Maraming OpenClaw gateway ang lantad sa internet

Nagtala ang Censys ng 21,639 OpenClaw gateway na maaabot mula sa pampublikong internet noong 31 January 2026; umabot naman sa 192,492 ang bilang sa index ng OpenA2A noong 1 September.

Ano ang nangyari

Mula January 2026, nagbilang ang mga researcher ng mga OpenClaw gateway na maaabot mula sa pampublikong internet. Nakakita ang Censys ng 21,639 noong 31 January at 63,070 noong 31 March. Nagtala naman ang SecurityScorecard STRIKE ng humigit-kumulang 40,000 hanggang 42,900 noong February, at tinatayang 15,200 sa mga ito ang mukhang bulnerable sa remote code execution. Umabot sa 192,492 ang bilang sa index ng OpenA2A noong 1 September 2026.

Nagkakaiba nang hanggang sampung ulit ang mga bilang depende sa paraan ng pagsukat: raw na Shodan hit sa default port na 18789, mga host na nakumpirma sa pamamagitan ng fingerprint, o mga natatanging IP address. Sa pagsusuri nito noong March, nakakita ang OpenA2A ng 249,366 Shodan hit, at nakumpirma ang humigit-kumulang 30% ng mga ito, kaya tinatayang nasa 75,000 ang kabuuan.

Bakit ito nagtagumpay

Naka-bind sa loopback ang gateway bilang default, pero sa loob ng mga container, awtomatikong nagiging 0.0.0.0 ang halaga ng gateway.bind, at inilalagay sa network ang gateway kapag iba pang halaga ang itinakda rito. Iniulat ng OpenA2A na walang authentication ang default na configuration; para iyon sa mga mas lumang release, at hinihingi na ng kasalukuyang docs ang isang token at isinasara ang access kapag may pagkabigo.

Ano ang dapat gawin

• I-bind lang ang gateway sa loopback; para sa remote access, gumamit ng SSH tunnel o Tailscale Serve.
• Sa Docker, i-publish lang ang port 18789 sa 127.0.0.1, o huwag itong i-publish.
• Gumamit ng gateway token na may hindi bababa sa 24 na character, halimbawa, mula sa openssl rand -hex 32.
• Patakbuhin ang openclaw security audit --deep at ayusin ang mga problemang matutukoy nito.
• Mula sa labas ng network mo, i-scan ang pampublikong IP address mo para sa port 18789.

Huwag ilantad sa internet ang mga control planeI-sandbox ang code at pagpapatakbo ng tool

Sundin ang checklist sa seguridad →