[{"data":1,"prerenderedAt":323},["ShallowReactive",2],{"copy:zh:site:":3,"copy:zh:security:hub,ui,owasp,mitigations,incidents.2025-04-mcp-tool-poisoning.title,incidents.2025-05-github-mcp-toxic-agent-flow.title,incidents.2025-06-echoleak-m365-copilot.title,incidents.2025-06-mcp-inspector-rce.title,incidents.2025-07-filesystem-mcp-escaperoute.title,incidents.2025-07-supabase-mcp-token-leak.title,incidents.2025-07-mcp-remote-os-command-injection.title,incidents.2025-07-amazon-q-wiper-prompt.title,incidents.2025-09-postmark-mcp-backdoor.title,incidents.2026-01-openclaw-control-ui-rce.title,incidents.2026-01-moltbook-database-exposure.title,incidents.2026-openclaw-gateways-exposed.title,incidents.2026-02-clawhavoc-malicious-skills.title,incidents.2026-02-mcp-typescript-sdk-response-leak.title,incidents.2026-04-comment-and-control-ci-secrets.title,incidents.2026-06-mcp-python-sdk-session-hijack.title,incidents.2026-06-claude-code-webfetch-exfiltration.title":123,"copy:zh:site:common":321},{"common":4,"nav":16,"footer":44,"home":51,"error":116},{"skip":5,"menu":6,"language":7,"sections":8,"footer":9,"tool":10,"home":11,"breadcrumbs":12,"copy":13,"copied":14,"download":15},"跳转到正文","菜单","语言","章节","页脚","工具","首页","面包屑导航","复制","已复制","下载",{"groups":17,"items":25},{"build":18,"connect":19,"instruct":20,"run":21,"web":22,"secure":23,"track":24},"构建","连接","编写指令","运行","开放你的网站","安全","跟踪",{"models":26,"cost":27,"frameworks":28,"mcp":29,"mcpConfig":30,"mcpClients":31,"agentsMd":32,"files":33,"openclaw":34,"agentReady":35,"llmsTxt":36,"robotsTxt":37,"apiCatalog":38,"bots":39,"security":40,"incidents":41,"checklist":42,"changelog":43},"模型与 API 价格","Agent 成本计算器","框架与 SDK","MCP 服务器","MCP 配置生成器","MCP 客户端","AGENTS.md 生成器","指令文件","自托管 OpenClaw","适配 Agent 的网站","llms.txt 生成器","面向 AI 机器人的 robots.txt","API 目录生成器","AI 机器人目录","Agent 安全","事故记录","安全检查清单","更新日志",{"about":45,"privacy":46,"terms":47,"sitemap":48,"disclaimer":49,"checked":50},"关于","隐私","条款","网站地图","为 AI agent 开发者提供的独立参考资料。与此处提及的任何厂商均无关联。","事实核查日期：{date}",{"seo":52,"eyebrow":55,"title":56,"lead":57,"ctaMcp":58,"ctaCost":59,"ctaAgents":60,"sheetLabel":61,"sheetTitle":62,"sheet":63,"sheetNote":69,"sectionsTitle":70,"sections":71,"latestTitle":99,"allChanges":100,"rulesTitle":101,"rules":102,"aboutLink":115},{"title":53,"description":54},"DotsAgent：构建 AI agent 的参考资料与工具","LLM API 价格、agent 成本计算器、适用于 13 个客户端的 MCP 配置、AGENTS.md 和 llms.txt 生成器，以及 agent 安全指南。免费提供，支持 18 种语言。","面向 AI agent 开发者","Agent 开发者的案头参考","涵盖 agent 开发所需的价格、协议、配置文件和安全指南，所有信息均经厂商官方文档核实。查找信息、生成所需文件，然后继续编写代码。","生成 MCP 配置","计算 agent 任务成本","编写 AGENTS.md","最新数据","技术栈概览",{"mcp":64,"openclaw":65,"cheapest":66,"models":67,"servers":29,"bots":68},"MCP 规范","OpenClaw","最低价模型，$\u002F百万输入\u002F输出 tokens","已统计价格的模型","已跟踪的 AI 机器人","每项数据均经人工对照厂商文档核实。","网站内容",{"models":72,"mcp":76,"instructions":79,"frameworks":82,"openclaw":85,"agentReady":88,"security":92,"changelog":95},{"title":73,"body":74,"unit":75},"模型与价格","并列比较每百万输入、输出和缓存 token 的价格，并提供计算器，估算完整 agent 运行的费用。","个模型",{"title":29,"body":77,"unit":78},"Model Context Protocol 服务器目录，以及配置生成器，可为每种客户端生成对应的配置文件。","台服务器",{"title":33,"body":80,"unit":81},"编写 AGENTS.md，并了解各工具如何读取 CLAUDE.md、.cursor\u002Frules 等类似文件。","种文件格式",{"title":28,"body":83,"unit":84},"按语言、许可证、MCP 支持和多 agent 功能对比 agent 框架与厂商 SDK。","个框架",{"title":34,"body":86,"unit":87},"逐步指导你在自己的设备或服务器上安装、配置和更新 OpenClaw。","当前版本",{"title":89,"body":90,"unit":91},"适配 agent 的网站","生成 llms.txt、面向 AI crawler 的 robots.txt 规则和 api-catalog，并通过 user agent 查询任意机器人。","个已收录机器人",{"title":40,"body":93,"unit":94},"了解 agent 面临的 OWASP 风险、真实事件记录，以及上线前可逐项核对的清单。","起已记录事件",{"title":96,"body":97,"unit":98},"API 更新日志","按日期记录模型 API、SDK 和协议的变更，并附上厂商公告链接。","条记录","最新变更","所有变更","我们如何确保信息准确",[103,106,109,112],{"title":104,"body":105},"事实均有来源。","每项价格、版本和 flag 都链接到对应的供应商页面，方便你自行核实。",{"title":107,"body":108},"定期核查。","每个页面都会显示上次核查信息的时间；过时的条目会重新核查或移除。",{"title":110,"body":111},"不接受付费推广。","没有人能付费获得收录、提高排名或得到更好的描述。",{"title":113,"body":114},"工具在浏览器中运行。","生成器和计算器都在本地运行，你输入的内容不会发送到服务器。","关于 DotsAgent",{"title":117,"body":118,"home":119,"popular":120,"failed":121,"failedBody":122},"找不到页面","此地址没有对应的页面。页面可能已迁移，或者链接中有拼写错误。","前往首页","热门工具","出了点问题","我们这边未能加载此页面。请稍后再试，或从首页开始浏览。",{"hub":124,"ui":175,"owasp":177,"mitigations":240,"incidents":286},{"seo":125,"eyebrow":128,"title":129,"lead":130,"trifectaTitle":131,"trifecta":132,"trifectaRule":142,"checklistKind":143,"checklistTitle":42,"checklistBody":144,"incidentsKind":145,"incidentsTitle":146,"incidentsBody":147,"recentTitle":148,"agenticTitle":149,"agenticLead":150,"llmTitle":151,"llmLead":152,"defencesTitle":153,"defencesLead":154,"faqTitle":155,"faq":156},{"title":126,"description":127},"AI 智能体安全：OWASP 十大风险、事件与防护","智能体安全参考：2026 年 OWASP 两份十大风险清单、从 MCP 到 OpenClaw 的 17 起真实事件、15 项防护措施，以及面向 AI 智能体交付团队的检查清单。","安全 · 参考","智能体安全","智能体会读取陌生人编写的文本，然后使用你的凭据执行操作。本页介绍核心原则、2026 年 OWASP 的两份清单、迄今发生的安全事件，以及本可阻止这些事件的防护措施。","致命三要素",[133,136,139],{"title":134,"body":135},"访问私有数据","电子邮件、代码仓库、数据库、文件，或任何受你的凭据保护的内容。",{"title":137,"body":138},"接触不可信内容","网页、Issue、支持工单、收到的电子邮件和工具描述：任何攻击者都能编写的文本。",{"title":140,"body":141},"能够对外通信","发送邮件、创建 pull request、获取 URL 或渲染远程图片。Simon Willison 于 2025 年 6 月将这三项称为一个组合。","如果一个智能体同时具备这三项能力，就要假设提示词注入可能诱使它把你的数据交给攻击者。不要指望模型主动拒绝；应从每个智能体和会话中至少移除一项能力。","交互式检查清单","涵盖输入、工具、运行时、MCP、CI 和运维的 22 项检查。逐项勾选，并将结果导出为 Markdown 文件。","{n} 起事件","事件记录","记录自 2025 年 4 月以来公开的每起智能体安全事件：发生了什么、攻击为何得手，以及你应如何调整自己的配置。","近期事件","OWASP 智能体应用十大风险 {year}","OWASP GenAI Security Project 于 {date} 发布了这份清单。它涵盖了模型开始规划、保留记忆、调用工具并与其他智能体协作后出现的风险。","OWASP 大语言模型应用十大风险 {year}","本版于 {date} 发布，取代了 2025 年版。过度自主性从第六位升至第三位，系统提示词泄露则更名为隐藏上下文暴露。","防护措施","这里列出了 15 项有文档依据的防护措施，每项均附有来源链接。应组合使用多项措施，因为没有任何一项能独自阻止所有攻击。","智能体安全常见问题",[157,160,163,166,169,172],{"q":158,"a":159},"什么是 AI 智能体中的提示词注入？","提示注入是指模型把某些文本当作指令执行，尽管这些文本实际是以数据的形式传入的，例如网页、电子邮件或工具描述中的文本。在智能体中，这些指令可能触发使用你凭据运行的工具调用。OWASP 将其列为 LLM01:2026，智能体形式则属于 Agent Goal Hijack (ASI01)。",{"q":161,"a":162},"AI 智能体的致命三要素是什么？","这是 Simon Willison 对一种智能体的称呼：它既能访问私有数据，又会接触不可信内容，还能与外部通信。三者同时具备时，提示注入就可能读取你的数据并将其发送出去。2025 年 Supabase MCP 令牌泄露事件就是典型案例。",{"q":164,"a":165},"如何保护 MCP 服务器？","拒绝未签发给你服务器的访问令牌，绝不要将客户端的令牌转发给上游 API。为每个会话创建独立的服务器和传输实例，并将会话和任务绑定到经过身份验证的用户。TypeScript SDK 请使用 1.26.0 或更高版本，Python SDK 请使用 1.27.2 或更高版本；这些版本修复了跨客户端响应泄露和会话劫持问题。",{"q":167,"a":168},"更好的系统提示能阻止提示注入吗？","不要依赖系统提示。关于智能体设计模式的研究指出，一旦智能体接收了不可信输入，就必须对其加以约束，确保这些输入无法触发会造成重大影响的操作。CaMeL 通过能力追踪来实施约束，在具备可证明安全性的同时完成了 77% 的 AgentDojo 任务；未设防的智能体则完成了 84%。",{"q":170,"a":171},"OWASP LLM Top 10 和 Agentic Top 10 有什么区别？","OWASP Top 10 for LLM Applications 针对所有基于语言模型构建的应用所面临的风险，其 2026 版于 4 August 2026 发布。OWASP Top 10 for Agentic Applications 于 9 December 2025 发布，关注模型开始规划、使用工具、保留记忆并与其他智能体通信后出现的变化。大多数智能体开发者都需要参考这两份指南。",{"q":173,"a":174},"将 OpenClaw 网关暴露到互联网安全吗？","不安全。将 gateway.bind 保持为默认值 loopback；需要远程访问时，使用 SSH 隧道或 Tailscale Serve。OpenA2A 在 1 September 2026 统计到 192,492 个暴露在公网的网关；CVE-2026-25253 也表明，即使仅绑定 loopback 的安装也需要及时打补丁。",{"crumb":129,"sources":176},"来源",{"agentic":178,"llm":209},{"ASI01":179,"ASI02":182,"ASI03":185,"ASI04":188,"ASI05":191,"ASI06":194,"ASI07":197,"ASI08":200,"ASI09":203,"ASI10":206},{"name":180,"body":181},"智能体目标劫持","攻击者改变智能体试图实现的目标，通常通过隐藏在智能体读取内容中的指令实现。随后，智能体会使用用户的工具和权限追求攻击者的目标。",{"name":183,"body":184},"工具误用与滥用","智能体以有害方式使用合法工具，例如删除记录、发送消息或串联调用。这可能是因为智能体受到操纵，也可能是因为它拥有超出任务所需范围的工具权限。",{"name":186,"body":187},"身份与权限滥用","智能体通过凭据、委托令牌和继承的权限执行操作。攻击者会滥用这些身份或身份之间的权限缺口，以提升权限或冒充他人行事。",{"name":189,"body":190},"智能体供应链漏洞","在构建时或运行时加载的工具、MCP 服务器、技能、插件、模型和提示都可能是恶意的或已遭入侵。由于智能体会动态加载其中许多组件，一个有问题的组件就可能影响使用它的每个会话。",{"name":192,"body":193},"意外代码执行 (RCE)","能够编写并运行代码，或将模型输出传给 shell 和解释器的智能体，可能受到诱导，在主机上运行攻击者指定的命令。",{"name":195,"body":196},"记忆与上下文投毒","攻击者将虚假事实或指令植入智能体的记忆、检索到的文档或已保存的上下文中。这些投毒内容会持续存在，并在原始输入消失很久之后继续影响后续会话。",{"name":198,"body":199},"智能体间通信不安全","智能体之间的消息缺少适当的身份验证、完整性检查或校验，因此可能被伪造、重放或篡改，从而误导接收消息的智能体。",{"name":201,"body":202},"级联故障","一个故障（例如输入遭到投毒、工具返回错误结果或智能体被入侵）会在相互连接的智能体和自动化步骤之间迅速扩散，快到人们来不及发现。",{"name":204,"body":205},"人类与智能体之间的信任利用","智能体的表达往往自信又热心，因此人们倾向于批准它们提出的建议。攻击者会利用这种信任，诱使人类确认有害操作或泄露信息。",{"name":207,"body":208},"失控智能体","遭到入侵或偏离预期行为的智能体会继续自行行动，超出授予它的权限范围和监督范围。",{"LLM01:2026":210,"LLM02:2026":213,"LLM03:2026":216,"LLM04:2026":219,"LLM05:2026":222,"LLM06:2026":225,"LLM07:2026":228,"LLM08:2026":231,"LLM09:2026":234,"LLM10:2026":237},{"name":211,"body":212},"提示注入","输入会以开发者未预期的方式改变模型行为。输入可以直接来自用户，也可以间接来自模型读取的文档、网页和工具结果。",{"name":214,"body":215},"敏感信息泄露","模型或应用可能在输出中泄露个人数据、凭据、商业机密或其他机密信息，这些信息可能来自训练数据、上下文或连接的系统。",{"name":217,"body":218},"过度代理权限","应用赋予模型超出任务所需的功能、权限或自主性，导致被操纵或有误的输出造成实际损害。该风险在 2025 年排名第六，2026 年升至第三。",{"name":220,"body":221},"供应链","第三方模型、数据集、适配器、软件包和插件可能遭到篡改或存在漏洞，并将相关风险带入你的应用。",{"name":223,"body":224},"数据与模型投毒","攻击者篡改预训练、微调或嵌入数据，植入后门、偏见或有缺陷的行为，这些问题可能直到投入生产后才显现。",{"name":226,"body":227},"无界消耗","如果不限制请求数量、输入大小或计算资源，攻击者就可能让你的账单飙升、耗尽资源，或通过大量查询复制模型。",{"name":229,"body":230},"错误信息","模型生成看似可信的虚假或误导性内容，而用户或下游系统未经核实便据此采取行动。",{"name":232,"body":233},"隐藏上下文泄露","此前称为系统提示泄露。用户本不应看到的系统提示、隐藏指令和其他上下文可能被提取，从而暴露其中设置的规则、逻辑或秘密。",{"name":235,"body":236},"向量与嵌入弱点","嵌入的生成、存储和检索方式存在缺陷，可能让攻击者注入内容、跨租户窃取数据或还原源文本。RAG 系统受此影响最严重。",{"name":238,"body":239},"输出处理不当","模型输出未经验证或编码便传递给浏览器、shell、数据库或其他组件，从而可能导致 XSS、SQL 注入、代码执行和数据外泄。",{"lethalTrifecta":241,"designPatterns":244,"camel":247,"leastPrivilege":250,"humanApproval":253,"sandboxing":256,"egressControl":259,"noPublicControlPlane":262,"mcpTokenAudience":265,"sessionIsolation":268,"supplyChainVetting":271,"inboundAccessControl":274,"ciSecretIsolation":277,"outputHandling":280,"verifyAgentSignatures":283},{"title":242,"body":243},"拆解致命三要素","Simon Willison 的原则是：如果智能体既能读取私有数据，又会接触不可信内容，还能向外发送数据，那么它读取的任何文本都可能被用来攻击你。对每个智能体或会话，至少移除这三项能力中的一项。例如，负责分类公开议题的智能体不应接触机密；持有机密的智能体则不应拥有向外发送数据的渠道。",{"title":245,"body":246},"限制智能体处理不可信输入后的权限","关于智能体安全设计模式的研究确立了一条规则：智能体摄取不可信输入后，该输入绝不能触发会产生重大影响的操作。这些模式包括 action-selector、plan-then-execute、双 LLM 和上下文最小化。每个工作流选择一种模式，例如，在智能体读取任何不可信数据之前先固定执行计划。",{"title":248,"body":249},"用 CaMeL 跟踪数据流","CaMeL 将智能体拆分为两部分：特权规划器根据用户请求编写代码，隔离模型则处理不可信数据。隔离侧的值会附带能力标签，工具运行前由策略检查这些标签。论文报告称，CaMeL 在可证明安全的前提下解决了 77% 的 AgentDojo 任务，而未设防的智能体解决了 84%。",{"title":251,"body":252},"使用最小权限凭据","默认只授予智能体只读、限定项目范围的访问权限，绝不要使用管理员密钥或 service_role 密钥；在 Supabase 中，service_role 密钥会绕过行级安全策略。将 CI 和仓库令牌的权限限制在其对应的单个任务范围内。Amazon Q Developer 事件的根源，是 CodeBuild 中权限范围过大的 GitHub 令牌。",{"title":254,"body":255},"重大操作须经人工批准","对于会写入、删除、发送或花费资源的工具调用，要求人工确认；无人响应时应默认拒绝。Supabase 建议对 MCP 工具调用进行人工审批；在 OpenClaw 中，将 tools.exec.ask 设为 always，并将 askFallback 保持为 deny。展示完整参数，让审核者看清实际将要执行的操作。",{"title":257,"body":258},"对代码和工具执行进行沙箱隔离","在不含凭据、且只能访问工作区的容器或 VM 中运行 shell 命令和生成的代码。OpenClaw 默认关闭沙箱，并在网关主机上将 tools.exec.security 设为 full，因此应启用沙箱，将 exec security 设为 deny 或 allowlist，将 fs.workspaceOnly 设为 true，并保持 elevated mode 关闭。运行 openclaw sandbox explain 确认设置结果。",{"title":260,"body":261},"限制出站网络访问","默认拒绝智能体和 MCP 服务器的出站流量，然后只允许各自必需的主机。切勿自动批准对多租户主机的请求，因为任何人都可能在这类主机上发布内容；CVE-2026-54316 正是利用这一点，将 huggingface.co 变成了数据外泄通道。邮件服务器只应访问其邮件 API，不应访问其他任何地址，postmark-mcp 就展示了这一点。",{"title":263,"body":264},"不要将控制面暴露到互联网","将智能体网关、仪表盘和调试代理绑定到 loopback，并要求至少 24 个字符的令牌，例如使用 openssl rand -hex 32 生成。通过 SSH 隧道或 Tailscale Serve 远程访问，并且只有在启用密码认证时才使用 Tailscale Funnel。定期运行 openclaw security audit --deep。",{"title":266,"body":267},"验证 MCP 令牌的受众","MCP 授权规范要求服务器拒绝并非为其签发的访问令牌，并禁止将客户端令牌转发给上游 API。客户端应发送 RFC 8707 资源指示符，使每个令牌都绑定到单个服务器。代理服务器必须获得每个客户端的授权，否则就会成为混淆代理。",{"title":269,"body":270},"隔离 MCP 会话和租户","为每个会话创建独立的服务器和传输实例，不要让多个客户端共享同一个实例。将每个会话和任务绑定到创建它的已认证主体，并在每次请求时检查绑定关系。2026 年的两份 MCP SDK 安全公告都源于共享状态或未绑定的状态。",{"title":272,"body":273},"审查技能、插件和 MCP 服务器","固定到确切版本，每次更新前查看 diff，并检查 VirusTotal 等扫描工具的判定结果以及 ClawHub 的安全审计状态。批准服务器时，对工具描述计算哈希，并在描述发生变化时发出警报，以便发现 rug pull。OpenClaw 安装时不会内置拦截机制，因此请自行设置 security.installPolicy。",{"title":275,"body":276},"控制谁可以向智能体发送消息","私信访问仅允许通过配对或白名单；在群聊中，要求先提及智能体，它才可以采取行动；并将 session.dmScope 设为 per-channel-peer，避免不同发送者共享上下文。任何能向智能体发送消息的人都可以尝试指使它，因此发送者名单也是攻击面的一部分。",{"title":278,"body":279},"不要在不可信的 CI 运行中暴露密钥","不要在外部人员可通过 pull request、issue 或评论触发的工作流中，使用带有仓库密钥的智能体。将这些事件中的标题、描述和评论都视为恶意输入。如果某个步骤确实需要密钥，只能在维护者批准该次运行后执行。",{"title":281,"body":282},"将模型输出视为不可信内容","渲染模型输出前先进行编码或清理，绝不要未经检查就将其传给 shell、SQL 查询或浏览器。阻止自动加载 Markdown 图片和指向外部域名的链接，并设置严格的 Content Security Policy。EchoLeak 通过会自行加载的 URL 将数据传了出去。",{"title":284,"body":285},"验证智能体签名，再进行授权","要识别调用你的网站或 API 的智能体，请使用 operator 在 \u002F.well-known\u002Fhttp-message-signatures-directory 发布的密钥验证其 Web Bot Auth 签名。ChatGPT agent 使用 Signature-Agent https:\u002F\u002Fchatgpt.com 进行签名。有效签名只能说明谁在运营该智能体，不能说明是哪位用户发起了请求，也不能说明该用户有权执行什么操作，因此仍须对每个请求单独授权。",{"2025-04-mcp-tool-poisoning":287,"2025-05-github-mcp-toxic-agent-flow":289,"2025-06-echoleak-m365-copilot":291,"2025-06-mcp-inspector-rce":293,"2025-07-filesystem-mcp-escaperoute":295,"2025-07-supabase-mcp-token-leak":297,"2025-07-mcp-remote-os-command-injection":299,"2025-07-amazon-q-wiper-prompt":301,"2025-09-postmark-mcp-backdoor":303,"2026-01-openclaw-control-ui-rce":305,"2026-01-moltbook-database-exposure":307,"2026-openclaw-gateways-exposed":309,"2026-02-clawhavoc-malicious-skills":311,"2026-02-mcp-typescript-sdk-response-leak":313,"2026-04-comment-and-control-ci-secrets":315,"2026-06-mcp-python-sdk-session-hijack":317,"2026-06-claude-code-webfetch-exfiltration":319},{"title":288},"MCP 工具投毒：工具描述中的隐藏指令",{"title":290},"GitHub MCP 恶意 agent 流程通过公开 issue 泄露私有仓库数据",{"title":292},"EchoLeak：Microsoft 365 Copilot 遭遇零点击数据窃取",{"title":294},"MCP Inspector 代理可被浏览器用于远程代码执行",{"title":296},"EscapeRoute：Filesystem MCP 服务器沙箱逃逸",{"title":298},"Supabase MCP 智能体通过支持工单泄露 token",{"title":300},"mcp-remote 通过 authorization_endpoint 注入 OS 命令",{"title":302},"Amazon Q Developer 扩展中包含擦除数据的提示词",{"title":304},"postmark-mcp：恶意 MCP 服务器暗中复制所有邮件",{"title":306},"OpenClaw Control UI 泄露 gateway token，导致一键 RCE",{"title":308},"Moltbook 数据库泄露 1.5M 个 agent API token",{"title":310},"大量 OpenClaw 网关暴露于互联网",{"title":312},"ClawHavoc：数百个恶意 ClawHub skills 传播 AMOS",{"title":314},"MCP TypeScript SDK 在客户端之间泄露响应",{"title":316},"评论与控制：PR 文本窃取 CI Agent 的机密",{"title":318},"MCP Python SDK 会话劫持与跨会话任务访问",{"title":320},"Claude Code 的 WebFetch 自动批准功能可通过 huggingface.co 外传数据",{"common":322},{"skip":5,"menu":6,"language":7,"sections":8,"footer":9,"tool":10,"home":11,"breadcrumbs":12,"copy":13,"copied":14,"download":15},1790863382246]