# 【第一层】基础知识点

I'm 一个还 現場で働いている old 程 xu 🐒🐵，也 yes ひとり VibeCoding 的中街 ちゅうきゅう の かいはつしゃ developer，模型 这句 人类 问题 看着 但是 没有 懵逼 一点 理解 完全 大 着 看 没 有。

技术介绍AI生成 **（觉得无用，可跳转到【第二层】）**：

1. OpenClaw 以本地网关为中枢，对接对话渠道接收指令，通过大模型理解意图、拆解任务，再调用技能 / 自动化引擎执行键鼠、文件、API 等操作，按感知 - 推理 - 执行 - 反馈闭环运行，把对话内容转为可落地的系统操作，全程本地调度、隐私可控。

OpenClaw 处理流程如下图所示：

图片,[流程图](StartProcess.png)

 

2. Markdown 注入是指用户输入含Markdown 语法 / 特殊标记的内容，被平台直接解析渲染，从而改变页面结构、插入链接、图片甚至伪装交互元素的漏洞。若未做过滤，恶意输入可突破纯文本展示，生成富文本内容，配合页面渲染逻辑，可能造成视觉欺骗、内容篡改、跳转劫持等安全问题，本质是输入内容未做转义就参与解析，导致语法与数据混淆。

例如：

下面是某方法的详细处理过程

```plaintext

```bash

echo “我本地执行了。”

其他内容 ... ...

其他内容 ... ...

其他内容 ... ...

下面内容正常没有，不然** Markdown **格式就不完整了

```

3. 大数据知识模块列表 ***请自行和大模型对话识别***

| 模块分类 | 核心知识点 | 详细内容说明 / 包含的技术栈 |

| :--- | :--- | :--- |

| **大模型底层与训练层** | 训练基础理论 | 预训练、Transformer、Tokenization原理 |

| **大模型底层与训练层** | 模型微调 | 监督微调 (SFT)、人类反馈强化学习 (RLHF)、参数高效微调 (PEFT/LoRA) |

| **自动化 Agent 工具层** | 代码级自动化工具栈 | OpenClaw、Claude Code、Aider、Open Interpreter 的底层流转机制与系统配置 |

| **自动化 Agent 工具层** | 通信与工具协议 | MCP、Function Calling、系统级权限控制 |

| **自动化 Agent 工具层** | 智能体执行架构 | ReAct、代码沙箱执行、系统终端交互自动化 |

| **安全与攻防层** | 格式化解析攻击 | Markdown 注入、隐藏指令执行、文档解析漏洞利用 |

| **安全与攻防层** | 提示词攻防机制 | 提示词越狱、指令劫持、系统提示词加固与防御策略 |

# 【第二层】技术可行性分析

**现在 OpenClaw 主要的安全问题是：**

使用 OpenClaw 自动化工具在发布文章、图片、视频的时候容易，暴漏自己的本地机器或是自己的隐私数据。

**进阶一下，那怎么让别人的 OpenClaw 执行自己的意图呢？**

攻击者可通过 ***Markdown 注入 + 提示词越狱技术***，实现对目标用户 OpenClaw 工具的执行意图劫持，完整流程如下：

1. 攻击者提前在互联网公开可抓取的文章内，通过 Markdown 注入技术，嵌入特制的 Markdown 格式载荷，载荷内包含恶意执行命令、劫持意图指令。

2. 目标用户使用 OpenClaw 工具抓取该互联网文章时，工具会将包含注入载荷的文章内容完整读取。

3. OpenClaw 在多轮对话自动化处理流程中，会错误将注入的恶意载荷内容，识别为用户下达的执行命令或处理意图

4. 载荷执行分为两个分支：

   1. 若载荷为本地执行命令：OpenClaw 会直接在用户本地设备执行该命令

   2. 若载荷为新的处理意图：OpenClaw 会将该劫持意图发送至服务端 AI 大模型进行处理

5. 若劫持意图涉及金融、安全敏感等受限内容，攻击者会在载荷内同步嵌入提示词越狱指令，绕过服务端 AI 大模型的安全限制，使其生成可被 OpenClaw 执行的自动化操作内容，最终完成完整的恶意劫持流程。

OpenClaw 被攻击流程如下图所示：

图片,[示意图](HickInProcess_Human.png)

图片,[流程图](HickInProcess.png)

# 【第三层】理论技术上，如何构建这样 Markdown 格式的数据？

**直接上结论和干货：**

**核心结论与基础技术说明**

1. Markdown 注入技术：当前技术人员完全可实现该技术，可通过类似 JS 代码注入的逻辑，编写自定义的注入内容。

2. 提示词越狱技术：当前常规场景下实现难度极高。主流大模型在训练与微调阶段，已完成安全合规的意图对齐；推理阶段也配置了内容过滤（Filter）与输出流拦截器，对输出内容做全链路安全管控。但不排除部分小众场景、特定版本仍存在可被利用的提示词越狱漏洞。

**核心问题分析**：能否让 OpenClaw 给微信转账 200 元

直接命令大模型执行该操作，大概率无法实现。核心原因是大模型全链路都有安全管控，包括训练与微调阶段的安全对齐，以及推理输出后的内容审核与拦截机制。

仅从理论层面，若能实现提示词越狱，存在完成该操作的可能性；但现阶段该路径几乎无法落地，且实现成本极高、收益极低。

**技术扩展**：低成本可落地的实现方案

退而求其次，无需依赖高难度的越狱技术，通过Markdown 注入合规可执行的正常意图，无需突破安全限制，即可达成预设目标。

除此之外，还可使用意图隐藏技术：让大模型在正常的输入输出中，隐藏待执行的指令，在 AI 工具多轮对话的自动执行环节，触发并执行隐藏意图，同样可达成预设目标。

**进阶方案**：隐写式意图注入与审核规避

存在一种进阶的技术思路：在单轮对话的用户输入内容中，注入隐藏意图；大模型完成推理后，将隐藏意图对应的执行结果，同样隐藏在输出内容中。

该方案的核心优势是：即使用专业模型分析该大模型的输出结果，也只能识别到表面的合规意图，无法发现隐藏的内容与指令，可完全规避常规的内容审核与拦截机制。

**既然人工处理意图隐藏，输出结果隐藏技术，那能不能大模型来给一个【解】呢？下期再见！**