夜雨聆风
关于开源AI智能体OpenClaw(“龙虾”)安全风险提醒
为什么要警惕OpenClaw的安全风险？
近期，开源AI智能体OpenClaw（俗称“龙虾”）因其强大的自主任务执行能力受到广泛关注。该工具作为本地运行的个人AI智能体应用，通过整合大语言模型与系统操作能力，为提升个人学习和办公效率提供了新的技术可能。然而，OpenClaw当前版本在默认或不当配置下存在较高安全风险，易引发网络攻击、信息泄露、指令误删、插件投毒、系统受控等安全问题。国家网络与信息安全信息通报中心、国家互联网应急中心等权威机构已多次发布相关安全警示。
为切实保障全校师生个人信息安全、校园网络稳定及学校数据资产安全，现就防范工作要求通知如下：
1.个人设备谨慎安装。理性评估使用需求，非必要不在接入校园网的设备（含电脑、各类终端、服务器）安装部署OpenClaw相关工具。
2.工作场景杜绝使用。不在办公电脑、服务器，以及涉及教学科研、行政办公等真实业务与敏感数据的工作场景中部署或使用OpenClaw相关工具。
3.环境隔离。确因学习或科研需要部署的，须从官方渠道获取程序，在独立沙箱/容器/专用测试机等隔离环境中安装运行，实施最小权限配置和信息提供，关闭不必要网络访问，不将服务暴露至校园网或互联网。建议按照以下安全配置指引设置参数。
4.警惕非官方服务。切勿轻信“远程代装”“一键部署”等服务，防止设备被植入恶意程序或泄露账户权限信息。
5.严格执行安全事件报告。一旦发现任何因使用该类软件导致的异常流量、系统异常、数据泄露等可疑现象，须立即停止使用，迅速处置，防止危害扩大；并第一时间报告现代教育技术中心。
学校网络安全联系人：
蔡老师，89012977
确因学习或科研需要部署的，建议按照以下安全配置指引设置参数！
（1）优先在Docker容器、虚拟机、专用实验机、云端部署等隔离环境运行，不与办公（学习）主力机混用。
（2）监听地址默认设为 127.0.0.1，严禁监听 0.0.0.0，禁止远程访问。
（3）安装环境确保未安装内网穿透工具，如向日葵、花生壳等。
（4）修改openclaw.json文件，将默认端口18789更改为其他端口，如18000等。
（5）修改openclaw.json文件，关闭 Guest / 匿名访问，必须账号强密码登录。
（6）修改openclaw.json文件，添加 exec 与 security 节点，设置白名单命令，仅保留 ls、cat 等必要命令，实现权限最小化。
（7）修改openclaw.json文件，启用访问日志、操作日志、文件变更日志，保留 ≥90 天。
再次强调！一旦发现任何可疑现象，请务必立即停止使用，迅速处置，防止危害扩大。并第一时间报告现代教育技术中心。请联系：
学校网络安全联系人：蔡老师，89012977
END
编辑：黄琼
初审：梁宝玲
复审：付志文
终审：吴亚榕