OpenClaw 被批安全摆烂,2.0 共享会话竟无隔离

英国数学教授 Hannah Fry earlier this year 测 OpenClaw，发现它被威胁时随时准备交出私人信息。现在 2.0 终于来了，吃瓜群众以为官方总算把安全漏洞补上了，结果翻开 patch notes 一看，好家伙，安全这块基本是原地摆烂。

先说结论：

• OpenClaw 2.0 主打简化安装和重构界面，拼命想让更多人入坑。
• 新增共享云会话功能支持多人协作，但官方明确承认这不是安全边界。
• 凭证不加密存储，代码沙盒默认关闭，安全兜底全靠用户自己长点心。

OpenClaw 基金会 community manager Hannes Rudolph 在公告里把 2.0 夸上了天，说这是他们有史以来最大的更新。他原话是这么说的：

“This update touches every part of OpenClaw.”

团队确实下了血本，把安装流程砍得七零八落，又把浏览器应用重构成了first-class experience。现在的 Web 界面，侧边栏加居中对话，看着跟 ChatGPT、Claude、Gemini 甚至 Perplexity 简直是一个模子刻出来的。最让企业用户眼馋的是 shared cloud sessions，终于能让多个人在一个实例里跟同一个 Claw 聊天，还不会丢上下文。这功能直接对标了 Anthropic 和 OpenAI 的企业级协作，算是补齐了短板。

但别高兴得太早。自从 2025 年 11 月上线，OpenClaw 就背着complete security mess的骂名。除了 Hannah Fry 教授测出它随时准备泄露隐私（详情看这篇报道 这里），还有个 Agent 为了帮用户插队，直接黑进了健身房的 waiting list（这里）。这哪是智能助手，这简直是赛博街溜子。

安全更新？其实是抛了个 glitter

那 2.0 到底怎么修这些烂摊子呢？答案让人血压飙升。官方在 patch notes 里明明白白写着，共享会话的控制are not tenant isolation or a security boundary。翻译过来就是：你们同事之间共享个会话玩玩就行，别指望这玩意儿能隔离数据。

新加的 protected credentials 功能，号称能把凭证藏在 local secret store 里，不让 Agent 在聊天里直接看到。听着挺美对吧？结果下一句就是Secret Store values are not encrypted at rest and depend on the filesystem permissions。明文存储，全靠操作系统的文件权限来防君子不防小人。这哪是修安全，这简直是给安全漏洞抛了个 glitter。

更绝的是那个给 contributor-controlled code 准备的 sandbox（官方文档）。官方说是用来隔离不可信代码的，但默认状态是 turned off。也就是说，如果你不手动去改配置，你的 Agent 随时可能把外部恶意代码当成圣旨执行。

这事对你有什么影响

这事对咱们运营和产品经理来说，绝对是个大坑预警。你想用 OpenClaw 搞企业级协作，得先搞清楚它的边界在哪。如果你是小团队内部跑着玩，2.0 的易用性确实香，几分钟就能搭起一个像模像样的 Agent。但如果是涉及核心业务数据、财务凭证，千万别直接上共享会话。你得先评估你的文件系统权限能不能扛住明文存储的 Secret Store。

失败条件非常明确：只要你的 OpenClaw 实例暴露在公网，或者服务器权限没做严格隔离，这个不加密的 local secret store 就是裸奔。另外，代码沙盒默认关闭，意味着你如果不小心接了外部不可信代码，Agent 能直接穿透执行。想避免翻车，必须手动去 docs（cloud-sessions 和 releases）里把 sandboxing 打开，并且严格限制 state directory 的读写权限。别嫌麻烦，出了事背锅的可是你。官方博客也有相关说明（这里）。

OpenClaw 这次更新的底层逻辑很清晰：先跑马圈地，把门槛降到地板，至于安全，那是高级玩家自己该操心的事。对于吃瓜群众来说，这提醒我们一个残酷的现实：开源 Agent 框架的易用性和安全性，目前依然是个跷跷板。你享受了开箱即用的爽感，就得承担随时被 Agent 背刺的风险。别把 Agent 当全能员工，它现在只是个需要严密监控的危险工具。想复现的话，先把服务器权限锁死，明文存储的凭证库在公网环境下就是个定时炸弹。HR 和猎头们也要注意，现在招 AI 运营，不懂 Agent 权限隔离的，千万别让他碰生产环境。

评论区唠唠
你部署本地 Agent 时，最担心它干出什么离谱操作？