Odaily星球日報訊 據 SlowMist 監測，開源 AI 代理項目 OpenClaw 的官方插件中心 ClawHub 正成為供應鏈投毒攻擊的目標。由於平台缺乏嚴格審核機制，大量惡意技能（Skills）已滲透其中，用於傳播惡意代碼。監測顯示，已有 341 個惡意技能被識別，這些技能通常偽裝成加密資產、安全檢查或自動化工具。
SlowMist 安全團隊分析發現，攻擊者利用 SKILL.md 檔案作為執行指令入口，通過 Base64 編碼隱藏惡意命令，採用兩階段加載機制逃避檢測。第一階段通過 curl 獲取載荷，第二階段部署名為 dyrtvwjfveyxjf23 的樣本，旨在誘騙用戶輸入系統密碼並竊取本地文檔及系統信息。
目前 MistEye 系統已觸發高危警報，涵蓋 472 個惡意技能及關聯指標。SlowMist 建議用戶審核任何需複製執行的命令，警惕獲取系統權限的提示，並優先通過官方渠道獲取工具。