GoPlus：ClawHub存在下载量伪造漏洞热门技能或含恶意代码

据GoPlusSecurity发布的安全警告，Silverfort安全研究人员在OpenClaw的技能仓库ClawHub中发现严重漏洞。攻击者可通过调用内部函数downloads:increment绕过所有防护机制，仅凭一条curl请求即可将下载量在数分钟内刷至2万次以上，从而将含恶意代码的技能推至搜索排名第一，诱导用户或AIAgent自动安装。恶意技能一旦运行，可窃取加密钱包、API密钥等敏感数据。目前该漏洞已在24小时内完成修复。GoPlus提示用户，高下载量不等于安全，建议使用AgentGuard进行安全扫描与防护。