GoPlus cảnh báo: ClawHub có lỗ hổng giả mạo số lượng tải xuống, kỹ năng độc hại có thể lấy trộm dữ liệu ví.

Gate News Tin tức, ngày 26 tháng 3, GoPlus Security đã phát hành cảnh báo an ninh cho biết, các nhà nghiên cứu an ninh của Silverfort đã phát hiện ra lỗ hổng nghiêm trọng trong kho kỹ năng của OpenClaw, ClawHub. Kẻ tấn công có thể vượt qua cơ chế bảo vệ bằng cách gọi hàm nội bộ downloads:increment, chỉ với một yêu cầu curl, có thể trong vài phút làm tăng số lượt tải xuống lên hơn 20.000 lần, từ đó đẩy kỹ năng chứa mã độc lên vị trí hàng đầu trong kết quả tìm kiếm, dụ dỗ người dùng hoặc AI Agent tự cài đặt. Một khi kỹ năng độc hại chạy, nó có thể đánh cắp dữ liệu nhạy cảm như ví tiền mã hóa, API key. Lỗ hổng này đã được khắc phục trong vòng 24 giờ. GoPlus nhấn mạnh rằng số lượt tải cao không đồng nghĩa với an toàn, khuyên dùng AgentGuard để quét và bảo vệ an ninh.