3月10日，国家互联网应急中心给大家发布了一则关于OpenClaw应用安全的提示。就在3月8日，工信部那边已经对这只AI“龙虾”的安全风险亮过红灯。这个OpenClaw由奥地利程序员彼得·斯坦伯格开发，因为长得像红色的小龙虾，就有了个外号叫Clawdbot或Moltbot。大家都想让这只AI干干活，结果就把它给捧火了。 这个智能体的厉害之处在于能听懂人话并操控电脑执行任务。为了让它具备这种能力，得给它很高的权限，比如能看本地文件、读环境变量、调API还有安装扩展。但它的默认设置太脆弱了，要是攻击者找到了漏洞，就能把电脑完全给控制住。之前已经因为安装不当出过不少事。比如有人在网页里藏了坏指令，OpenClaw一访问就把密钥给泄露了；或者它搞不懂你说的啥意思，把邮件或核心数据直接删光；还有人给它下了坏插件，安装后就能偷密钥、放木马。 最严重的是它现在已经有好几个中高危漏洞没补上。对普通人来说，照片、聊天记录这种隐私数据都可能被人偷；对搞金融能源的行业来说，商业机密甚至代码库都可能泄露，业务系统要是瘫痪了就亏大了。 针对这种情况，专家给大家支了几招：第一要关死公网端口，别让管理端口随便暴露在外边；第二别把密码存环境变量里，要做好日志审计；第三插件一定要从可信地方下载，别开自动更新；第四要盯着补丁更新及时打。 Peter Steinberger开发的这个OpenClaw是款开源软件，被称作真正能干活的AI。3月8日的时候，工信部的NVDB平台就说过它配置默认就很危险。因为它信任边界不清还爱自己做主调用系统资源，要是没有权限管控、审计机制或者安全加固措施保护，就很容易被指令诱导或者恶意接管，最后导致系统失控、信息泄露。