入三件套。

先说依赖锁定。OpenClaw 的技能安装如果直接拉最新版，等于把供应链风险敞口开到最大。正确做法是锁定版本 + 校验哈希。在项目根目录建一个skills.lock.json：

{ "skills": [ { "name": "web-summary", "version": "1.2.3", "source": "official", "integrity": "sha256-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", "autoUpdate": false }, { "name": "file-organizer", "version": "0.9.1", "source": "official", "integrity": "sha256-yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy", "autoUpdate": false } ], "allowUnverified": false, "installScriptPolicy": "deny" }

关键字段说明：integrity是技能包的哈希，安装前校验，对不上就拒绝；autoUpdate设为 false，禁止静默升级；allowUnverified设为 false，只允许官方源；installScriptPolicy设为 deny，禁止技能在安装时执行任意脚本。这一条能挡掉大部分「前置条件」型投毒。

然后是权限最小化。OpenClaw 默认拿系统级读写和终端执行权限，这太宽了。在config.yaml里收紧：

security: localhost_auth: true require_token: true workspace_only: true allowed_paths: - ~/OpenClaw-Workspace denied_commands: - rm - dd - mkfs - curl - wget command_timeout: 30 network: allow_outbound: true allowed_hosts: - api.taotoken.net deny_private_ip: true

localhost_auth: true强制本地连接也要 Token，堵住免鉴权绕过；workspace_only把文件读写限制在工作目录；denied_commands禁掉高危命令；allowed_hosts只放行 TaoToken 的 API 域名，其他出站一律拒绝，这样即使载荷想外发数据也发不出去。

如果你用 Nginx 做反向代理，还要加真实 IP 配置，避免 IP 误判：

set_real_ip_from 127.0.0.1; real_ip_header X-Real-IP; real_ip_recursive on;

最后是 TaoToken 三件套。OpenClaw 的模型配置在~/.openclaw/config.yaml或项目级配置里，改成：

model: provider: openai-compatible base_url: "https://taotoken.net/api" api_key: "sk-你的TaoToken密钥" model_id: "claude-3-5-sonnet" timeout: 60

三件套就是 Base URL、API Key、Model ID。Base URL 固定填https://taotoken.net/api，Key 用控制台签发的，Model ID 填通道支持的名称。如果你用 Claude Code，配置在~/.claude/settings.json：

{ "env": { "ANTHROPIC_BASE_URL": "https://taotoken.net/api", "ANTHROPIC_API_KEY": "sk-你的TaoToken密钥", "ANTHROPIC_MODEL": "claude-3-5-sonnet" } }

Cline 的 MCP 配置类似，在cline_mcp_settings.json里把 provider 的 baseUrl 和 apiKey 换成 TaoToken 的。Codex 的auth.json也是同样三件套逻辑。核心原则：所有智能体的上游地址统一指向 TaoToken，Key 各自独立。

4. 验证请求与成功结果：一次本地恶意依赖扫描加凭据轮换

配置改完，必须验证两件事：一是智能体能正常通过 TaoToken 通道调通模型，二是本地没有残留的恶意依赖。

先验证通道。用 curl 直接打 TaoToken 的 API，确认 Key 有效：

curl -X POST https://taotoken.net/api/v1/chat/completions \ -H "Authorization: Bearer sk-你的TaoToken密钥" \ -H "Content-Type: application/json" \ -d '{ "model": "claude-3-5-sonnet", "messages": [{"role": "user", "content": "ping"}], "max_tokens": 10 }'

返回里如果有choices字段和正常内容，说明通道通了。如果返回 401，说明 Key 有问题；如果返回reading choices相关错误，说明响应格式没对上，检查 Model ID 是否正确。

然后启动 OpenClaw，让它跑一个简单任务，比如「总结当前目录下的 README」。观察日志里模型调用是否走 TaoToken，有没有报错。成功的话，日志里会显示请求发往api.taotoken.net，响应正常。

接下来做本地恶意依赖扫描。这一步是判断你有没有中招的关键。先查进程和启动项：

# macOS launchctl list | grep -i openclaw ls -la ~/Library/LaunchAgents/ | grep -i openclaw ps aux | grep -i openclaw # Windows PowerShell Get-CimInstance -ClassName Win32_StartupCommand | Where-Object {$_.Command -like "*openclaw*"} Get-Process | Where-Object {$_.ProcessName -like "*openclaw*"}

看有没有你不认识的 openclaw 相关进程或启动脚本。然后查网络连接：

# macOS lsof -i -P | grep -i openclaw netstat -an | grep ESTABLISHED # Windows netstat -ano | findstr "ESTABLISHED"

重点看有没有连向陌生 IP 的出站连接。如果发现可疑 IP，记下来做溯源。

再扫恶意文件。重点目录：

# macOS ls -la ~/Downloads ~/tmp ~/Library/Application\ Support/OpenClaw find ~ -name "openclaw-agent.zip" -o -name "*.sh" -newer ~/Downloads 2>/dev/null # Windows dir %USERPROFILE%\Downloads dir %TEMP% dir %LOCALAPPDATA%\OpenClaw\skills

找 Base64 混淆脚本、来源不明的 bash 文件、可疑 zip。找到后不要直接删，先备份样本再处理。

最后做凭据轮换。这是止损的核心动作。按优先级：先换云服务 AccessKey（阿里云、腾讯云、AWS 等），再换代码仓库 Token（GitHub、GitLab），再换模型厂商 API Key，最后换 SSH 密钥和钱包私钥。每换一个，在 TaoToken 控制台吊销对应的旧 Key，重新签发新 Key，更新到各智能体配置里。

轮换完再跑一次上面的验证请求，确认新 Key 生效、旧 Key 已失效。这一步做完，即使之前凭据泄露，攻击者手里的也已经是废 Key。

5. 本篇常见错排查：401、local proxy failed、reading choices 与 OAuth 报错

配置和验证过程中，几个报错特别常见，逐个拆。

401 Unauthorized。最常见的原因是 Key 填错或已吊销。先确认 TaoToken 控制台里这个 Key 状态是「启用」，没被误删。然后检查配置文件里 Key 有没有多余空格或换行。如果是环境变量注入的，确认变量名对得上，比如 Claude Code 用的是ANTHROPIC_API_KEY，别写成OPENAI_API_KEY。还有一种情况：Key 有额度限制，用超了也会 401，去控制台看余额和用量。

local proxy failed。这个报错通常出现在智能体尝试走本地代理但代理没起来，或者代理配置指向了不存在的地址。如果你没配代理，检查配置文件里有没有残留的proxy字段，删掉。如果配了反向代理，确认 Nginx/Caddy 进程在跑，端口对得上。还有一种：allowed_hosts里没放行 TaoToken 域名，导致出站被拦，表现也像代理失败。把api.taotoken.net加进白名单。

reading choices 报错。典型信息是cannot read property 'choices' of undefined或reading 'choices'。这说明请求发出去了，但响应格式不是预期的 OpenAI 兼容格式。原因通常是 Model ID 填错，通道返回了错误结构。去 TaoToken 接入文档核对支持的 Model ID 列表，填对名称。另一个可能是 Base URL 少了/v1或多了/v1，不同框架要求不一样，OpenClaw 一般填到/api即可，具体看文档。

OAuth 相关报错。如果你用 Claude Code 或 Codex 的 OAuth 登录方式，可能会遇到OAuth token expired或invalid_grant。这类报错说明你在用 OAuth 而不是 API Key。解决办法是切到 API Key 模式，把三件套配好，别走 OAuth。因为 OAuth 的凭据轮换更麻烦，而且和 TaoToken 的 Key 隔离思路不搭。统一用 API Key，轮换和审计都清晰。

技能安装被拒。如果你按前面的installScriptPolicy: deny配了，某些技能会装不上，报「install script blocked」。这是预期行为，不是 bug。遇到这种技能，先看它的安装脚本要干什么，确认安全后临时放行，装完再改回 deny。别为了图省事把策略改成 allow，那等于把门敞开。

端口暴露告警。如果扫描发现 OpenClaw 默认端口 3000 或 8080 对公网开放，立刻用防火墙限制。只允许信任 IP 访问，或者干脆只监听 127.0.0.1。公网暴露的智能体等于把终端执行权限挂在网上，风险极高。

排查顺序建议：先看 Key 和 Base URL 对不对，再看网络白名单，再看 Model ID，最后看框架版本兼容性。大部分报错集中在前两项。

6. 把凭据治理做成习惯：TaoToken 统一 Key 的长期实践

这次 OpenClaw 事件给我的最大教训不是「某个技能有木马」，而是「凭据散落本身就是最大的风险」。一个智能体一套 Key，散在十几个配置文件里，你根本不知道哪个泄露了、该换哪个。所以我把凭据治理做成了固定动作。

第一，所有智能体的模型调用统一走 TaoToken 通道。Base URL 固定https://taotoken.net/api，Key 在控制台按智能体粒度签发。新搭一个智能体，先建 Key，再配三件套，不直接填上游厂商的 Key。

第二，Key 命名带用途和日期。比如openclaw-web-202503、cline-code-202503。这样一看就知道是哪个智能体、什么时候签的。轮换的时候按日期批量处理，不会漏。

第三，每月做一次凭据轮换演练。不用等出事，定期把非核心 Key 吊销重签，走一遍流程，确认配置更新顺畅。真出事的时候就不会手忙脚乱。

第四，技能安装坚持「锁定 + 校验 + 禁脚本」。skills.lock.json里的 integrity 哈希是硬门槛，对不上直接拒。安装脚本默认 deny，需要时临时放行。

第五，出站白名单只放行 TaoToken 域名。这样即使某个技能被投毒，载荷想外发数据也出不去。配合日志审计，异常调用能第一时间发现。

如果你还在用「一个 Key 跑所有智能体」，建议这周就改掉。去 TaoToken 控制台建几个独立 Key，把配置里的 Base URL 和 Key 换掉，跑一遍验证请求。花不了半小时，但安全收益是长期的。接入文档在 https://taotoken.net/api ，模型列表和配置示例都有。长期跑编码和 Agent 任务的，可以看下 Coding Plan，额度管理更省心。