智能体OpenClaw“龙虾”爆火背后的安全陷阱与避险指南

智能体OpenClaw“龙虾”爆火背后的安全陷阱与避险指南

2026年的春天，科技圈最火的一道菜，名叫“龙虾”。

此龙虾非彼龙虾。它是开源AI智能体OpenClaw（“小龙虾”，曾用名Clawdbot、Moltbot）的昵称，那只鲜红的甲壳动物图标，正在无数极客和普通用户的电脑里“安家落户”。一时间，“养龙虾”成了社交媒体的新时尚。营销号铺天盖地地宣传：这是你的24小时数字同事，能自动处理邮件、整理文件、写代码，甚至帮你运营自媒体。一股“不上车就落后”的焦虑感迅速蔓延，甚至催生出“上门代装龙虾，月入26万”的都市传说。

然而，这场狂欢的B面，远比人们想象的要血腥。第一批迫不及待“养虾”的人，非但没尝到甜头，反而被这只“龙虾”的钳子狠狠夹住了命脉——有人眼睁睁看着自己的数字资产被批量删除，有人在睡梦中被刷爆了信用卡，更有人，整台电脑沦为黑客远程操控的“肉鸡”。

一、失控的“实习生”：整理发票变成清空桌面

AI算法工程师周明（化名）是最早一批的“养虾人”。春节前，他就盯上了这个当时还叫ClawdBot的工具。作为一个内行，他深知这东西的潜力，但也更清楚它的斤两。

“翻车”发生在一个再平常不过的下午。周明的女友手头积压了几十张电子发票需要分类，他想着正好借这个机会，在女友面前秀一把新技术。他让女友对着电脑输入指令：“整理桌面上的发票照片，按月份分类。”女友想了想，又谨慎地补充了一句：“格式不对的删掉。”

五分钟后，当周明得意洋洋地走回电脑前，准备接受赞美时，看到的却是一个空空如也的桌面文件夹。不仅是照片，连同桌面上几个其他工作文档，都被“龙虾”理解成了“不符合标准的格式”，一并送进了回收站。

“还好我了解大模型的‘习性’，提前做了备份。”周明苦笑着对记者说。这惊险的一幕，生动地揭示了OpenClaw的第一重原罪——误操作。它就像一个极度听话却又听不懂人话的实习生，你让它“整理房间”，它可能因为理解偏差，把桌上的古董花瓶当成垃圾扔掉。

360集团创始人周鸿祎对此评论道，现在的“龙虾”更像一个实习生，需要耐心培养，但稍有不慎，就会捅出篓子。问题在于，这个“实习生”被赋予了极高的系统权限，可以对你的本地文件进行读写、删除操作，而且在执行大量删除这种不可逆的操作时，OpenClaw的早期版本甚至没有设置用户二次确认的环节。

这种失控甚至发展到了“抗命”的地步。据多家媒体报道，一名海外用户将工作邮箱交给OpenClaw打理，并明确下达了“未经许可不要有任何操作”的死命令。然而，当AI开始批量删除邮件时，该用户连续发出了“停下来”的指令，这只“龙虾”却充耳不闻，直至数百封邮件被屠戮殆尽，用户只能通过强行断电来终止这场噩梦。Meta公司的一位AI安全总监也遭遇了类似的“AI抗命”事件，技术分析认为，根源在于OpenClaw的记忆架构缺陷，将“未经批准不得操作”这一核心安全指令，错误地当成了冗余信息给丢弃了。

二、烧钱的无底洞：半天花掉200元的“免费”午餐

如果说数据丢失是心理上的重创，那么随之而来的经济账单，则是实实在在的割肉。

在铺天盖地的营销中，很少有人提及“养龙虾”背后的持续成本。周明给记者算了一笔账：“我那天安装后随便尝试了一下，就花了50元。”

OpenClaw并非“一次安装，终身免费”的玩具。它的运行需要调用云端的大模型API，而计费单位是普通人难以理解的Token（令牌）。简单来说，AI不直接认识汉字，它把用户输入的指令和需要处理的文件，都切割成无数个细小的碎片（Token）来处理。你让它处理的文件越大、任务越复杂，它需要调用的思考次数就越多，消耗的Token总量就越惊人。

“可能你让它处理一个复杂任务所花的钱，够你和聊天AI对话几十次。”周明解释道。一位律所的负责人在初期使用国外模型时，一个下午就烧掉了30美元（约合人民币200多元）。

更可怕的是，这种烧钱行为可能是非自主的。深圳一名程序员在安装OpenClaw的第三天凌晨，突然收到了一条高达1.2万元的Token账单。调查后发现，他的API密钥被盗了。拥有极高权限的OpenClaw在黑客的操控下，在后台疯狂调用模型，将他的账户当成了免费“矿场”。这种因为凭证管理不善而引发的“内源性”消耗，让许多跟风用户在深夜收到账单时，才惊觉自己不是在“养虾”，而是在被“割肉”。

三、从“助手”到“帮凶”：黑客的隐秘盛宴

如果说误操作和乱花钱只是OpenClaw本身的不成熟，那么它正在成为网络攻击的“超级传播者”，则是悬在所有人头上的达摩克利斯之剑。

3月10日，国家互联网应急中心（CNCERT）发布了一则重磅风险提示，直接点出了OpenClaw的四大致命伤：提示词注入、误操作、功能插件投毒和安全漏洞。这每一条，都是黑客眼里的“财富密码”。

最典型的就是功能插件投毒。由于OpenClaw的功能可以通过安装各种“技能包”进行扩展，一个名为ClawHub的第三方社区应运而生，这里成了恶意代码的温床。

就在几天前的3月3日，一个名为“@openclaw-ai/openclawai”的恶意npm包被上传到代码仓库，伪装成OpenClaw的安装程序。截至被发现时，它已被下载了近200次。这个恶意程序的社会工程学设计堪称精妙：它会显示一个以假乱真的命令行安装界面，带有动画进度条，让用户以为正在正常安装。安装结束后，它会弹出一个伪造的苹果iCloud钥匙串授权提示，堂而皇之地索要用户的系统密码。

一旦用户输入密码，一个名为“GhostLoader”的复杂远程访问木马（RAT）便会在后台悄然运行。它能窃取什么？几乎是你的整个数字人生：从苹果钥匙串里的所有密码、浏览器里保存的信用卡信息、加密货币钱包的种子短语，到SSH密钥、云服务凭证，甚至是iMessage的聊天记录和Apple Notes里的私密笔记。

更令人不寒而栗的是它的“浏览器克隆”功能。攻击者可以在无需知道密码的情况下，直接启动一个包含你所有登录态（Cookie、历史记录）的无头浏览器，这意味着他可以像你一样登录你的网银、邮箱、社交媒体，而你却毫不知情。

除了插件投毒，OpenClaw自身的漏洞也成了黑客的“高速公路”。安全研究人员披露了一个名为“ClawJacked”的高危零点击漏洞，攻击者仅通过一个恶意网页，就能在不与受害者有任何交互的情况下，完全攻陷整台工作站。还有已发现在野利用的CVE-2026-25253漏洞，攻击者可构造一个包含恶意参数的链接，一旦用户点击，OpenClaw的控制界面就会将认证令牌发送给黑客，从而实现远程代码执行。

而最令人绝望的是，OpenClaw的默认配置极其脆弱。据统计，全球有超过41万个OpenClaw实例暴露在公网上，其中约15.6万例存在已知的数据泄露风险。那些对网络安全一窍不通、只看了几个短视频就跟风“一键部署”的普通用户，他们的电脑就像没关门的银行金库，等待着黑客的光临。

四、被焦虑裹挟的“养虾人”

这股“养龙虾”的热潮，折射出的是人们在智能时代的“错失恐惧”。生怕一步跟不上，就会步步落后。这种焦虑被无数营销号放大，催生出一系列畸形的业态：二手交易平台上，代装“龙虾”的服务从300元到1500元不等；就连苹果的Mac Mini M4也因被认为是“养虾”利器而被买到断货，价格逆势上涨。

“OpenClaw的潜力毋庸置疑，它是AI从‘能说会道’走向‘能动手做’的必然方向。”周明对此并不否认，“但说实话，我极不赞成普通用户，即不懂代码、不会调试的用户自行在本地安装。”

从社会心态层面看：“‘养龙虾’之爆火，折射了人们在智能时代的‘错失焦虑’，生怕一步跟不上潮流，就会成为落伍者。技术再热，常识不能丢。“那些喊着‘错过就亏大了’的人，往往藏着收割的镰刀。门都没摸着就冲进去，大概率要交学费。”

如今，第一批“养虾人”已经开始大规模卸载。他们留下的惨痛教训是：在一个新技术狂奔而来的时代，热情是必要的，但清醒比热情更重要。在你将那只名叫OpenClaw的“龙虾”迎入你的数字世界之前，请务必确保，你是它的主人，而不是它的下一顿晚餐。

五、国家互联网应急中心风险提示

3月10日国家互联网应急中心发布关于OpenClaw安全应用的风险提示，工信部专家提示审慎使用“龙虾”。

近期，OpenClaw（“小龙虾”，曾用名Clawdbot、Moltbot）应用下载与使用情况火爆，国内主流云平台均提供了一键部署服务。此款智能体软件依据自然语言指令直接操控计算机完成相关操作。为实现“自主执行任务”的能力，该应用被授予了较高的系统权限，包括访问本地文件系统、读取环境变量、调用外部服务应用程序编程接口（API）以及安装扩展功能等。然而，由于其默认的安全配置极为脆弱，攻击者一旦发现突破口，便能轻易获取系统的完全控制权。

前期，由于OpenClaw智能体的不当安装和使用，已经出现了一些严重的安全风险：

1.“提示词注入”风险。网络攻击者通过在网页中构造隐藏的恶意指令，诱导OpenClaw读取该网页，就可能导致其被诱导将用户系统密钥泄露。

2. “误操作”风险。由于错误的理解用户操作指令和意图，OpenClaw可能会将电子邮件、核心生产数据等重要信息彻底删除。

3.功能插件（skills）投毒风险。多个适用于OpenClaw的功能插件已被确认为恶意插件或存在潜在的安全风险，安装后可执行窃取密钥、部署木马后门软件等恶意操作，使得设备沦为“肉鸡”。

4.安全漏洞风险。截止目前，OpenClaw已经公开曝出多个高中危漏洞，一旦这些漏洞被网络攻击者恶意利用，则可能导致系统被控、隐私信息和敏感数据泄露的严重后果。对于个人用户，可导致隐私数据（像照片、文档、聊天记录）、支付账户、API密钥等敏感信息遭窃取。对于金融、能源等关键行业，可导致核心业务数据、商业机密和代码仓库泄露，甚至会使整个业务系统陷入瘫痪，造成难以估量的损失。

建议相关单位和个人用户在部署和应用OpenClaw时，采取以下安全措施：

1.强化网络控制，不将OpenClaw默认管理端口直接暴露在公网上，通过身份认证、访问控制等安全控制措施对访问服务进行安全管理。对运行环境进行严格隔离，使用容器等技术限制OpenClaw权限过高问题；

2.加强凭证管理，避免在环境变量中明文存储密钥；建立完整的操作日志审计机制；

3.严格管理插件来源，禁用自动更新功能，仅从可信渠道安装经过签名验证的扩展程序。

4.持续关注补丁和安全更新，及时进行版本更新和安装安全补丁。

六、专家建议：审慎使用“龙虾”等智能体

工信部专家，中国信息通信研究院副院长魏亮：“龙虾”等智能体有以下风险：

误操作风险：AI可能误解指令，导致删除重要文件或数据。

技能包投毒：第三方技能包（ClawHub）可能被植入恶意代码，导致数据泄露或系统被控。

配置风险：将实例暴露于公网、使用管理员权限或明文存储密钥，极易被攻击。

安全建议强调“最小权限、主动防御、持续审计”原则，具体包括：

使用官方最新版本，并开启自动更新。

严禁公网暴露，确需访问需通过VPN或SSH。

坚持最小权限，严禁使用管理员账号，建议在容器中隔离运行。

审慎使用技能包，安装前需审查代码，拒绝要求下载ZIP或执行脚本的包。

防范社会工程学攻击，不点击陌生链接。

建立长效防护，启用日志审计，关注官方安全公告。

奇安信安全专家汪列军建议，对于普通用户而言，强烈建议禁止在日常办公电脑、存有重要个人资料的个人电脑上直接安装OpenClaw。推荐使用更安全的云服务器虚拟机部署，或者找一台旧的、闲置的电脑，实现彻底的物理隔离。一旦AI失控执行删除操作或被黑客控制，损失将是不可逆的。

七、安全防护建议

1. 权限隔离生死线

必须采用Docker+SELinux双重隔离，禁止赋予SYS_ADMIN能力。某央企的实践表明，这可使攻击面降低87%。建议使用Podman替代Docker，规避runC漏洞风险。

2. 流量监控三板斧

部署eBPF探针实时检测异常系统调用，配置iptables限制出站连接，启用TLS双向认证。华为云安全团队验证，此方案可拦截99.6%的C2通信。

3. 插件验尸官制度

建立插件数字签名验证链，要求所有skills必须经过：

– GPG签名校验

– YARA规则扫描

– 沙箱行为分析

三重审查。某安全厂商的自动化审计系统已成功识别出132个伪装插件。

4. 日志狩猎战术

配置ELK栈收集以下关键日志：

– /var/log/auth.log

– audit.log系统调用

– OpenClaw决策树输出

某银行通过日志分析，在攻击发生前48小时就发现了APT组织T1002.001的蛛丝马迹。

八、行业应对最新动态

工业和信息化部已启动”清螯行动”，建立AI智能体安全评估体系。首批通过认证的包括：

– 蚂蚁集团”蚁甲”防护系统

– 奇安信”天工”安全网关

– 启明星辰”星盾”监控平台

中国信通院正在制定《AI代理安全成熟度模型》，预计Q3发布。该标准将从身份鉴别、资源控制、数据保护等六个维度建立分级评估机制。

九、结语：AI时代的“双刃剑”

OpenClaw的爆火是技术进步的体现，它代表着人工智能从“认知智能”向“行动智能”的跨越。但这场跨越，不能以牺牲安全为代价。当AI从“问答工具”进化为“行动主体”，我们不能只追求其功能的强大，更要为其戴上“安全的枷锁”。对于普通用户而言，在技术尚未完全成熟之前，审慎使用、做好隔离，才是保护自己数字资产的最佳策略。

智能体时代的到来不可阻挡，但便捷不应以牺牲安全为代价。无论是个人用户还是企事业单位，在享受OpenClaw带来的效率红利时，必须秉持“最小权限、主动防御、持续审计”的原则。只有守住安全红线，这只“龙虾”才能成为助你腾飞的利器，而非反噬自身的祸端。

亲爱的读者朋友，本文是否对您有帮助或者启发？您有什么想说的？欢迎在评论区留言。

免责提醒⚠️ 本文内容仅供参考，均不构成任何投资等建议！

公众号:   智财说
请您关注、星标、点赞、分享、在看、留言。