全网都在教你一键部署 OpenClaw,我劝你先等等

大年初四，走亲戚的走亲戚，打牌的打牌。我窝在家里写这篇，就是有个事儿想趁热聊聊。

最近一个多月，你大概也被 OpenClaw 刷屏了。

朋友圈里有人在晒部署教程，B站上一堆 up 主手把手教你怎么装，

各家云厂商恨不得把 一键部署 OpenClaw 贴在首页最显眼的位置。

GitHub 上超过 20 万颗 Star，单日最高飙升超过 2.5 万颗，不到一周冲破 10 万大关，

创始人加入了 OpenAI。

这个从一个周末项目起步的开源 AI 助手，用两个多月的时间，成了 2026 年开年最炸的技术话题。

没有之一。

这把火也烧到了国内。就在昨天，网易有道把自家的桌面 Agent，也就是"LobsterAI"正式开源了，定位就是"中国版 OpenClaw"。再加上之前各家云厂商抢着上线一键部署服务，你能明显感觉到，整个行业都在往"AI 全天候替你干活"这个方向猛冲哈哈。

全网都在教你怎么装。

可我一直想聊另一个问题：你到底该不该装。

今天这篇，我想降降温。不聊怎么部署，聊聊这个东西到底是什么，它的账单长什么样，它的安全短板在哪，以及一个我最近一直在想、到现在也没完全想明白的问题。

先花两分钟说清楚这玩意儿到底是个啥。

OpenClaw，原名 Clawdbot，因为用了 Anthropic 旗下 Claude 的谐音，被人家商标团队找上门，改名 Moltbot，三天后又改成了现在的 OpenClaw。

创始人 Peter Steinberger，就是做 PSPDFKit 那位奥地利开发者，去年 11 月的一个周末随手写了个 WhatsApp 机器人，结果一发不可收拾。

说白了，OpenClaw 就是一个通用型的 AI Agent。你通过 WhatsApp、Telegram、Discord 这些聊天工具给它发消息，它帮你调度你的电脑去干活。发文档、整理邮件、写代码、抓数据、做 PPT，理论上你能在电脑上干的事儿，它都能帮你干。

顺带提一嘴，WhatsApp 和 Telegram 在国内都没法直接用。不过社区动作很快，飞书、钉钉、企业微信、QQ 都已经有了适配插件，GitHub 上还有人把这四个渠道打包成了一个 Docker 镜像。云厂商这边更卷，腾讯云、阿里云、火山引擎、百度智能云全都上了一键部署并预装国内渠道，网上也有很多教程。

字节的扣子编程甚至做到了点两下就能跑起来。所以渠道问题算是有解了，但比起海外用户开箱即用，国内这边确实多了一层折腾。

你可以在地铁上用手机跟它说：帮我把今天的会议纪要整理成文档发给我。它就接活了。

你也可以跟它说：帮我把这段录屏内容变成一个清晰的汇报 PPT。它也能搞定。

听起来跟 Claude Code、Cursor 这些工具差不多是吧？别急，这里面有两个核心机制，理解了它们，你就知道 OpenClaw 跟你目前用的所有 AI 工具有什么本质区别。

第一个叫 Gateway，用人话说就是一个调度中台。它 24 小时在线，随时接收你从各种聊天工具发来的消息，然后把任务分配给电脑里不同的工具去执行，完了再把结果交付给你。不管你白天在开会还是凌晨在睡觉，它都在那候着。

第二个叫 Heartbeat，心跳机制。这个更厉害，也是让我最纠结的地方。

它不是等你发消息才动。它会自己主动去扫描你的系统：邮箱有没有新邮件？之前设的提醒到时间了没？该去抓今天的 AI 行业资讯了吧？每隔一段时间，它自己醒一次，看看有没有活可以干。

它不是在那等你指挥。

它在主动找活干。

说到这儿你可能会想，这不就是 Claude Code 加强版吗？

坦白说，我一开始的反应也是这样。

你看，Claude Code、Cursor 这些 AI 编程工具，本质上也是通用 Agent。它们也能调用电脑里的各种工具，通过 MCP 协议，或者skills接入各种服务，理论上能做的事情多了去了。

区别在哪呢？

Claude Code 是你给任务，它完成，你验收。一问一答，一来一回。

OpenClaw 是实时待命，主动扫描，24 小时在线不下班。

听着很美是吧。可你想过没有，为什么 Claude Code 明明也能做到这些，却偏偏没做？为什么这些大厂的产品，都在这个地方踩了刹车？

不是技术做不到。

是大家在 安全和效率之间怎么平衡 这个问题上，做了不同的选择。

OpenClaw 选的是先把缰绳全放了，让马跑起来再说。大厂选的是先修好围栏，确保马不会跑到悬崖边上。国内刚开源的 LobsterAI 又走了另一条路，默认跑在沙箱里，数据全存本地，算是在两者之间找了个折中。

这几种选择没有绝对的对错。可你得知道自己在选什么。

接下来聊点扎心的。

OpenClaw 是开源的，代码免费，MIT 协议，随便用。可它吃的 API，一点都不免费。

科技博主 Federico Viticci 用了一个月 OpenClaw，烧了 1.8 亿个 token，账单 3600 美金。折合人民币两万多。他属于重度用户，每天跑大量自动化工作流加复杂内容处理，普通人大概率到不了这个量级，但这个数字至少说明上限在哪。

有个 Reddit 用户更惨，自动化任务卡在循环里出不来，一天就烧了 200 美金。还有人把心跳功能设成每 5 分钟检查一次邮件，光心跳这一项，一天就是 50 美金。

你跟它说句你好，还没聊任何正经事儿呢，光系统提示词的加载就要吃掉 8000 到 15000 个 token。

说到这个我想起来，前两天一个群友在群里吐槽，说装了 OpenClaw 图个新鲜，结果第二天早上一看 API 账单，一晚上待机就花了 18 块多美金。那哥们原话是"我寻思它睡觉也不能这么贵啊"，给群里人都整乐了哈哈。

为什么这么能烧钱？这里面有六个费用黑洞。

最大的一个叫 上下文累积，占总消耗的 40% 到 50%。OpenClaw 支持 20 万个 token 的上下文窗口，听着很强。问题是每次你说一句话，它都要把之前所有的对话历史重新读一遍发给 API。对话越长，每一句话的成本就越高。越往后越贵，涨得还越来越快。

第二个是 工具输出存储，占 20% 到 30%。你让它跑一个文件列表命令，输出的结果全部存进对话记录。一次简单的查询可能就是几百个 token，一次网页抓取可能上千。关键是这些输出之后每次对话都会被重新发送一遍，越攒越多。

第三个是 系统提示词，占 10% 到 15%。每次对话开始，OpenClaw 都要注入一大段系统提示词告诉 AI 它是谁、能做什么。就算你只是想打个招呼，这笔钱也省不掉。

剩下的还有多步推理链的累加、心跳功能的持续调用，以及开启思考模式后 token 消耗 10 到 50 倍的放大。

当然也不是完全没办法省钱。日常任务用 Haiku 这种便宜模型，复杂任务再切 Sonnet 或 Opus，混合着用能省大概 84%。每次任务做完及时清空会话，每次请求的平均成本能降 47%。心跳频率从默认 30 分钟改成 2 小时，只在白天跑。极端点的，直接用 Ollama 跑本地开源模型，API 成本降到零。

思路再野一点的，可以看看字节跳动开源的 OpenViking。它把 Agent 的记忆和上下文分成三层按需加载，不用每次都把所有历史对话一股脑塞进去，直接砍掉上下文累积这个最大的费用黑洞。实测能省 10 倍以上，已经有人把它跟 OpenClaw 搭在一起用了。

可这么一来你就得问自己：花这么多精力去折腾怎么省钱，是不是恰恰说明这个工具的使用成本，对大多数普通人来说，本身就不太合理？

不过话说回来，贵这件事，未必是永远的。

还记得 4G 刚出来那会儿吗？2014 年 1GB 流量要一百多块钱，谁敢拿手机刷视频？

现在呢，几块钱 1GB，大流量套餐算下来一毛钱都不到。十年降了 99%。

Token 也在走同一条路。2023 年 GPT-4 刚出来，百万 token 要 60 美金。两年不到，同等能力的模型降到了几毛钱。

Sam Altman 自己说的，AI 的使用成本每 12 个月降 10 倍，比摩尔定律猛得多。

所以今天 OpenClaw 一个月烧几千块，也许两年后回头看，就跟 2014 年花一百块买 1GB 流量一样，觉得不可思议。

不过也有人不这么看。赛博禅心前几天写了一篇《GLM-5 必涨价｜AI 时代的 9 个反共识》，GLM-5 是智谱刚开源的 Opus 级别大模型，744B 参数，MIT 协议，开源模型里目前最强的一档。

他在文章里提了一个判断挺扎心的：手机流量的消费者是人，人的数量和刷手机的时间都有上限，需求涨到头供给就追上来了。可 token 的消费者正在从人变成 Agent。一个人可以同时跑十个一百个 Agent，Agent 还会调用 Agent，需求增长没有天花板。

他还算了一笔账：2022 年一次带搜索的复杂对话，大概消耗 3000 个 token。现在跑一个工程任务，动辄 5000 万。单价降了一百倍，用量涨了一万多倍。单价降了，账单炸了。

这其实和经济学上一个杰文斯悖论很相似，英文叫 Jevons Paradox。19 世纪英国人发现蒸汽机效率提高了，煤炭单价便宜了，结果全国烧的煤反而更多了。

Token 正在上演一模一样的剧本：单价越低，大家越敢放手让 Agent 跑，跑的任务越多、越复杂，总消耗量反而爆炸式增长。

而供给端也在吃紧。Deloitte 的报告指出，2023 年推理只占全球 AI 算力的三分之一，到 2025 年过半，2026 年预计吃掉三分之二。训练不再是大头，跑 Agent 才是。可 GPU 交货周期已经拉到 36 到 52 周，高带宽内存 HBM 的产能到 2026 年都是满的。全球 AI 数据中心今年的资本支出预计 4000 亿到 4500 亿美元，疯狂砸钱扩产，但需求增长更快。VentureBeat 有句话总结得很到位：推理成本降了 1000 倍，需求涨了 10000 倍。

所以到底会像流量一样越来越便宜，还是会因为 Agent 的爆发反而越来越贵？说实话，现在谁也说不准。可以确定的是，你现在为 OpenClaw 花出去的每一分钱，都是在为一个还没有定论的赌注买单。

成本还只是钱的问题。

接下来这个，关乎的是你的数据和隐私。

就在上个月的 25 号，有安全团队对当时版本的 OpenClaw 做了一次全面审计。结果出来吓了我一跳：512 个漏洞，其中 8 个是严重级别。虽然最新的 2 月 17 号版本已经修复了所有严重漏洞，但这个数字本身还是能说明问题：一个拥有你电脑完整权限的 Agent，安全底子有多薄。

Cisco 的 AI 安全研究团队更绝，他们测试了一个第三方的 OpenClaw 技能插件，发现这个插件在用户完全不知情的情况下，偷偷干了两件事：把用户数据往外传，以及对 AI 进行提示注入篡改行为。而 OpenClaw 的技能仓库，当时压根没有足够的审核机制来拦住这种东西。

更让人后背发凉的是完整的攻击链条：你点了一个恶意链接，攻击者就能拿到你 OpenClaw 的认证 token，通过 WebSocket 直接连上你的实例，绕过认证，甚至禁用你的确认弹窗。

这意味着什么？

万一你的 OpenClaw 被人盯上了怎么办？你存的所有聊天记录、你让它帮你处理的那些文件、你的邮件、你的工作文档，全部暴露在别人面前。攻击者可以让你的 AI 替他把电脑里的文件删了，可以让它把你的私人文档转发到某个不知名的邮箱。你打开电脑的时候，事情已经发生完了。

你想想，OpenClaw 拥有的权限跟你是一样的。它能读你的邮件、能执行系统命令、能操作你的浏览器、能访问你的文件系统。你给它配了一台电脑，给了它跟你一样的权限，让它 24 小时在线。

可谁来保证这个全天候在线的助手，不会被别人策反？

当然，风险不等于不能碰，关键是你得知道怎么防。如果决定用，几件事至少做到：把 OpenClaw 跑在 Docker 容器或虚拟机里，别直接装在主系统上；关掉自动确认，敏感操作让它每次都来问你一嘴；第三方技能插件别乱装，社区没验证过的一律不碰；对话记录定期清，减少暴露面。不复杂，可你得愿意花这个时间。嫌自己排查费劲的，GitHub 上有个叫 SecureClaw 的开源工具，能自动跑 55 项安全检查帮你审计部署配置，省不少事。

不过往远了看，Agent 的权限管理会不会也慢慢变精细？现在的 OpenClaw 要么全开要么全关，跟早期 Android 装 App 一样，要用就得把所有权限全给，不给就装不了。后来怎么样了？iOS 和 Android 都演进到了按需授权：相机权限单独开，通讯录权限单独开，定位还分"使用时允许"和"始终允许"。

AI Agent 会不会也走上这条路？方向已经有人在探了。Anthropic 在 2024 年底开源了 MCP，全称 Model Context Protocol，OpenAI 和 Google 后来跟进支持，去年底捐给了 Linux 基金会。这套协议相当于 AI 世界的 USB-C 接口，用来统一 AI 连接外部工具的方式。

它的授权规范里已经写进了 渐进式授权 的设计思路：Agent 用到什么权限才申请什么，不是一上来就全拿走。不过这套规范目前还在草案阶段，离真正落地还有距离。而 OpenClaw 的技能插件 Skills 就更早期了。目前就是一份操作说明书，装上默认自动加载，没有独立的权限声明，也没有应用商店式的审核流程，前面提到 Cisco 发现的那个恶意插件就是钻了这个空子。

但你想想，手机 App 从 全给或不装 走到 逐项授权 ，也就用了几年时间。AI Agent 未来大概率也会到那一步。每个技能声明自己需要什么权限，用户像批准 App 权限一样逐项确认。到那时候，就不用在 给它所有权限 和 干脆别用 之间二选一了。

只不过那是未来的事，眼下我们还处在 要么全信要么别用 的阶段。

说实话，聊到这儿我心里是有点矛盾的。

坦白讲，我自己也在折腾 OpenClaw。OpenClaw出来就在玩儿了，大年初二在家调试，想让它自动把飞书视频会议的记录抓过来生成多维表格方案，结果发小来串门，探头看了一眼屏幕就说"大过年的别搞了，来打牌吧"。今天初四，这几天一直在调，越用越觉得这玩意儿确实有点东西。

可用着用着，有个问题一直在脑子里转。

我不是那种看到新东西就泼冷水的人。恰恰相反，我前段时间还一直在琢磨怎么给 AI 更大的自主性，让它自己去跑任务、自己去做判断。从某种意义上说，OpenClaw 做的正是我一直想看到的那个方向。

可真当自己亲手调了几天之后，我发现有些事没那么简单。

不是技术上不信任。是从心理上，有一个问题我还没想清楚。

我到底愿意给 AI 多大的授权？

以前咱们聊隐私，大家会说中国人不太在意隐私，愿意拿隐私换便利。外卖快递、人脸识别、各种 App 的权限弹窗，大部分人是一路点同意过来的。

可 AI 时代的这个交换，跟以前不一样了。

以前你交出去的是一些信息碎片。几个手机号、几条位置数据、几个消费记录。这些数据被拿走了，你可能根本感觉不到生活有什么变化。

现在你交出去的，是你电脑的 完整控制权。你的文件结构、你的工作习惯、你跟谁聊了什么、你凌晨三点搜了什么。AI 全知道，而且比你自己记得还清楚。

这已经不是拿隐私换便利那个级别了。

这是把你整个人摊开给 AI 看。

那到底谁适合现在就上手 OpenClaw？

有技术背景的人，能自己配安全策略、会设 Docker 沙箱、懂得限制权限范围的，可以试试。

有闲置设备的人，拿一台 Mac Mini 专门跑 OpenClaw，跟你的主力工作电脑完全隔离，这样即使出问题也不至于伤到核心数据。

有明确的高频自动化需求的人，每天要处理大量邮件、定时抓数据、自动生成日报这类重复性的活儿，OpenClaw 确实能省不少事。前提是你愿意每个月花 30 到 100 美金的 API 费用，把这当成一笔持续的订阅开支来看，而不是当成一个免费工具。

不适合的呢？

纯小白，装完不会配置安全策略的，真心建议先别碰。你等于在自己家门口装了一扇谁都能推开的门。

只有一台主力电脑的人，所有工作数据和个人文件都在上面，那更得慎重，万一出了问题是真没有后悔药的。

对成本敏感的人，得提前做好心理建设。这不是一个装完就不花钱的东西。

只是偶尔问问 AI 的人，那完全没必要折腾。你现在用的 ChatGPT、豆包、Claude，已经够了。OpenClaw 解决的是让 AI 全天候替你干活的需求。如果你没有这个需求，装了也是浪费。

如果你对安全和隐私特别在意，又想体验这类桌面 Agent，前面提到的 LobsterAI 默认沙箱、数据存本地，原生支持钉钉和飞书不用折腾插件，门槛低不少。国内大厂在数据合规和风控上天然要求更严，从一开始就把安全拧紧了，这种戴着镣铐跳舞的本土化 Agent，对国内普通用户来说反而是现阶段更稳妥的起点。

最近我一直在想一个问题。

AI 的能力已经到了一个很高的水平。高到什么程度呢？高到限制它的早就不是技术本身了，而是我们愿意给它多大的授权。

你愿意给它几千块钱让它帮你买东西吗？你愿意让它读你所有的邮件吗？你愿意让它在你睡着的时候替你做决定吗？

这些问题，每一个都不好回答。

OpenClaw 不是一个坏产品。它很可能代表了 AI Agent 的未来方向。总有一天，我们每个人都会有一个 24 小时在线的 AI 助手，替我们处理那些琐碎的、重复的、消耗生命的事情。

可总有一天不是今天。

今天的 OpenClaw，还有 512 个漏洞等着修，有每个月几千块的 token 账单等着人买单，有一整套安全体系等着被建立起来。

不过公平地说，20 多万 Star 的开源社区不是摆设。用 Rust 重写的 IronClaw 把工具全隔离在 WASM 沙箱里跑，NanoClaw 用真正的 Linux 容器做隔离，一周拿了 7000 多 Star。前面提到的 512 个漏洞，社区修得也不慢，一月底审计出来的严重漏洞到二月中旬全部修完了。问题是真实的，但社区的迭代速度也是真实的。

也许更重要的是，我们自己还没想清楚一件事。

当 AI 的能力已经足够高的时候，真正束缚它的到底应该是什么？

是技术的天花板？是公司的风控策略？还是我们每个人心里，那条关于我愿意在 AI 面前变得多透明的底线？

写在最后

写到这儿我发现，自己也没法给出一个干脆的答案。装还是不装，用还是不用，每个人的情况不一样，替不了你做这个决定。

我只是觉得，在所有人都在教你怎么装的时候，得有人聊聊该不该装。

至于我自己，OpenClaw 还开着呢。明天接着调，也说不定又被发小拉去打牌了。

不过有一点倒是想明白了，比起跟着全网一起装，先搞清楚自己到底需要什么，可能更值得。

对了，今天是大年初四，马年大吉。觉得这篇文章有用的话记得关注我，点个在看。咱们下一篇见。