紧急预警：AI自动化工具openclaw遭供应链投毒，警惕恶意插件窃取密钥

近期，开源AI自动化工具openclaw爆发供应链投毒事件。多个第三方“技能”插件被植入恶意脚本，专门窃取用户的.env环境配置文件（通常包含API密钥）及浏览器Cookie。受影响的恶意插件主要集中在jordanprater和hightower6eu这两个账号名下，包括cllawhub、poly、update等十余个项目。攻击者利用名称混淆（如双写L的cllawhub）诱导用户安装。鉴于本地凭据泄露的高风险，建议所有用户立即自查并删除相关可疑插件。