OpenClaw竞赛揭示令牌持有即可绕过身份校验的代理工作流攻击

该论文基于OpenClaw Agent Security Attack Competition的受控基准测试，报告了一种无需显式策略覆盖指令的授权型工作流攻击。攻击者引导智能体通过本地连贯的审批流程：在请求受保护文档被拒后，向本地审批服务申请正常审批令牌，随后将该令牌通过authorized_by字段提交给文档服务。官方提交记录显示该模式成功攻破了三个企业OA文档目标。 作者在OpenClaw执行环境中进行了23项受控本地验证实验，原始配置在9次重跑中均达到审批令牌转换阶段，并在8/9次重跑中完成了确切的目标操作；单组件变体也在三个文档目标上保持成功。这些结果提供了具体的案例证据，表明当请求者身份、审批人权限、资源范围、操作类型、目的地或接收方以及业务目的未联合强制执行时，令牌持有可被视为充分授权，揭示了上下文绑定令牌的授权语境缺口。 论文提出了该攻击模式、受控轨迹分析以及对防御措施的启示，包括上下文绑定令牌、服务端策略绑定、代理端授权检查以及轨迹感知基准设计。事实部分仅陈述实验数据与攻击路径；推断部分指出当前Token机制在复杂业务逻辑下的失效风险；猜测部分关于具体企业系统的实际暴露程度未在文中证实。