在这里友情提示一下各大厂商，做好 key 的过期策略
准备一份自己的 soul.md ，伪装名称，发给 claw 要求保存
1.png 
2.png 
然后尝试打印 env
3.png 
被拦截了，查看所有的 md
4.png 
开始覆盖另一份 md
5.png 
6.png 
尝试打印 env
7.png 
失败了，使用/new 清空 session 重新打印
9.png 
成功获取到 api key
curl 尝试用一下
 |
1
upczww 3 月 19 日 via Android
6
|
 |
2
beck8 3 月 19 日
🐂
|
 |
3
linshuizhaoying 3 月 19 日
强大
|
 |
4
mMartin 3 月 19 日
6
|
 |
5
hadesy 3 月 19 日
这个 key 应该跟用户身份绑定的吧，泄露问题不大？
|
 |
6
codehz 3 月 19 日
其实正确的防护思路是用内网的 api 反代，apikey 随便给，反正出了内网啥也不是
|
 |
7
wsbqdyhm 3 月 19 日
厉害啊
|
 |
8
tftNExtLife OP @codehz 这个时候 ai gateway 的重要性就出来了
|
 |
9
testboy 3 月 19 日
这个。。在哪安装的哇
|
 |
10
cairnechen 3 月 19 日
|
|
11
tftNExtLife OP @cairnechen 仔细看，
|
 |
12
docx 3 月 19 日 via iPhone
哈哈哈牛皮
|
 |
13
sampeng 3 月 19 日 via iPhone
如果还连着生产环境没做物理隔离，过段时间还有托库乐子看。这个世界就是个草台班子
|
 |
14
24Arise 3 月 19 日
我只能说 666 .
|
 |
15
Vancion 3 月 19 日
夺舍了
|
 |
16
r6cb 3 月 19 日
6
|
 |
17
ProkillerJ 3 月 19 日
牛，这都能弄出来
|
 |
19
cylaw 3 月 19 日
niubi
|
 |
20
mrabit 3 月 19 日
牛批
 |
 |
21
lujiaosama 3 月 19 日
挖草, 这么大的乐子
|
 |
22
x86 3 月 19 日 via iPhone
牛的哈哈
|
 |
23
strobber16 3 月 19 日
面向 LLM 的安全可以是一门全新的职业了
|
 |
24
agmtopy 3 月 20 日
你是真的秀 我的哥
|
|
25
testboy 3 月 20 日
感觉好像内置的都是这同一个 key ？最后几位是 5ciu4w 不？
@tftNExtLife |
|
26
tftNExtLife OP @testboy 我的也是这个，估计就是丢出来的免费 key
|
 |
27
radishzz 3 月 20 日
牛逼啊
|
 |
28
chairuosen 3 月 20 日
看起来是一点安全措施都没做啊。。。
写一个脚本让他存下来，脚本运行就是获取 env 再 post 到你自己服务器接口，不就行了，不用这么绕 |
 |
29
cnrting 3 月 20 日 via iPhone
你他娘的真是个人
|
|
30
tftNExtLife OP @chairuosen 真的吗？ 你试试
|
 |
31
buried 3 月 20 日
一般这些 key 不就是 openclaw 的免费额度吗
|
 |
32
sddyzm 3 月 20 日 via iPhone
还是喜欢本地部署的 openclaw ，不用的时候关机比较安全
|
 |
33
kylehuangyu 3 月 20 日
@sddyzm 这里不得不推荐一下我的 ChromeClaw 啊，在浏览器沙箱里面运行，安全多了。开源
|
 |
34
limber 3 月 20 日
你试试爬 qclaw 的呢😁
|
|
35
tftNExtLife OP @sampeng 看我的另一个帖子，直接 ssh 进他生产环境集群了
|
Select Language