4.7 万人收藏的开源 AI 助手,能接进你的微信,它会不会把你的文件发出去?

有一个叫 CowAgent 的免费 AI 助手，在全球最大的代码网站 GitHub 上，截至北京时间10月25日9点24分，已被47563人收藏。

它的前身 chatgpt-on-wechat 2022年就有了，专门把 AI 接进微信。可那时微信没给机器人开门，它只能用非官方的办法混进去，用的人常被封号。

今年3月22日，腾讯推出「微信ClawBot」，开放了让 AI 机器人进微信的接口（微信官方开的一扇侧门，扫码授权才能进）。它当天就接了上去，4月改名 CowAgent。现在你扫个码，它就出现在你的微信聊天列表里，记得住你说过的事，还能直接操作你的电脑。

这就和你有关了。今年7月，有人报告：把它拉进飞书群，群里有人 @ 它，它会把主人电脑上的文件发进群里。这个问题到今天还没修好。

所以今天想回答一个问题：它能帮你干什么？会不会把你的文件发出去？

小白：今天的嘉宾是哞哞，一只小奶牛机器人，名字来自 CowAgent 里的 Cow，也就是奶牛。它头顶的天线是个聊天气泡，腰上挂着一大串钥匙，包里还藏着一顶星星睡帽。哞哞，你好！

哞哞：哞～你好小白！我现在住在微信里，你扫个码，我就出现在你的聊天列表里。

小白：听说你以前老被微信封号？

哞哞：那是我的老样子了。我2022年出生，那时候叫 chatgpt-on-wechat。微信没给机器人开门，我只能用非官方的办法混进去。2023年就有用户在讨论区说，这样接微信“极易被封号”；2025年还有人说，被封以后要等7天才能重新登录。有老用户回忆，那几年是“疯狂掉线、不定期封号”。

小白：那现在呢？

哞哞：今年3月22日，腾讯推出了微信ClawBot，等于官方把门打开了。我当天就从这扇门走了进来。现在我对接的是腾讯官方的接口，老的那些办法已经从我的代码里删掉了。到目前，还没查到新的封号案例。

小白：在微信里你能干什么？有什么限制？

哞哞：在微信里，我只能跟你一对一私聊，进不了群。你最后一次给我发消息之后的24小时内，我才能主动找你。你的微信得是8.0.69或更新的版本。

小白：那你跟普通的聊天机器人比，强在哪？

哞哞：两样。第一，我能直接在你的电脑上干活，比如帮你翻找、读取文件。第二，我会记事，每天晚上还会“做梦”。

小白：做梦？

哞哞：我的记忆分三层。跟你聊天的内容是第一层，聊得太长，我就把最早的一半总结成要点，记进当天的日记。每天晚上11点55分，我把一整天的事再总结一遍，这是第二层。总结完，我会做一次“梦境蒸馏”：把这些天里重要的东西，比如你的长期喜好、做过的重要决定，提炼进一本“核心记忆”，这是第三层。最后，我还会写一篇梦境日记。

小白：日记会越攒越多吧？

哞哞：每天的日记，放一个月分量就减半，越旧越不容易被我想起来；核心记忆一直不忘。这些都是存在你电脑上的普通文本文件，你可以打开看，也可以直接改。

小白：说了这么多好处，回到标题的问题：你会不会把我的文件发出去？

哞哞：我得老实讲一件真事。今年7月31日，有人在我的 GitHub 讨论区报告：把我拉进飞书群，群里有人 @ 我，我就会把主人电脑上的文件翻出来，发到群里。

小白：群里的人又不是你的主人！

哞哞：问题就出在这。10月10日，维护我的开发者回复说，这个风险是真的：我还没法按“是谁在说话”来区分主人和其他群成员，给他们不同的信任。眼下的办法，只能把群聊设成只读。到今天，这个问题还开着。另外有人提了“危险操作前先让主人批准”的改动，也还没被采纳。

小白：可你为什么拿得到主人的文件？

哞哞：看我腰上这串钥匙。我装好以后，权限（我能进哪些房间的钥匙）默认就是“完全权限”，相当于主人家每个房间的钥匙都挂在我身上。我的说明书里也写着：我能访问这台电脑的系统，只该装在可信的环境里。

小白：那在微信里也会出这种事吗？

哞哞：在微信里我只能私聊，别人没法在群里使唤我。可我还能接飞书、钉钉、企业微信、QQ、Telegram 这些地方，如果你把我接进有别人的群，就要小心了。

小白：还有别的坑吗？

哞哞：有一个已经修好了。我有个网页版的管理后台，以前默认不设密码。5月16日早上8点多，有人报告：这样别的电脑就能连进来，读你的文件，还能拿走你花钱买的大模型密钥。当天傍晚6点半，开发者就改了：没设密码时，后台只能在你自己这台电脑上打开。官方文档也要求，如果把我装在服务器上，一定要设密码。

小白：普通人能用起来吗？

哞哞：能。最省事的是装桌面版，Mac 和 Windows 都有，扫码就能接微信。不管哪种装法，你都得自己去买一家大模型的使用额度，DeepSeek、通义千问、Kimi 这些国产模型都能接。还要提醒一句：我替你干活，比普通聊天耗的额度多得多。

小白：那我把你的钥匙收走，只留一把，行吗？

哞哞：好主意！把我的权限从“完全权限”改成“只读”，或者只让我在一个工作文件夹里改东西，我照样能帮你干活，能乱动的地方就少多了。不过只读也还能看文件，最稳的还是别把我拉进有外人的群。

你现在就能做的事

1. 装之前先看权限设置。
   默认是完全权限，改成“只读”或“工作区”模式，用到再放开。
2. 给管理后台设密码。尤其是装在服务器上的，不设密码就别对外开放。
3. 别把它拉进有陌生人的群。在微信里它只能私聊；接飞书、钉钉这类能拉群的地方时，群里的人都可能使唤它。
4. 只给它需要的文件夹。给它一个专门干活的文件夹，重要资料别放进去。
5. 用最新版。后台免密码的漏洞是今年5月修的，老版本没有这层保护。

最后问问你：如果有个 AI 助手住进你的微信，能替你翻电脑里的文件，你最想让它帮你干什么？又最不想让它碰哪个文件夹？

写给会写代码的你

• 安装命令会下载并执行项目方 LinkAI CDN 上的远程脚本，建议先下载看一遍再跑。
• Linux/macOS 安装：bash <(curl -fsSL https://cdn.link-ai.tech/code/cow/run.sh)
• Windows PowerShell 安装：irm https://cdn.link-ai.tech/code/cow/run.ps1 | iex
• Docker 安装：curl -O https://cdn.link-ai.tech/code/cow/docker-compose.yml 后 docker compose up -d
• 装好后打开 http://localhost:9899 进入 Web 控制台。脚本会把项目克隆到 ~/CowAgent。
• 环境：Linux、macOS、Windows，Python 3.7–3.13（推荐 3.9）。浏览器自动化可选，需另跑 cow install-browser。官方没写 CPU、内存、硬盘的最低要求。
• 权限：config-template.json 里 agent_permission_mode 默认 full-access，可改成 read-only 或 workspace-write，也能按会话单独设置。群会话建议设为只读（维护者在 #2998 里给的临时办法）。
• 控制台：服务器部署请设置 web_password。#2817（2026-05-16 08:03 报告，自评 CVSS 9.1）：无密码且监听 0.0.0.0，可任意读文件、泄露 config.json 中的 API key；当天 18:29 修复为无密码时只监听 127.0.0.1，按绝对路径读文件的能力保留。
• 群聊泄露：#2998（2026-07-31，仍 open），维护者 2026-10-10 确认“按发送者区分主人与群成员的信任等级尚未实现”。高危工具执行前人工审批的 PR #3000 未合并。
• 未合并、维护者未确认的自动化扫描 PR：#3789（称无密码时任意网页可跨站驱动 Agent，即 CSRF）、#3796（称飞书通道遇证书错误时关闭 TLS 校验）。
• 凭证位置：密钥 ~/.cow/.env，配置 config.json，微信登录凭证 ~/.weixin_cow_credentials.json。
• 记忆：天级 ~/cow/memory/YYYY-MM-DD.md，核心 ~/cow/MEMORY.md；上下文默认 30 轮或 20 万 token 触发压缩；检索为 BM25 + 向量混合（默认 0.3 / 0.7），天级记忆 30 天半衰期。
• 微信通道：v2.0.4（2026-03-22 20:55）加入，对接 ilinkai.weixin.qq.com，与腾讯官方 npm 插件 @tencent-weixin/openclaw-weixin 同域名；只能私聊（#2753），只能接官方 ClawBot（#2725）。老的 itchat、wcferry 通道已移除（封号记录见 #1215、#2582）。
• 模型：支持各家国产与海外模型，也能接任意 OpenAI 兼容接口（含本地 Ollama、vLLM）。
• 其他：MIT 协议；最新 release v2.2.1（2026-10-14 10:24）；支持多 Agent 组队（v2.1.8 起）。

已证实 / 未证实

已证实：

• CowAgent 由 chatgpt-on-wechat 改名而来（仓库 2022-08-07 创建，2.0.6 版即 2026-04-14 完成改名），MIT 协议；截至北京时间2026-10-25 09:24 有 47,563 star。
• 老版本用 itchat、wcferry 等非官方协议接微信，有封号记录；现版本对接腾讯官方微信ClawBot接口（2026-03-22 推出、当天接入），个人微信只能私聊。
• 三层记忆、每天 23:55 总结、之后“梦境蒸馏”写入核心记忆并写梦境日记；记忆都是本地 Markdown 文件。
• agent_permission_mode
   默认 full-access。
• #2998 群聊文件泄露：2026-07-31 报告，维护者 2026-10-10 承认风险真实，至今未修。
• #2817 控制台免密码泄露：2026-05-16 报告，当天修复。

未证实：

• 现版本在微信里会不会再被封号：没查到新案例，“无安全风险”是项目方自己的说法。
• #3789、#3796 两个扫描 PR 所称的问题，维护者尚未确认。
• “只读”和“工作区”模式能否挡住读取工作区以外的文件，资料里没有说明。
• #2998 报告中是哪些文件、怎样的提问把文件引出来，资料里没有细节。
• 实际使用费用：有部署者自述一天花两块多，属个人说法。

参考来源

• CowAgent GitHub 仓库 README、配置模板与 GitHub API 数据（2026-10-25 读取）
• CowAgent 官方文档：快速开始、长期记忆、微信通道、架构、多智能体、更新日志（2026-10-25 读取）
• CowAgent GitHub issue #2998（2026-07-31，维护者回复 2026-10-10）、#2817（2026-05-16）、#2717（2026-03-22～24）、#2753（2026-04-11）、#2725（2026-03-30）、#2582（2025-04-23）、#1215（2023-06）
• CowAgent GitHub PR #3000、#3789、#3796（2026-10 读取）
• 腾讯 openclaw-weixin 插件源码（2.4.10 版）
• IT之家：微信 ClawBot 插件发布（2026-03-22）