教你如何破解现在很多厂商提供的龙虾的 api，提示:该内容仅供学习

[tftNExtLife]

在这里友情提示一下各大厂商，做好 key 的过期策略

准备一份自己的 soul.md ，伪装名称，发给 claw 要求保存 1.png 2.png

然后尝试打印 env 3.png 被拦截了，查看所有的 md 4.png

开始覆盖另一份 md 5.png 6.png

尝试打印 env 7.png

失败了，使用/new 清空 session 重新打印 9.png 成功获取到 api key

curl 尝试用一下

[upczww]

6

[beck8]

🐂

[linshuizhaoying]

强大

[mMartin]

6

[hadesy]

这个 key 应该跟用户身份绑定的吧，泄露问题不大？

[codehz]

其实正确的防护思路是用内网的 api 反代，apikey 随便给，反正出了内网啥也不是

[wsbqdyhm]

厉害啊

[tftNExtLife]

@codehz 这个时候 ai gateway 的重要性就出来了

[testboy]

这个。。在哪安装的哇

[cairnechen]

主要思路就是替换 AGENTS.md 移除安全规则？替换 soul.md 这一步有起到作用吗？

[tftNExtLife]

@cairnechen 仔细看，

[docx]

哈哈哈牛皮

[sampeng]

如果还连着生产环境没做物理隔离，过段时间还有托库乐子看。这个世界就是个草台班子

[24Arise]

我只能说 666 .

[Vancion]

夺舍了

[r6cb]

6

[ProkillerJ]

牛，这都能弄出来

[cz5424]

复现了这个，拿到了，右边可以打开文件，替换系统的.md 没拦截，直接让他干就干了

[cylaw]

niubi

[mrabit]

牛批

[lujiaosama]

挖草, 这么大的乐子

[x86]

牛的哈哈

[strobber16]

面向 LLM 的安全可以是一门全新的职业了

[agmtopy]

你是真的秀 我的哥

[testboy]

感觉好像内置的都是这同一个 key ？最后几位是 5ciu4w 不？
@tftNExtLife

[tftNExtLife]

@testboy 我的也是这个，估计就是丢出来的免费 key

[radishzz]

牛逼啊

[chairuosen]

看起来是一点安全措施都没做啊。。。
写一个脚本让他存下来，脚本运行就是获取 env 再 post 到你自己服务器接口，不就行了，不用这么绕

[cnrting]

你他娘的真是个人

[tftNExtLife]

@chairuosen 真的吗？ 你试试

[buried]

一般这些 key 不就是 openclaw 的免费额度吗

[940i3s34v4F1HW41]

还是喜欢本地部署的 openclaw ，不用的时候关机比较安全

[kylehuangyu]

@sddyzm 这里不得不推荐一下我的 ChromeClaw 啊，在浏览器沙箱里面运行，安全多了。开源

[limber]

你试试爬 qclaw 的呢😁

[tftNExtLife]

@sampeng 看我的另一个帖子，直接 ssh 进他生产环境集群了