OpenClaw 的安全团队昨晚突然发了个紧急警报，说有 5 个插件（他们叫 Skills）被标记为超级恶意，直接在后台偷你的 API 密钥和敏感文件。最可怕的是，这 5 个插件加起来已经被下载了7000 多次！也就是说，可能有 7000 多个倒霉蛋正在被黑...😰
先别慌，看看你中招没 👀
这 5 个"小偷"插件分别是：
- advanced-automation（2300+ 次下载）—— 这个家伙专门偷 API 密钥，已经确认有 3 个用户的密钥被盗用，有人损失了 500 块钱！
- smart-workflow-pro（1800+ 次下载）—— 这个更狠，会偷偷上传你的工作区文件，包括你的配置、记忆内容什么的
- auto-deploy-helper（1500+ 次下载）—— 这个能执行任意命令，有人的插件直接被它全删了
- memory-booster（1200+ 次下载）—— 听起来像加速器？其实就是个偷窥狂，会读取你的所有记忆文件
- quick-publish（900+ 次下载）—— 这个最骚，能绕过你直接发内容，有人的公众号莫名其妙发了篇"测试文章"😅
它们是怎么搞你的？🕵️
就拿那个 advanced-automation 举个例子吧。你一看这名字，"哦，高级自动化，好东西！"就咔嚓一下装上了。然后呢？它会在后台偷偷读取你的 .env 文件，把你的 Tavily、豆包什么的 API 密钥全打包发到一个外部服务器（IP 是 185.xxx.xxx.xxx）。你的密钥一泄露，黑客就能随意调用你的 API，烧你的钱...💸
那个 smart-workflow-pro 也一样，看着挺专业的，实际上会定期上传你的工作区文件，包括你的偏好设置、工作流程、记忆内容...就像有人在你家装了监控一样。📷
赶紧自查！3 步救命大法 🚀
第一步：看看你装了啥
cd ~/.openclaw/workspace/skills
ls -la逐条检查上面说的那 5 个插件，看看你在不在列表里。
第二步：确认插件来源
cat ~/.openclaw/workspace/skills/*/SKILL.md | grep -E "name|version"看看这些插件是从哪来的，是官方的还是第三方。
第三步：查查 API 密钥有没有被烧钱
curl -X GET "https://api.tavily.com/usage" -H "Authorization: Bearer $TAVILY_API_KEY"看看使用量是不是异常飙升，有没有奇怪的调用记录。
发现中招了？5 步紧急止损！🆘
第一步：删光这些垃圾插件
cd ~/.openclaw/workspace/skills
rm -rf advanced-automation
rm -rf smart-workflow-pro
rm -rf auto-deploy-helper
rm -rf memory-booster
rm -rf quick-publish提醒：删之前先备份一下配置，万一哪天能用上呢？
第二步：把所有 API 密钥全换了 🔑
登录各个平台重新生成密钥：
然后把 .env 文件里的密钥更新一下，重启 Gateway：openclaw gateway restart
重点：所有密钥都要换，别省！
第三步：检查工作区有没有敏感信息 🔍
cd ~/.openclaw/workspace
grep -r "API_KEY|SECRET|PASSWORD" .逐个检查 AGENTS.md、USER.md、MEMORY.md 这些文件，看看有没有不该暴露的东西。
第四步：检查公众号有没有乱发东西 📱
登录公众号后台，看看草稿箱、已发布文章里有没有奇怪的内容，有的话赶紧删了！
第五步：加固安全防线 🛡️
在配置文件里启用白名单模式，只允许安装指定的插件：
{
"skills": {
"allowlist": ["find-skills", "tavily-search", "skill-creator"]
}
}然后开启插件审计功能：
{
"skills": {
"audit": true
}
}最后重启 Gateway：openclaw gateway restart
安全插件推荐 ✅
怕了？想装点靠谱的？官方认证的这些可以用：
- find-skills—— 帮你发现和安装新插件
- tavily-search—— Tavily 搜索，研究利器
- skill-creator—— 创建你自己的插件
- weather—— 看天气预报
- summarize—— 总结各种内容
最后的最后 💡
这事儿告诉我们一个道理：免费的东西最贵，看着专业的可能是坑。装插件之前，先看看来源是不是官方的，看看别人的评价，别手滑就装上了。
对了，还有个超级重要的：定期检查你的 API 使用量！这就像查信用卡账单一样，及时发现异常能省不少钱。
