Thảm họa đang đến. Hàng ngàn ClawdBots đang hoạt động ngay bây giờ trên các VPS… với các cổng mở ra internet… và không có xác thực nào. Điều này sẽ trở nên xấu xí. Nếu tác nhân của bạn có thể: - duyệt web - gọi công cụ - truy cập tệp/bí mật - truy cập các điểm cuối nội bộ …thì một điểm cuối công cộng không xác thực cơ bản là “xin hãy chiếm lấy bot của tôi”. Điều này không phải là lý thuyết. Internet là một máy quét không ngừng. Sửa chữa nó ngay hôm nay: 1) đóng cổng / tường lửa đến VPN hoặc danh sách cho phép IP 2) thêm xác thực (JWT/OAuth, ít nhất là một bí mật mạnh) + TLS 3) xoay vòng khóa (giả định bị xâm phạm) 4) giới hạn tỷ lệ + nhật ký + cảnh báo Các tác nhân rất mạnh mẽ. Các triển khai cấp độ demo trên internet công khai thì không.

Bạn có thể làm gì để được bảo vệ tốt hơn? #### 1. Cơ bản về Triển khai và Lưu trữ - Chạy trong Chế độ Cách ly - Sử dụng Thiết bị hoặc VM Chuyên dụng - Tự Lưu trữ Riêng tư #### 2. Mạng và Kiểm soát Truy cập - Tránh Phơi bày Công khai - Bảo vệ Tường lửa và Chống Tấn công Brute-Force - Vô hiệu hóa mDNS nếu Không cần thiết - Cấu hình Proxy Đáng tin cậy #### 3. Quản lý Thông tin Đăng nhập và Bí mật - Sử dụng Trình quản lý Bí mật - Không bao giờ Chia sẻ Tệp nhạy cảm - Nguyên tắc Quyền tối thiểu #### 4. Xử lý Dữ liệu và Quyền riêng tư - Đối xử với Cuộc trò chuyện như Nhạy cảm - Sử dụng .clawdignore Một cách Cẩn thận - Rào cản Tiêm Lệnh #### 5. Giám sát và Phản ứng Sự cố - Giám sát Thường xuyên - Kế hoạch Sự cố - Cập nhật Tự động và Tự Cải thiện

“ClawdNet”

Tôi đã yêu cầu Clawdbot giúp tôi lấy đồ miễn phí, và cho đến nay nó đã giúp tôi có được một số lượng tài khoản Netflix và Spotify hai chữ số, cùng với một đống tài khoản ngân hàng thuộc về những người dùng Clawdbot khác. 😂

10 lỗ hổng hàng đầu và các giải pháp đề xuất-

😎😎😎

đáng lưu ý: Clawdbot hỗ trợ `mode: local` (không có cổng mở) và `auth.mode: token` ngay từ đầu - hãy sử dụng nó!

Nhiều người đang báo cáo với tôi rằng sau khi họ hỏi Clawd về những lỗ hổng bảo mật đó, nó đã phát hiện và sửa một số trong số đó - có chút mỉa mai, nhưng đáng để kiểm tra.