文章总结： 文档披露AI工具Clawdbot因反向代理部署导致认证绕过漏洞，致使数千个实例暴露公网。该问题源于默认配置将外部流量误判为本地，允许未授权访问及命令执行，引发数据泄露风险。官方已更新文档并提交修复，建议用户立即查阅最新安全规范以加固实例，防止敏感信息被窃取。 综合评分： 82 文章分类： 漏洞分析,漏洞预警,AI安全,数据安全

“AI网红”Clawdbot数千个Agent暴露在公网“裸奔”

FreeBuf

2026年1月28日 18:31 上海

当前流行的AI助手工具Clawdbot正在社交媒体上快速扩散，众多用户通过Mac mini硬件进行部署。但该工具同样适用于容器化环境或虚拟专用服务器(VPS)，而默认配置往往会导致服务暴露在公共互联网上。

虽然全球可达性让用户能从任何地点访问Clawdbot，但大量用户未能实施严格的安全协议。这一疏忽使得众多实例直接暴露于外部探测之下——事实上，安全研究团体已发现多个毫无防护的Clawdbot节点正在运行。

Clawdbot作为”数字管家”拥有广泛权限，通常存储着大量第三方服务的凭证。因此，未受保护且暴露的实例就像透明通道，攻击者可借此窃取敏感用户数据。O’Reilly网络安全社区的调查显示，目前有超过1000个实例可通过公开扫描访问，其中至少300个完全没有任何认证机制。

Part01

漏洞根源：认证逻辑与部署模式的交互问题

该漏洞的核心在于Clawdbot认证逻辑与部署模式之间的交互问题。控制界面采用加密设备标识和挑战-响应协议，但在默认本地开发配置中，来自localhost的连接会被自动批准而无需进一步验证。

当用户转向使用NGINX或Caddy作为反向代理的生产环境时，所有传入流量看似都来自127.0.0.1。这一架构特性导致外部请求被错误归类为本地流量，从而绕过认证并允许执行任意命令。

Part02

潜在危害：数据泄露与系统操控

考虑到Clawdbot管理的海量机密遥测数据，被攻陷的实例可使攻击者通过提示注入、响应篡改或通过集成通道未经授权窃取数据等方式操控Agent。随着Agent被授予的系统权限级别提升，风险呈比例上升。

Part03

安全建议与修复措施

安全社区已提交Pull Requests(PR)来强化默认配置并增强代理感知认证功能。Clawdbot官方文档也已更新，强调严格的安全准则。当前托管Clawdbot实例的用户应立即查阅最新安全规范以加强防御。

参考来源：

Lock the Front Door: The “Localhost” Loophole Leaving Thousands of Clawdbot Agents Exposed

Lock the Front Door: The “Localhost” Loophole Leaving Thousands of Clawdbot Agents Exposed

#

#

#

推荐阅读

电台讨论

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：FreeBuf 《“AI网红”Clawdbot数千个Agent暴露在公网“裸奔”》