随着人工智能技术快速发展，AI智能体正被广泛部署各类系统与平台中；在提升效率与体验的同时，智能体也带来了新的网络安全风险。近期，三六零依托自主研发的漏洞挖掘智能体体系，对OpenClaw智能体开展安全评估，发现并上报3个关键漏洞，包括1个高危漏洞和2个中危漏洞。目前对应的问题已获官方及时修补并公开披露。此次发现有助于提升OpenClaw平台的安全性，也为AI智能体生态的安全治理提供了参考。 问题上，三大漏洞分别出现在本地脚本审批机制、OAuth授权流程以及语音通话数据处理环节。高危漏洞源于本地脚本执行阶段的审批逻辑缺陷：系统仅校验脚本是否“已审批”，未校验审批后的脚本内容是否被篡改。攻击者可在审批通过后替换为恶意代码，从而在用户设备上实施未授权操作，包括信息窃取、文件篡改甚至远程控制。两处中危漏洞分别为：OAuth流程中敏感参数被错误复用，导致关键校验信息泄露，攻击者可通过剪贴板劫持或网络代理等方式窃取访问令牌并接管账号；以及语音通话场景下WebSocket数据处理缺少严格的合法性校验，可能被超大数据包触发资源耗尽，造成系统崩溃并影响服务可用性。 造成上述问题的主要原因在于智能体架构复杂、迭代频繁，安全设计与验证容易出现缺口。传统安全检测手段难以覆盖智能体多样的授权逻辑与高频交互流程，使部分关键环节成为盲区。同时，私钥管理不规范、资源校验不足等工程问题也会继续放大风险。三六零此次通过集成自研智能体系统，对复杂漏洞特征进行学习与识别，补足了传统规则扫描在攻击链隐蔽风险点上的不足。 这些漏洞一旦被利用，将直接影响用户设备安全、数据隐私与账户完整性，带来明显的安全与业务风险。在数字化、智能化持续推进的背景下，AI智能体的安全防护正在成为平台与生态建设的基础能力。三六零结合多年网络安全经验与智能体技术探索，提出“以智能体监管智能体”的思路，推动漏洞发现从规则驱动向更智能的分析与判断演进，以提升发现效率与准确性。 应对挑战，三六零提出并实践“以模治模”理念，利用智能体的自学习、自进化能力持续升级漏洞挖掘技术。通过将安全专家的攻防经验进行数字化沉淀与复用，把重复性的检测工作自动化，使专家更聚焦于高层次的安全策略与风险研判，形成“机器执行、专家决策”的协同机制。未来，三六零将继续深化AI智能体及大模型安全研究与落地，完善更精准、高效的智能攻防体系，提升智能时代的数字安全能力。 展望未来，随着智能体技术更大规模落地，网络安全攻防的复杂度与时效压力仍将上升。如何在持续创新的同时实现有效治理，将成为行业需要共同应对的课题。三六零此次对OpenClaw漏洞的发现与修复，展示了智能攻防在真实场景中的应用价值，也为构建更安全、可控、可信的智能生态提供了实践样本。随着智能攻防能力不断演进，数字经济的发展也将获得更稳固的安全支撑，推动安全与创新形成良性循环。
智能体带来的效率提升不应以安全为代价；将安全前移到设计阶段、嵌入到运行环节，并沉淀为可持续演进的机制，才能在快速迭代与攻击手段升级的双重压力下，守住技术创新的基础能力。面向智能时代，构建更可靠、更可控、更可验证的安全体系，将成为行业竞争力的重要组成部分。