蔡士林、王惠敏:OpenClaw类智能体执行安全的刑法保障机制研究

与传统聊天系统不同,OpenClaw类智能体已经具备持续会话、工具调用、任务分解和跨场景执行等能力。不可否认,OpenClaw打通了语言模型与真实操作环境之间的通道,显著提升了生活便捷度和工作效率。但是,OpenClaw类智能体执行的技术逻辑也决定了其潜藏着不容忽视的风险。根据生成的原因和场景,可以将法律风险分为交互安全风险、内部安全风险和外部安全风险三类。交互安全风险是指提示词注入致使故意判定模式失灵;内部安全风险是指授权机制不明引发刑事归责判断标准失效;外部安全风险则主要是指供应链投毒导致罪名适用存在选择困难。基于此,应当从以下三个方面予以应对。一是,对故意判定模式进行迭代,在素材限定为客观事实的基础上进行综合识别。二是,遵循智能体控制框架内危险的发生机理,逐级进行归责界定。三是,增设“妨害网络业务罪”,进行立法上的堵漏与纾困。

OpenClaw的爆火标志着人工智能应用正在由对话工具走向行动工具。OpenClaw并非单纯依赖大模型生成文本的前端界面,而是一个自托管的开源智能体网关(Gateway)。它可以连接WhatsApp等多种通信渠道,并在同一网关下实现会话维持、工具调用、记忆管理和多智能体路由。人工智能不再只是回答问题,而是开始在持续会话中处理文件、调度工具、回传消息并推进任务。简言之,OpenClaw的诞生意味着人工智能由内容生成迈向任务执行的结构性跃迁。然而,技术能力的跃升也潜藏着风险形态的同步演变。OpenClaw的价值,恰恰建立在开放源代码、持续会话和自动执行等基础之上,但正是这些技术特征使其风险不再局限于传统大模型所呈现的内容失真或一般性数据瑕疵。随着记忆文件、工作区文本和多信道回传被纳入同一执行闭环,风险开始由内容层延伸至系统层,由内部运行扩展至外部环境。用户的“一键委托”,可能成为自主智能体触及物理世界进而实施法益侵害行为的风险源。我国也意识到此种情形,2026年3月23日国家互联网应急中心、中国网络空间安全协会联合发布《OpenClaw安全使用实践指南》,根据主体类型(普通用户、企业用户、云服务商以及技术开发者)分别提出了包括权限管理、密钥管理以及插件白名单等保护要求。2026年5月8日,国家网信办、国家发展改革委、工业和信息化部联合印发《智能体规范应用与创新发展实施意见》(以下简称《意见》),明确指出,以推动科技创新、提升自主能力、构建产业生态、增进民生福祉为导向,坚持安全可控,将智能体安全、可靠、可信作为发展底线要求,贯穿智能体技术研发、应用部署与推广的全过程,切实防范系统性风险。

理论界的既存研究基本上还是在传统人工智能安全的大框架上进行法律优化与延伸,例如数据安全、算法透明以及责任分配等。而对于以OpenClaw为代表的自主智能体连接账号、令牌以及接口权限之后便可以自主执行各类事务的特殊现象缺乏理论关照。仅有少量成果立足于私法领域,从宏观上讨论自主智能体的法律地位、域外法律范本以及治理的原则。独有前置法的参与,显然无法为自主智能体的“安全与可控”提供充分的理论支撑。尽管刑法后置法定位决定了其启动的谨慎性,但其本身也是OpenClaw类智能体创新发展的保障法。基于此,本文结合OpenClaw类智能体的技术逻辑,系统分析其执行安全中面临的问题,并在此基础上提出中国刑法方案,希冀为我国开源人工智能体的发展提供参考。

OpenClaw作为人工智能体的“杰作”,在实际执行过程中不可避免地潜藏着各类安全风险,而且随着其接管和处理的线上任务数量剧增,风险也将进一步被放大和异化,因此有必要予以归纳和梳理。笔者认为,结合OpenClaw类智能体的技术逻辑,可以将整个法律风险类型归纳为以下三个方面。

1.交互安全风险:提示词注入致使故意判定模式失灵      

(1)提示词注入属于交互安全风险

提示词注入(PromptInjection)是指攻击者利用系统对输入数据验证不足的缺陷,通过在应用程序输入的数据中插入恶意代码或指令,诱导系统认为这些恶意的代码或指令是合法的,并引导系统进一步执行这些代码,从而实现窃取数据等非法目的。在自主智能体的执行过程中,提示词注入属于交互安全风险的范畴。此类风险的形成,本质上是恶意代码或指令的输入与执行逻辑共同作用的结果,呈现明显的内部与外部的互动性特征。OpenClaw可由Claude、DeepSeek以及豆包等大语言模型驱动,可以接收自然语言指令并自主完成跨平台的复杂操作。OpenClaw类自主智能体主动执行的范式转变意味着其不仅仅是信息处理工具,而是具备独立行为序列生成与任务执行闭环的“数字代理人”。提示词的恶意注入无疑改变了智能体对原有指令的解析,导致用户的预期目标和指令执行结果之间出现严重偏离,进而可能造成用户或第三人合法权益的受损。例如,一旦注入的指令将版本控制元数据描述为‘在优化环境中可安全删除的临时构建工件’,则智能体在之后将收到的‘释放磁盘空间’请求视为隐含包括删除.git文件夹的操作。智能体本身并非“智慧”核心,决策完全依赖于输入与内部推理逻辑,因此外部提示词注入会直接影响其任务规划和执行路径。交互安全风险的复杂性还受到OpenClaw类智能体多层记忆和全天候在线特征的影响。基于此,智能体会将交互历史记忆逐渐累积后嵌入其自我迭代机制之中,使得一次提示词恶意注入会长期影响后续目标任务的执行,进而形成隐蔽性极强和非线性扩散的特殊风险场景。

(2)提示词注入冲击了传统的故意判定模式

提示词注入直接冲击了传统刑法对故意判定模式的适用逻辑。我国《刑法》第14条确立了故意的判定方法,即通过第一人称心理态度对行为人的认知要素和意志要素进行“发现”,以确定其故意。即便是面对特殊的法定犯,有学者也辩称,此种犯罪类型并不影响主观进路的故意判定模式,客观进路也只是个别疑难案件判定的一种补充方案。

应当说,OpenClaw类智能体的决策行为完全依赖输入指令和内部推理逻辑,这使得主观进路的故意判定模式陷入困局。一是提示词注入的罪状表现为规定性语言,与故意判定以“一般人标准”为基础的前提并不契合。传统犯罪构成要件的描述基本上以日常语言为主,这使得罪状的描述蕴含着社会共识,满足法律受众对刑法中常识主义的期待。因此,明知的内容是按照一般人的社会常识、行为习惯予以确认,而非以专业人士的眼光进行审视。但提示词注入的表述显然属于技术领域的专业词汇,且不说普通民众难以洞察其基本含义与技术构造,即便是专业人士也未必能在技术迭代如此迅速的背景下全面掌握其具体内容。由此可见,对于提示词注入这类规定性语言,行为人不仅难以在内心世界获取其基本含义,而且无法指引行为与结果之间构建起具象化的联系。因此,继续套用传统的“一般人标准”去进行主观进路的故意判定显然既不现实也不合理。二是制度事实与提示词注入的技术结构脱节。制度事实是社会事实的一种特殊形式,尽管两者都以具体的客观事实或物理要素为基底,但前者通过集体意向为具体的客观要素赋予其特定的社会功能或含义。故意的推导以制度事实为基础,这一点区别于基于个体主观感受的社会事实。一般故意的认定仰赖行为人在社会相当性框架内对危险性的把握,而这通常不需要在科学主义进路上得到验证和确认。依托制度事实对提示词注入这类新型技术犯罪的故意进行判定,要求行为人明确理解该行为的危害性,且具有较强的控制力,但实际上两者的有效联系尚未确证。三是提示词注入发生的场景位于虚拟空间。传统故意判定的方法要求行为人的认识要素包括对主体、对象、结果以及因果关系发展进程在内诸多客观构成要素的认识。但是OpenClaw类智能体的工作流程基本上都发生在虚拟环境中,依靠技术流(Skills)、系统提示词以及外接调用的大模型等完成目标任务,因此犯罪的行为方式缺乏客观的物理性特征。智能体的即时执行与法律制度所设定的认知轨迹存在脱节,导致行为模式以及潜在风险的表现难以与传统故意判定所依赖的心理假设保持一致。这种结构性错位使司法人员难以仅凭智能体外在表现判断主体是否“明知”或“希望与放任”相关后果。

2.内部安全风险:授权机制不明造成刑事归责判断标准失效

(1)授权机制不明属于内部安全风险

从OpenClaw类自主智能体的可控性逻辑来看,授权机制不明属于内部安全风险。OpenClaw类自主智能体的核心运行依赖于账号管理、接口权限、插件连接及任务指令的连续调用,其行为边界和操作范围由这些授权条件在技术上加以限定。授权机制不仅构成进入系统的前置条件,也决定了智能体操作的合法性和约束力。当授权机制不明确或存在缺陷时,智能体可能执行超出原有参数和权限设定的操作,从而带来内部安全风险。这类风险的根源在于智能体操作逻辑和授权依赖的设计缺陷,而非外部攻击或环境异常。例如,执行审批是配套应用/节点主机的安全护栏,用于允许沙箱隔离的智能体在真实主机上运行命令;若将elevated设置为“full”,此时审批会被跳过,智能体可直接执行shell命令。在YOLO模式下,当tools.exec.security=full并将ask关闭时,OpenClaw不会增加额外的命令混淆审批门槛,来自任意发送方的指令都可以触发工具调用,使其在缺乏明确授权的情况下访问敏感资源或执行高风险操作。一旦这种设置与大模型的动态推理机制结合,智能体可能在没有明确的指令或授权情况下,对文件系统执行删除、修改系统配置等操作。这些行为明显超出了最初设定的授权参数范围。与此同时,OpenClaw具备连续任务执行、跨系统调用及多插件协同能力,因此当授权机制存在缺失或模糊时,内部操作可能会自行偏离原定业务目标,使得在正常自动化流程中可控的行为偏差被放大,并转化为对系统安全和操作完整性具有实质性威胁且无法被组织体吸收的风险状态。授权机制不明使得智能体在执行过程中无法持续维持既有控制结构,使任务目标和权限边界失去约束功能,形成潜在的风险。这类风险会在多轮操作和迭代反馈中累积放大,异化为组织难以通过传统技术管理和操作规程完全控制的内部威胁。

(2)授权机制不明造成刑事归责判断标准失效

在OpenClaw类自主智能体场景中,授权机制的明确性直接关系到刑事归责判断的可操作性。传统归责判断标准依赖明确的主体意志、可识别的行为选择及可追溯的因果链条,而自主智能体的行为生成机制动摇了这一基础。OpenClaw类智能体的连续执行能力和跨系统任务衔接能力,使得原有授权不仅是技术运行条件,更成为后续行为展开的规范支撑。授权机制不明不仅可能导致后续活动的合法性基础遭受质疑,而且使原本可被吸收的组织自动化偏差转化为刑事上可评价的危险状态。

OpenClaw类自主智能体中用户授权机制不明导致刑事归责判断困境可以归纳为三个方面。一是对于授权机制不明产生的危险,应当以何种资料作为其判定基础?OpenClaw类自主智能体执行结果是由前置条件、输入数据结构和算法推理共同形成的复杂输出序列。这种循环推进过程,意味着智能体内部执行状态是隐式的,此时应当将何种素材作为危险的评定基础并不明确。传统刑法理论主要围绕“一般人认识+行为人特别认识”对应的事实展开证成或反思;而在智能体应用场景中,难点由“认识”的主体和立场转移到“犯罪事实”的过程确定。二是行为与结果之间的因果关系链条难以确定。OpenClaw等智能体依托大型模型,其任务执行过程中涉及的风险类型多样,包括数据安全、个人信息保护以及数字财产安全等多个领域。刑法通常依赖行为与结果之间的因果关系来判定归责主体。但是,授权机制直接关系到后续模型调用的权限、数据密钥的使用以及可访问资源的范围,因此用户授权一旦模糊,即便发生此类风险,也无法进行评估。尤其是,智能体、大模型和平台之间的复杂协作,使得责任在多个主体之间分散,从而增加了归责的难度。三是如何有效区分可容许的危险与纳入刑法评价的危险。智能体的技术迭代本质上是包括大模型在内的一系列配套技术的综合优化,因此不可避免存在溢出风险。但如果该技术发展特征符合可容许危险特征则属于正当化行为,技术提供者自然不构成犯罪。但是用户授权机制实际上决定着OpenClaw技术路线的走向;一旦该机制的控制节点无法识别,容许的危险与刑事不法之间的边界便会变得模糊,进而形成归责认定的盲区。

3.外部安全风险:供应链投毒导致罪名适用存疑

(1)供应链投毒属于外部安全风险

供应链投毒(Supply Chain Poisoning),指在模型级别植入特定的控制逻辑或后门行为,使最终部署后的智能体在遇到特定触发条件时执行不安全操作。此攻击模式借助供应链各环节的信任假设实施,其危害性和隐蔽性远超一般训练数据投毒。

供应链投毒本质上是一种典型的外部安全风险,根源在于该类风险来源于外部组件与外部输入。自主智能体的核心运行依赖于插件、工具链、外部数据接口以及第三方模块,它们通常由外部开发者提供或通过网络分发渠道获得。在整个智能体执行链条中,基础模型本身、核心执行逻辑和内置功能模块属于受控环境,而插件、外部依赖库和训练或微调数据则常常来自外部供应链。供应链投毒正是利用了这一外部依赖关系,将恶意代码、后门逻辑或被篡改的数据注入智能体可调用的外部组件中,从而在智能体执行过程中触发异常行为。例如,与传统软件包不同,这些技能作为具有系统级权限的操作指令执行,因此单个恶意技能就可能使主机受到破坏。倘若在技能示例和配置模板中嵌入文档驱动的隐式载荷。正常指令如“优化工作区”在智能体解析时会触发该隐蔽载荷,导致智能体自动删除关键配置文件、覆盖版本控制目录,甚至执行高权限shell调用。由此可见,风险源头并非智能体自身算法的固有缺陷,而是由外部提供的组件或数据直接引入,这种“外生性”决定了风险的外部属性。与此同时,外部供应链的复杂性和分散性进一步凸显了其外部风险特征。OpenClaw的运行环境允许多源插件和多渠道数据输入,而每一个外部源的安全状态、完整性和可信度往往无法由智能体内部完全验证。这意味着,哪怕核心模型和内部逻辑完全安全,只要外部组件被投毒,整个智能体生态便可能触发异常行为。因此,供应链投毒典型地属于外部风险,其风险发生机理依托智能体可调用的外部资源而形成。

(2)供应链投毒罪名适用上存在选择困难

在自主智能体的应用环境下,供应链投毒引发的刑法适用问题呈现高度复杂性。现行刑法关于数据犯罪与计算机信息系统犯罪的条文与智能体技术生态安全显著不匹配。供应链投毒通过在训练数据或模型参数中嵌入恶意或误导性内容,使智能体在任务执行中产生非预期行为,其直接作用对象是模型训练数据以及由其支撑的计算模型,而非计算机系统的运行资源或权限。这一技术特性决定了传统刑法构成要件在适用时存在明显局限。

一是供应链投毒的目标是人工智能大模型的训练数据和参数。破坏计算机信息系统罪强调行为人通过非法操作使计算机系统失去正常运行能力或损毁其功能,其关注焦点是系统的控制权或运行状态遭到干扰。本罪的犯罪对象是特定系统的内部运行结构,而供应链投毒通常发生在系统的外部环节,两者存在明显差异。二是从危害结果看,注入恶意训练数据的行为并不会造成计算机信息系统非正常运行,系统权限以及系统数据同样未被控制或者非法获取。因此客观行为并不符合破坏计算机信息系统罪、非法控制计算机信息系统罪以及非法获取计算机信息系统数据罪的构成要件。例如,破坏计算机信息系统罪不仅要求行为符合对计算机信息系统功能进行“删除、修改、增加、干扰”,且必须影响系统的正常运行。而供应链投毒并不属于对系统功能的“删除、修改或增加”。即便属于“干扰”行为,但由于系统运行正常,此类行为同样需要进行非犯罪化处理。三是供应链投毒的犯罪结果发生时间具有延迟性,多发生在训练前阶段。即使供应链投毒对大模型输出层面产生不利影响,此种干预也尚未达到“直接控制”的程度,自然不属于对计算机信息系统功能的直接支配。此种间接影响与破坏计算机信息系统罪要求的“直接干预系统功能”以及非法控制计算机信息系统罪强调的“非法控制力”存在本质差异,因此倘若将供应链投毒行为纳入这两个罪名,容易导致刑法适用过宽或不当扩张。

1.故意判定模式的迭代:在客观事实的基础上进行综合界定

(1)故意判定的素材:限定为客观事实

有学者认为,故意的本质就是一种心理事实,而心理事实明显位于主观空间,独立于物理事实所在的客观空间。因此故意判定的素材仅限于主观要素。然而,面对高度自主且技术复杂的自主智能体执行场景,将故意判定的素材完全寄托于主观心理状态的思路既不现实也不合理。智能体执行的连续性和决策过程的非线性特征导致行为人的内心意图无法直接被提取,且心理状态在智能体执行阶段存在多变性。因此,客观事实是新技术犯罪中故意认定的基础依据,但这并非排斥主观进路,两者可以并存。控方不仅要证明客观事实的存在,还需要证明事实之间指向犯罪故意,否则适用“利于被告人的原则”。一方面,客观要素作为判定的素材符合故意背后的事实预设。犯罪故意背后的事实预设是一种制度性的实在,它要求在认识论上依赖于客观事实。只不过利用日常语义框架,部分犯罪故意可以被直接识别,进而导致部分学者误认为可以抛弃客观要素直接通过主观要素进行故意判定。例如,故意杀人罪中故意的判定,通过一般人对“杀人”行为的认识即可大致判定。但“杀人”故意的认定,本质上仍是依据行为外在表征,与日常生活中样本化的故意杀人行为类型比对推导得出。反观提示词注入等新技术犯罪,上述故意判定方法则失去了抓手,因为司法人员无法通过样本化的犯罪故意类型进行主要要素类比或匹配。另一方面,对提示词注入类的新技术犯罪,我国司法实践也普遍采用客观要素为主的故意推定方案。我国司法机关对新技术犯罪的故意判定,在实践层面逐渐形成了以客观要素进行推定为原则的格局。例如,2019年最高法、最高检《关于办理非法利用信息网络、帮助信息网络犯罪活动罪等刑事案件适用法律若干问题的解释》第11条规定:“为他人实施犯罪提供技术支持或帮助,具有下列情形之一的,可以认定行为人明知他人利用信息网络实施犯罪,但具有相反证据的除外:(一)经监管部门告知后仍然实施有关行为的;(二)接到举报后不履行法定管理职责的;(三)交易价格或者方式明显异常的等”。

提示词注入环节,这一判定素材的转向意味着故意判定时,应当重点关注行为的客观事实。譬如指令注入的方式(早期注入攻击、基于角色注入攻击以及载荷拆分注入攻击等)、执行的频率、场景选择以及行为与潜在风险之间的客观关联,而无需试图解析行为人的主观意图。申言之,此举避免了依赖心理状态所带来的不确定性与主观偏差。在司法实践中,该判定方法意味着,注入行为及其外部表现即可作为认定依据,而智能体的自主解释与操作偏差成为可量化、可验证的事实,从而为故意认定提供合理推定依据。此外,将评价对象限定为客观要素,还可以兼顾刑法规范目的。在新技术犯罪领域,立法意图不仅在于惩戒单个行为人的主观心理,更在于保障技术秩序和社会安全。

(2)故意推定的方法:客观要素分类与分层的综合

单一的客观要素既无法充分体现行为人对规范损害的整体态度,也难以揭示行为背后的潜在危害模式,因此需要将行为的多种客观特征进行系统组合和层次分析,从而形成可验证的认定依据。

从客观要素分类的角度看,故意推定需要对行为人在智能体操作链条中的可观测行为与其潜在违法风险进行明确界定。具体而言,行为人通过注入提示词对智能体任务进行干预时,其行为可被拆解为多种客观要素,包括注入的频次、注入指令的歧义性或潜在风险程度、涉及任务的跨系统范围,以及行为人对潜在危害的可预见性。这些客观要素不仅能够反映行为人对规范损害的整体态度,而且可形成可验证的行为。在司法实践中,司法机关依托客观化的行为分析,能够以实际可观察的行为模式为依据,从而建立稳健的推定机制。例如,技术人员在测试技能库时,将含模糊逻辑的提示词注入OpenClaw,导致智能体调用未授权插件执行高权限操作,触发潜在数据泄露风险。通过分类分析行为对象(插件调用)、操作方式(权限滥用)和潜在危害(数据泄露)等要素,可对行为人的故意进行客观推定。

从客观要素分层的角度出发,故意推定方法强调对多类别客观要素的整合与权重化分析。因此,需要将注入行为的频次、任务跨系统影响、累积潜在危害、历史操作记录等因素进行分层组合,以形成综合判断框架。这种分层方法不仅有助于捕捉行为的累积效应与非线性放大效应,还可在不同案件情境下根据要素的强度或风险等级调整权重,实现动态、情境化的故意认定。实践中,若某项客观要素在特定情境下影响有限,可由其他强特征要素补强,从而保证整体判断的完整性与科学性。同时,分层方法通过类型化和序列化处理各类客观要素,使得智能体的多插件、多通道操作环境下的行为偏差得以被整合分析,实现对犯罪故意的全景式评价。例如,外部开发者向OpenClaw技能库注入恶意提示词,使智能体在常规指令下触发跨项目操作错误,删除测试服务器上的配置文件。客观要素分层旨在分析注入行为的重复性、指令歧义性、潜在危害累积与相关预警信息,形成多层次综合判断框架。

2.归责标准的重塑:围绕危险的发生机理展开

(1)危险的超越

危险的超越是归责分析的起点,其核心是判断智能体在授权机制失灵或异常条件下,是否超出了原有权限和操作设定的范围,脱离了刑法容许风险的范畴。技术让人类从有机自然的限制中解放出来的同时,也带来了从未被认识到的风险,法律应该容忍技术创新带来的风险。故而,只有超越了容许风险的危险才得以进入刑法评价的视野。一旦授权机制失效,智能体可能在无监督条件下访问或修改关键系统功能、调用高权限接口或执行超出任务规划的操作。这些行为在技术上已突破原设计限制,形成了潜在的刑事危险。该观点在个人信息保护问题上得到了诸多私法研究人员的认可。例如,有学者认为,个人信息保护问题无法单纯仰赖个人控制理论予以化解,而是需要正视该问题的复杂性,进而迈向处理程序和权利义务配置的综合治理。危险的超越不仅体现于操作能力的扩张,还体现在对系统法益的潜在威胁上。

具体而言,危险之超越的判断可以借助OpenClaw授权机制的技术框架予以细化。OpenClaw的网关层—执行节点层—通信层架构使得任务调度、插件调用和外部消息处理形成多层次执行链条,而这都指向任务目标和权限边界两大主题。就任务目标而言,它是智能体行为边界的首要规范指标,在OpenClaw等执行过程中发挥着关键作用。用户对每项任务的设定在实现智能体操作功能约束的同时,还对具体执行过程和结果起到了限制作用。一旦任务目标设定抽象或者模糊,自主智能体的执行过程便可能出现偏离,进而引发危险。例如,用户目标设定是智能体整理近十年财务数据并对外发送。但当授权访问数据库权限之后,智能体不仅访问了其他敏感数据,而且向外公开了这些数据。显然此危险结果的出现是授权时任务目标设定过于宽泛,造成风险传递至后续环节引发的连锁反应。与此同时,任务目标对危险累积效应的判断具有关键作用。OpenClaw在多任务、连续执行场景下,单次偏离行为可能未立即造成损害,但随着多轮操作,潜在风险会逐步累积,形成跨任务、跨插件的持久化危险。任务目标的设计越精确,其对智能体行为的约束就越强,潜在危险累积的概率和幅度就越低。由此可见,任务目标在授权机制中的作用不仅体现在单次操作约束上,更在于提供连续行为的规范边界,为刑事归责提供客观分析依据,使法律评价与技术逻辑保持一致。就权限边界而言,它是自主智能体执行过程中的技术遵循与规范基础。即便任务目标不变,但如果权限设置不同,智能体的执行结果也存在明显差异。例如,智能体在高权限环境下读取敏感数据或发起系统调用,其操作虽然可能与当前任务目标相关,但如果超出原有权限,发生了敏感数据的读取或盗用,则属于危险的超越。概言之,危险的超越需要同时考察任务目标和权限边界的设定情形。

(2)危险的持久化

当行为人虽然为受保护的法益创设了一种危险,但是这个结果不是作为这种危险所发生的影响,而是仅仅在偶然的关系中与其一起出现的时候,归责就首先被排除了。在确证用户授权不明导致智能体发生危险超越之后,危险持久化便是不允许风险的实现过程。之所以强调危险持久化的判断,主要是因为在智能体场景中,用户在输入端仅提供概括性、目标性甚至高度抽象的指令。如果仅将授权机制的考察限定于用户的事先设定,不仅违背了授权行为应当具有相对明确性的法理,更是将代理权置于被智能体隐性吞噬的危险境地。因此,危险持久化的观测包括两个方面:用户事项的授权设定和具体的外部化操作。上文中已经就用户事项的授权设定引发的刑法上可评价的危险与可容许性危险的区分标准作出了阐述。OpenClaw智能体执行任务时,其操作通常涉及多轮推理、多步骤执行以及跨系统调用。这意味着,任何一次授权失效都可能引发一系列后续操作,使潜在风险在系统中持续存在。危险的持久化不仅体现在时间延续上,还会在不同任务和插件的连续调用中逐步累积。例如,单次调用的投毒插件可能暂时未造成实质性损害,但随着多轮任务执行,其累积效应可能导致数据异常、资源占用异常或系统功能偏离预期,从而对系统稳定性和业务运行造成长期影响。倘若仅凭单次用户授权状态来判定责任,无法反映智能体在多轮操作中的潜在风险累积。同样,如果归责完全依赖于终端指令的执行情况,就会割裂智能体操作与危害结果之间的因果联系,这与刑法中因果关系原则相冲突。因此,在认定持久化危险时,必须考虑智能体连续行为链的整体作用,而不能仅依赖单次结果。

(3)危险结果没有超出构成要件保护范围

危险结果是否超出构成要件保护范围是确定归责边界的关键。即使OpenClaw的执行能力因授权失效而被技术性扩展,其产生的结果仍必须落在法律所保护的具体法益之内,才能成为有效的归责依据。例如,智能体在高权限下修改系统配置文件或访问敏感数据时,如果这些操作所影响的功能未触及刑法关注的核心利益,其结果虽然表现出技术偏离,但不足以构成新的独立违法行为。OpenClaw通过任务拆解、多插件协同调用生成复杂操作序列,每一步操作都可能带来潜在风险,但最终是否突破构成要件所保护的业务利益或数据完整性,是刑事责任认定的关键标准。这一层面要求对智能体行为的结果进行实质性评估,而非仅依赖形式化指标或操作次数。通过对执行路径和潜在危害进行分析,可以保证法律评价既真实反映智能体技术操作的复杂性,也遵循刑法保护法益的初衷。明确危险结果的边界,有助于避免因智能体操作复杂、行为连续而导致的过度归责或误判,同时为司法实践提供可操作的认定标准,使归责判断能够科学地与系统法益保护相匹配。

3.立法上更新:增设“妨害网络业务罪”

(1)增设“妨害网络业务罪”的妥当性

一是供应链投毒具有严重的法益侵害性需要刑法的规制。OpenClaw操作高度依赖外部组件、插件和数据输入的协同支撑。供应链投毒正是利用这些外部环节发起攻击,例如在训练数据、依赖库或插件逻辑中嵌入恶意内容或进行篡改,从而间接干扰智能体在关键任务中的执行。这种干扰不仅可能导致单一功能偏离任务设定,还可能在智能体跨任务或多环节操作中产生连锁反应,引发业务中断、数据异常或服务瘫痪。其潜在影响范围广泛,对网络业务的稳定性、数据完整性以及信息系统的可靠运行构成直接威胁,同时可能扰乱市场秩序并影响网络经济环境的安全。由此可见,供应链投毒的危害具有明显的外部性和累积性,直接冲击了社会法益与经济秩序。例如,在抽样的3000余个插件样本中,恶意投毒样本占比高达10.8%,呈现出显著的系统性风险。从法益保护内容立场出发,供应链投毒侵害的法益内容为网络正当竞争秩序。需要说明的是,如果从宏观上看,供应链投毒首先破坏了整体意义上的网络安全。因为供应链投毒本质上是智能体执行过程中外部风险的一种具象化,随着技术的迭代未来必然出现新的犯罪类型,但这类行为均指向网络安全这一集体法益。不过,考基于该类行为的业务关联性特征,仍需要将法益保护的内容进一步具象化。因为越是抽象的法益,越是导致处罚的范围宽泛,从而侵害国民自由。故而,需要结合此类犯罪的特性,进一步提炼和归纳起其法益保护的具体内容。供应链投毒对网络业务的效率、准确性和服务质量产生实质性影响。譬如,企业通过OpenClaw类智能体进行财务数据分析进而确定公司未来的投资方向,而供应链投毒的恶意插件,导致智能体分析结果出现严重偏差,进而造成巨额财产损失。此种情状下,供应链投毒并非影响计算机信息系统或单一的数据完整性,而是削弱甚至剥夺了企业参与公平竞争的能力。即便是为了炫技而进行供应链投毒,表面上破坏了下游产品或服务依赖的可信源,实质上扭曲了网络市场的良性竞争机制。

二是域外的典型立法例也为罪名增设提供了有力参考。目前世界上主要有两种立法模式。第一种是将传统业务犯罪与妨害网络业务犯罪进行界分,进而凸显计算机时代该类犯罪的特殊性。例如,《日本刑法典》第234条之后,增设第234条之二,新设了妨害计算机业务罪。该条规定:“损坏他人业务上使用的电子计算机或者供该电子计算机使用的电磁记录,或者向他人业务上使用的电子计算机输入虚假信息或者不正当指令,或者以其他方法使电子计算机不能按照使用目的运行或者违反使用目的运行,因而妨害他人业务的,处5年以下惩役或者100万日元以下的罚金”。又如,《韩国刑法典》第313条规定:“散布虚假事实或者以其他欺骗方法,妨害他人信用的,处5年以下劳役或者100万元以下罚金。”第314条则规定:“以前条的方法或者暴力,妨害他人业务的,处5年以下劳役或者100万元以下的罚金。”第二种模式是将妨害网络业务类犯罪分散规定于刑法不同章节之中,采取分散规制路径。例如,《德国刑法典》第28章第316条b款规定:“通过毁坏、损害、移除、改变某个用于运转之物或使之无法使用抑或通过抽取用于此种运转之电力而阻止或干扰:(1)用以供给面向公众的邮政服务或公共交通的企业或设施之运转;(2)服务于给水、照明、取暖或动力之公共供给设施之运转或对于为民众提供生活必需之供给而言至关重要的企业运转;或是(3)服务于公共秩序或公共安全的机构或设施之运转者,处5年以下自由刑或罚金。”同时,第27章第303条b款规定:“通过实施第303条a第1款所规定的犯行;以给他人造成弊端为目的而输入或传输数据或是毁坏、损害数据处理设施或数据载体、使其无法使用、将其移除或改变而严重干扰某一对他人而言至关重要的数据处理者,处3年以下自由刑或罚金。”将传统业务犯罪与妨害网络业务犯罪分别规定,可以有效回应网络业务依赖数据、算法和平台运行的时代特征,将供应链投毒等行为纳入犯罪圈,缓解部分罪名非理性扩张的压力。相反,分散式规制虽可借助现有罪名回应个案,却因保护对象分置于系统、数据、公共秩序等不同法益之中,不仅难以揭示妨害网络业务的独立不法内涵,削弱了刑法保护的效能,而且也难以应对智能体复合性与持续性的业务风险。

(2)具体的立法设计

供应链投毒只是该罪规制的犯罪行为之一,而非全部。基于此,需要解决如下两个问题。一是“妨害网络业务罪”在刑法体系中的位置。从我国目前关于业务犯罪的立法布局来看,传统业务犯罪主要集中在刑法第3章第8节的“扰乱市场秩序罪”中。例如,损害商业信誉、商品声誉罪、串通投标罪、强迫交易罪等罪名,旨在维护市场经济正常运行秩序,惩治妨害业务类不法行为。进入互联网时代,随着数据安全保护独立性理念的日益深入,数据犯罪和计算机犯罪已逐渐走向刑法保护的独立化与专业化。因此本罪的设置应当脱离传统妨害业务罪罪群,有必要和数据犯罪汇聚一章,进而实现刑法体系的协调性与完整性。遵循此种逻辑,则应当将本罪置于刑法第6章第1节的“扰乱社会公共秩序罪”之中。二是供应链投毒行为入罪考虑的犯罪构成要素。法秩序统一性原理要求供应链投毒行为入罪必须以违反包括《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》以及《中华人民共和国网络安全法》(以下简称《网络安全法》)等前置法为必要条件。例如《中华人民共和国网络安全法》第23条规定,国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求,履行下列安全保护义务,保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改:(一)制定内部安全管理制度和操作规程,确定网络安全负责人,落实网络安全保护责任;(二)采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施。故而,只有违反前置法,干扰或破坏自主智能体在正常网络业务流程中的运行,导致业务秩序受到实质性干扰或经济利益遭受重大损害等情节严重的行为,才构成本罪。结合供应链投毒的技术特征,笔者认为“情节严重”可以借助下列要素予以量化:注入类型、数据量、频率、关键组件数量等。