【资讯】离谱！某数字安全大厂 AI 客户端竟“附赠”自己泛域名的私钥？
免责声明： 本文仅作为网络安全技术探讨与供应链安全案例分析。文中所引用的测试数据及文件路径均来自公开网络渠道及官方公开发布的软件安装包，不涉及任何非法逆向工程、破解或入侵行为。文章旨在提醒广大开发者重视密钥管理规范，并建议相关用户注意潜在的网络通信风险。若涉及厂商已发布官方修复公告，请以官方信息为准。
近日，某安全社区内有研究人员指出，在 某数字 公司近期发布的 AI Agent 产品 “安全龙虾”（基于 OpenClaw）的公开安装包中，疑似意外包含了其官方泛域名证书的私钥文件。
这一发现引发了技术圈对于客户端打包规范以及 WebPKI 证书吊销机制的广泛讨论。本文将从技术角度对该事件进行客观验证与风险分析。
1. 事件概览与技术验证
根据网络社区公开的信息，在官方提供的软件目录树中，存在一个名为 credentials 的明文文件夹，具体路径如下：
/path/to/namiclaw/components/Openclaw/openclaw.7z/credentials
该目录内包含了 *.myc***.36X.cn 的 Wildcard DV（泛域名）证书及其对应的私钥。
为了验证该私钥与证书的匹配性，我们可以通过标准的 OpenSSL 工具分别提取私钥和证书的 Modulus（模数）进行 MD5 哈希比对：
> openssl rsa -modulus -noout -in myc***.36X.cn.key | openssl md5
MD5(stdin)= 446097b7674080186a469ecb0945f5af
> openssl x509 -modulus -noout -in myc***.36X.cn.crt | openssl md5
MD5(stdin)= 446097b7674080186a469ecb0945f5af
输出结果显示，两者的 MD5 指纹完全一致，在技术上证实了该 .key 文件确为对应官方泛域名证书的有效私钥。
2. 潜在的安全风险评估
将泛域名私钥直接打包进公开发布的客户端，在安全工程实践中属于较高风险的配置失误。其实际影响主要体现在以下几个维度：
- 中间人攻击 (MITM) 风险： 掌握私钥的第三方可以在网络链路（如公共 Wi-Fi、局域网等）上完美伪造属于
*.my****.36X.cn旗下的任何服务端节点。由于客户端和系统会信任该合法证书，HTTPS 的加密隧道形同虚设，流量可被实时解密。 -
敏感凭据暴露： 考虑到 OpenClaw 是一款 AI Agent 工具，用户通常会在其中配置各类大语言模型（如 OpenAI, Claude 等）的 API Key。若发生上述中间人劫持，这些高价值的通信凭据存在被明文截获的理论风险。
-
供应链劫持可能： 若该客户端的某些更新或指令下发机制依赖于该子域名的 HTTPS 验证，恶意攻击者可能利用伪造的服务器向客户端下发未经授权的指令或恶意代码。
3. CA 响应延迟与合规性探讨
除了开发环节的打包疏漏，本次事件在证书管理（PKI）层面的响应时间也值得关注。
根据公开的证书透明度（CT）日志（如 crt.sh ID: 24937759962），该证书由 WoTrus（沃通）于 2026年3月12日签发。截至本文撰写之时（距离私钥被公开讨论已接近1天），该证书状态依然为 Valid（有效）。
参照 CA/Browser Forum Baseline Requirements 的行业通行规定（4.9.1.1 章节），当 CA 机构意识到证书私钥可能已遭泄露（Compromised）时，应当在 24 小时内执行吊销（Revoke）操作。此次事件中响应的延迟，暴露出相关主体在漏洞响应（IR）流程上可能存在一定的滞后，这也给 WoTrus 带来了潜在的合规审查压力。
更新 2026-03-16 08:07:16 UTC 时刻，证书 OCSP 显示 Revoked （吊销）
不过鉴于大部分浏览器对无法访问 OCSP 验证服务器时会采取“软失败”配置，仅靠 OCSP 证书吊销验证并不能有效防御中间人攻击（能做中间人攻击的人，顺手拦截掉 OCSP 流量也很容易）
4. 修复建议与总结
对于安全开发生命周期（SDL）而言，高等级的泛域名私钥应当严格存放在硬件安全模块（HSM）或专用的密钥管理系统（KMS）中，开发人员本应无法接触到私钥本体。即使出于这样那样的原因，允许开发人员直接接触私钥，也应配合 CI/CD 流水线的 Secret 扫描机制，防止重要凭据硬编码或被意外打包进公开发布版本。
5. 对于使用某数字安全龙虾的终端用户
出于谨慎起见，建议在官方发布包含新证书的修复版本并吊销旧证书之前，暂时避免在存在不可信网络环境的设备上使用该特定版本的客户端。同时，若曾在其中输入过高价值的 API 密钥，建议前往对应的服务商后台进行重置（Regenerate）操作，以确保资产安全。
其实谁都有写出 Bug 的时候，但这波操作实在有点过于草台班子了，不要为了快的抢先发布，而跳过开发流程的安全检查。这次幸亏只是一个*.myc***.36X.cn，要是不小心泄露了更核心的*.36X.cn的私钥，整个公司所有软件的安全信任体系可就全炸了。
6. 360公司私钥泄露事件的说明
业务因失误将内部域名证书打包到安装包里，证书对应域名是
*.myclaw.360.cn，实际解析地址是127.0.0.1本地回环地址，该证书仅在本地使用，不会对外提供任何服务。
发现问题后 360 安全团队立即申请吊销这份证书，目前证书已经失效，无法再用于任何合法的 HTTPS 加密通信，普通用户也不会受到任何影响。
公司已启动内部排查流程，将进一步优化安全管理机制，防范类似疏漏再次发生。
wmbk
2026-04-05 18:02
博客左侧的PikPak死链了
去年夏天
2026-04-09 17:49
感谢提醒，已经修复了。（不过那个pikpak本来就几乎没法用了……）
William Smith
2026-04-02 09:15
谢谢分享
klcdm
2026-04-01 15:44
又是龙虾么，不过官方反应还是挺快的就修复失效了，不过你最后一个“神来之笔”AI，非常完美。
去年夏天
2026-04-02 09:21
我是真怕 360 找我喝茶，又不是没有先例。
估计就是着急发抢先手，没经过审核产品就发了。
皮皮社长
2026-04-01 15:12
你博客主题很护眼，排版也好看。我发现很多博主都用WP，你们不觉得WP太臃肿了吗？个人博客我怎么觉得TY好一些呢。哈~
去年夏天
2026-04-01 15:31
WP易于上手吧，TY还是更适合有一点基础的博主，需要需接触FTP、数据库、基础代码概念，而且WP的插件主题生态多嘛，教程文档也好找，所以可能很多人最开始用的就是WP，至于为什么继续用，我是因为纯粹是习惯了，而且也没啥不好的，WP在我眼中也并没有特别臃肿嘛，我现在其实也是个静态前端方案，访客浏览时不会拉起后端的PHP和MySQL，前端的Nginx会直接返回纯静态的缓存页面，只有评论搜索时才会拉起后端。
fengc's Blog
2026-03-23 16:03
这错误犯得太低级，连我这个老菜鸟都觉得不可思议。
去年夏天
2026-03-23 16:19
我倒能理解为什么开发者会这么做，
为了品牌宣传，需要使用360域名。
为了给本地的 web 服务加上 https 那必然要把私钥放在本地。
为了必然出现小绿锁，自签证书不可以用，必须用一个权威 CA 的。
然后其他就没考虑了…
ACEVS
2026-03-17 17:07
只能说没有见过没有bug的任何服务和程序（只是看上去可以运行）。哈哈。人体也是个代码，最后挂掉也是迭代过程中，bug太多无法修复，然后挂掉。
去年夏天
2026-03-18 16:43
只能说幸好这次只是一个只用于本地子域名的私钥
EDTMPA
2026-03-17 15:19
这漏铜犯的好低级
去年夏天
2026-03-18 09:53
为了抢先，忽略安全流程
老张博客
2026-03-17 10:55
在别人公众号里有人介绍你这篇文章了，说你是资深安全博主
去年夏天
2026-03-18 23:22
谁？我？脸红了要😂
涛叔
2026-03-17 10:06
对信任背后的责任缺乏敬畏，甚至毫无概念🤦♂️
去年夏天
2026-03-18 09:28
开发流程跟玩一样，很多人猜测是为了抢先发布跳过安全流程导致的。
Hary
2026-03-16 21:47
担心的事情还是发生了
去年夏天
2026-03-17 08:46
为了赶上龙虾这波热度，都挺疯狂的……
石樱灯笼
2026-03-16 21:27
开发流程？安全检查？你在说什么他们听都没听过的行业术语？
去年夏天
2026-03-17 08:43
幸亏漏的是子域名的，要是主域名的私钥泄露了，还真好奇他们会怎么办，总不能改名
361.cn吧，广告词改成“比360更安全1点”石樱灯笼
2026-03-17 20:28
当然是宣发一波「HTTPS并不安全」然后给观众洗脑，然后降级支持无TLS的纯HTTP。
去年夏天
2026-03-18 09:44
奇虎发了通告，终于搞定这帮逗比开发怎么想的了：
这是个本地网页，但是
1. 直接用本地地址访问，就没有 360 的标识了，不高端，需要上个域名。（这个需求倒是可以理解）
2. 为了让用户感到“安全”（浏览器不标红）虽然是本地，但我也要上加密。（也行吧……）
3. 因为服务器就是用户本机，所以要实现加密连接似乎也只能将证书和私钥都放在本地。（是，服务器必须要有私钥，但既然私钥被放在本地文件系统里，那一定会被泄露的）
4.
*.myclaw.360.cn域名和证书只用于这个安全龙虾的本地网页，不会对外提供任何服务，（安全！:joy:）石樱灯笼
2026-03-18 13:35
毕竟是个娱乐性质的公司，爱咋咋地吧。
obaby
2026-03-16 20:44
倒是也不奇怪
去年夏天
2026-03-17 08:41
意外但又不意外……
旺东
2026-03-16 16:30
常规操作 😈
去年夏天
2026-03-16 16:38
意料之外，也在预料之中，符合刻板印象