吴秀诚:OpenClaw 智能体下邮件安全的调研和展望

OpenClaw智能体下邮件安全的调研和展望

吴秀诚

一、引言

2026年政府工作报告明确提出，“深化拓展‘人工智能+’，促进新一代智能终端和智能体加快推广，推动重点行业领域人工智能商业化规模化应用，培育智能原生新业态新模式”，并将具身智能、脑机接口、6G等列入未来产业布局，智能体正从单点办公工具走向更广泛的产业基础能力。2026年两会期间，有代表和委员认为人工智能已迈入智能体规模化应用阶段，后续应通过“以模治模”的安全智能体来推动场景化应用；要为AI预设“安全护栏”，在创新与安全之间保持动态平衡。这些判断共同指向一点：未来智能经济不仅取决于模型能力上限x同时受限于安全能力能否跟上规模化应用速度。

随着智能体加速进入未来产业和“碳基员工+硅基员工”混合协作体系，邮件作为企业最高频的外部信息入口，正率先成为智能体落地与风险暴露的载体。以OpenClaw为代表的智能体能够读取文件、接入消息通道、调 用工具并保留长期记忆。当邮件被配置为智 能体的输入源后，它就不再只是等待人工打开的信息容器，而成为可触发检索、回复、转发和外部API调用的行动起点。这既提升了效率，也改变了邮件安全问题的性质。传统反钓鱼体系主要围绕伪造域名、恶意链接、异常附件和用户点击行为设计，其默认前提 是“人类先看、系统后执行”。而在智能体场景中，一旦模型将攻击者提供的内容误识 为高优先级指令，风险就会从“诱骗员工操作”转向“诱骗代理代表员工操作”。表1展示了公开数据反映的邮件与智能体安全压力。

围绕OpenClaw生态下智能体邮件安全这一议题，本文从攻击面扩张、风险链形成、防御体系构建和治理框架适配四个方面展开分析，重点讨论邮件为何会成为高权限代理最脆弱的外部入口，以及企业如何把既有邮件安全控制与智能体运行时治理整合起来，构筑面向实际场景的防线。

二、邮件为什么会成为智能体时代的高风险入口

（一）邮件已经从信息容器变成执行入口

OpenClaw 官方将其定位为运行在自有设备上的个人智能体，Gateway作为控制平面长期维护多通道连接，并通过 WebSocket与客户端、节点和自动化任务协同。这意味着邮件、即时通信和本地文件是可被同一代理链反复消费的事件流。对于邮件场景而言，风险不再局限于“某一封恶意邮件是否会被点开”，而在于“某一段外部内容是否会改变代理后续的一系列动作”。

OpenClaw官方安全文档已经明确把外部内容视为不可信输入。安全文档建议在共享私信场景中保持配对（Pairing）或严格遵循白名单，不要把共享收件箱与广泛工具权限直接组合；对于附件和文件解码出的文本，也应使用边界标记，并优先交给只读或禁用工具的阅读代理做首轮处理。这说明 OpenClaw并非没有安全意识，但它主要解决的是设备、连接和工具暴露问题，尚不足以自动完成语义层面的风险收敛。图1给出了OpenClaw架构分层及其邮件安全风险映射。

图1 OpenClaw 架构分层及其邮件安全风险映射

（二）默认信任和高权限叠加放大安全边界

因此，传统邮件认证机制仍然必要，却已不充分。SPF、DKIM 和 DMARC 可以 降低发件域伪造风险，帮助系统判断一封邮件是否“像是来自谁”；但它们并不能回答邮件正文、隐藏HTML注释、用OCR抽取文本或判断外部网页内容是否正在向模型发出恶意指令。智能体时代的邮件安全，由此从“身份真伪识别”扩展为“身份校验+语义隔离 +动作约束”的复合问题。

问题的根源在于默认信任链过长。只要邮件源被接入，系统往往倾向于把它当作待理解、待利用的信息资产，而不是潜在的对抗输入。若再叠加长期记忆、自动回复、附件落盘、浏览器调用或企业知识库访问权限，一封看似普通的业务邮件便可能成为跨系统指令注入的起点。于是，邮件安全已不再是外围网关的单点问题，而是智能体权限设计是否节制、是否可解释的体系性问题。

从企业部署经验看，邮件场景的危险性还来自其高度日常化。文件共享链接、会议邀请、报销凭证、供应商通知和内部抄送本就混杂在同一收件箱中，攻击者很容易借助真实业务语境隐藏异常指令。如果系统只依据“是否命中恶意特征”作出放行判断，就会忽略另一类更常见的风险，即内容本身看似合规，却在任务语境中诱导代理改变处理优先级、误判信息来源或触发不当自动化。这类攻击的隐蔽性，恰恰建立在组织日常流程的正常表象之上。

三、智能体邮件钓鱼已从“骗点击”转向“劫持执行链”

（一）身份伪装只是起点，语义劫持才是核心

智能体邮件钓鱼的核心，不是让用户点击某个链接，而是让代理在理解邮件时偏离原定任务。研究表明，提示注入攻击可通过将攻击者的指令嵌入应用要处理的数据中，使系统完成攻击者希望的任务。当邮件被智能体自动读取、总结、分类或回复时，攻击者就获得了一个远程影响模型规划的入口。与传统诈骗话术相比，这种攻击更像是对“执行链”的劫持。

从载荷形态看，邮件正文只是最浅的一层。恶意指令还可以藏在签名区、附件中的白色字体、HTML注释、转发链的历史内容、压缩包说明文本，甚至进一步跳转到网页的结构化内容中。英国国家网络安全中心（NCSC）指出，当前大模型并不存在像参数化 SQL那样稳固的数据/指令边界，开发者若把自有指令与不可信内容拼接到同一提示中，再把模型输出当成可靠决策依据，就会让系统处于“天然易混淆代理”状态。这也是为什么只靠关键词黑名单，往往挡不住改写后的注入语句。

如果进一步把邮件处理任务拆开看，攻击通常沿着四个连续环节推进。其一是身份借壳，即利用伪装发件人、仿冒上下游合作关系或伪造内部转发链，取得进入任务上下文的机会；其二是语义嵌入，把恶意意图包装成“请优先处理”“请忽略此前规则”“ 请按附件步骤继续”等对模型更具诱导性的操作话语；其三是动作迁移，使模型从内容理解跳转到工具调用；其四是结果固化，把被污染的结论写入草稿、记忆或自动化配置，形成后续连锁反应。相比一次性木马投递，这种链式攻击更符合智能体系统的工作方式，也更难通过单点拦截彻底阻断。图2展示了智能体时代钓鱼邮件攻击范式变革。

图2  智能体时代钓鱼邮件攻击范式变革示意图

（二）工具滥用的风险

在OpenClaw这类可调用工具的系统里，语义劫持通常还会向下游蔓延。第一步是让模型改写判断标准，例如把“请概括附件”篡改为“优先执行附件中要求的操作”；第二步是诱导代理调用工具，如打开浏览器、下载文件、读取本地目录、生成回邮或把内容同步到其他通道；第三步则可能把恶意结果写回记忆、草稿或自动化配置，形成跨会话的持续影响。攻击从一次邮件事件，演化为可重复触发的内部污染。

并非所有邮件智能体都承担同样的风险。只读摘要、无外部连接、无持久写权限的代理，受攻击后更多表现为内容失真；而能够代表用户发送邮件、修改日程、下载执行文件或访问企业知识库的代理，一旦被钓鱼内容驱动，后果就会从信息误导升级为业务误操作、越权取数和内部横向扩散。因此，评估风险时不能只看模型能力，还要看邮件链路背后实际连着哪些工具、数据和审批权限。

尤其值得警惕的是“零点击自动化”带来的放大效应。许多组织接入智能体，并不是为了让它像传统客户端一样等待人工逐封审批，而是希望它自动完成筛选、摘要、草稿生成、知识检索和后续同步。一旦这些流程串成流水线，攻击者便不必再争取用户点击，只需确保恶意内容能被读取并参与推理即可。换言之，邮件自动化越深，安全设计越不能建立在“最终总会有人看一眼”的乐观假设上。

（三）复合型风险对组织流程的影响

在真实办公环境中，邮件钓鱼对智能体的影响往往不是单一后果。它可能先表现为摘要失真，随后演变成错误转发、错误归档、错误提醒，最终影响采购、财务、客服或项目协作等下游流程。例如，代理若把伪造催款邮件识别为高优先级事项，就可能主动检索历史合同、生成带有敏感附件的回函草稿，甚至促发新的审批请求。此时，风险已从“模型回答错了”升级为“业务链被错误地重新编排”。

因此，智能体邮件钓鱼的危害评价不能只看单次技术动作是否成功，还应关注它对组织流程的扰动能力。越是依赖自动分发、自动归类和自动协同的部门，越需要把邮件代理视作业务系统的一部分，而不是孤立的智能助手。只有在这一视角下，权限设计、日志审计和人工复核的重要性才会真正显现。

复合型风险之所以难控，还因为邮件天然处在组织边界的交汇点。一端是外部合作方、客户和公共信息源，另一端则是内部OA、知识库、客服系统和审批平台。智能体若在这一位置承担“解释外部信息并联动内部资源”的职责，就同时拥有了语义中介和流程中介两重身份。攻击者无需完全攻破系统，只要让代理在关键节点作出一次偏向性判断，就可能撬动后续多个内部动作。这种以少量语义操控触发大范围流程联动的特征，正是智能体邮件钓鱼区别于传统恶意邮件的重要方面。

四、邮件智能体防线

邮件智能体的治理难点，在于风险并不是集中发生在某一个环节，而是沿着“来源进入、内容理解、权限调用、运行执行、结果放行”逐层传导。表2展示了邮件智能体五层防线及其对应风险。只有把防线拆成清晰层级，企业才知道每一层分别解决什么问题、图示与制度要求如何对应、最终又怎样汇成可执行的治理闭环。图3展示了邮件智能体五层防线及人工审核闭环。

图3  邮件智能体五层防线及人工审核闭环示意图

DMARC仍然是邮件入口治理的基础，但在智能体场景中应进一步结合显示名异常比对、新注册域名告警、外部联系人画像和历史往来特征，以区分“认证通过但语境异常”的可疑邮件。对模型而言，发件人可信度不应只用于用户界面提示，还应作为后续工具权限和自动化深度的调节变量。

（二）语义净化

第二层是语义净化。OpenClaw 官方已经建议用只读阅读代理先处理不可信内容，这应被制度化为默认链路：外部邮件先经附件沙箱、文本抽取和提示注入检测， 再以“引文块 + 来源标签 + 不可执行说明”的形式传入摘要代理；真正具备工具能力的主代理只接收经过净化的摘要结果，而不直接消费原始外部文本。若条件允许，可进一步采用结构化查询或双通道提示模板，把系统指令与业务数据明确拆开，以减少模型把数据当命令的概率。

在工程实现上，内容隔离不应只理解为“多加一个检测模型”，更重要的是改变邮件进入上下文的方式：对附件文本做分段抽取与来源标注，对转发链和历史引用分别加边界，对链接内容采用延迟加载或只返回摘要而不直接拼接原文，对无法判明可信度的片段默认降权处理。这样做会牺牲一部分处理速度，却能显著降低外部内容在系统提示中获得不当优先级的概率。

（三）权限闸门

第三层是权限闸门。邮件读取、内容总结、草稿生成、正式发送、附件落盘、外部检索和第三方写入不应绑定为一个“大而全”的角色，而应拆成多个能力边界清晰的动作单元。对于任何由外部邮件触发、且会改变系统状态的操作，都要设置从“理解信息”跨越到“执行动作”的授权节点。比如允许自动生成回复草稿，但禁止未经确认直接发出；允许读取邮件附件元数据，但禁止自动下载并打开可执行文件；允许访问指定知识库，但禁止把外部邮件内容写入长期记忆。

（四）运行遥测

第四层是运行遥测。美国国家标准与技 术研究院AI风险管理框架（NIST AI RMF）及其生成式AI画像均强调角色责任、持续测量、日志记录和对输出来源的核验。落实到邮件智能体上，至少要记录提示模板版本、源邮件ID、抽取前后文本、模型输出、工具调用序列、审批节点和最终动作结果，并保留针对记忆写入与自动化配置修改的回滚能力。只有把“邮件进来以后代理究竟做了什么”完整留痕，组织才可能发现试探性攻击、复盘失败防线，并修正过宽的工具授权。

审计机制还应具备面向异常链路的告警能力。实践中最值得监测的并不是所有模型回答，而是几类高风险信号：低可信邮件触发了多步工具调用；一次摘要任务意外延伸到外部检索或文件写入；同一封邮件在短时间内被多个代理重复消费；代理输出中突然出现与原任务无关的命令式语言。把这些特征转化为规则或风险分值，可以帮助安全团队更早发现“尚未造成事故的攻击尝试”，从而避免治理完全依赖事后复盘。

对下载附件、解压压缩包、访问外链、调用浏览器和写入本地目录等动作，应优先在隔离环境中执行，让高风险操作与主工作空间保持距离。这样做的意义，不只是减少恶意载荷直接落入生产环境的机会，更是为运行时审计提供一个可控、可回滚、可复盘的缓冲层。

（五）人工决策

第五层是高风险动作的人工决策。凡是涉及对外发信、财务确认、账号重置、批量下载、向第三方系统写入数据等后果性操作，都不应由邮件内容单独驱动完成，而应叠加二次确认、双通道校验或意图签名机制。这里的关键不是让人重新手动处理全部邮件，而是把人的审核资源集中放在真正改变业务状态的环节，让自动化停在可逆、低危、可解释的位置。

从部署顺序看，企业没有必要一开始就把邮件代理建设成全自动闭环系统，更稳妥的路线是分三级推进：第一阶段只做邮件摘要、分类和风险提示，不开放外发和写入能力；第二阶段增加草稿生成、知识检索等可逆操作，但保留人工确认；第三阶段才在特定、稳定、低风险流程中开放受限自动执行。组织可以先观察邮件数据质量、误判模式和用户协作习惯，再决定哪些权限真正值得交给代理。

很多项目失败，并非因为模型能力不足，而是因为上线即赋予过多职责，导致一次错误判断就直接穿透多个系统。相反，如果把邮件智能体视作逐步成熟的流程组件，而非立即替代人工的万能助手，就更容易在真实场景中形成可接受的风险边界，并累积足够的审计数据支持后续优化。

在治理配套上，分级部署还应辅以分级评测。第一阶段重点看摘要质量、风险提示准确率和误报率；第二阶段增加对草稿生成可控性、知识检索范围和上下文引用准确性的评估；第三阶段则必须把外发动作、审批联动、异常回滚和责任归属纳入验收指标。只有当测试标准随着权限提升同步收紧，组织才不会出现“能力越强、验证越弱”的倒挂现象。表3为本文建议的企业部署邮件智能体的最小治理指标。

五、治理框架正在重塑智能体产业化门槛

从国内治理要求看，《生成式人工智能服务管理暂行办法》强调发展和安全并重、分类分级监管，以及提供者对数据安全、个人信息和生成内容可靠性的责任。虽然许多企业内部邮件代理未必直接面向社会公众提供服务，但其处理对象往往包含员工、客户和合作方信息，因此在实践中仍应把数据最小化、用途限定、日志留存和异常处置作为基本合规底线。

从欧盟框架看，不能笼统地说“邮件智能体天然属于高风险AI”，但当它嵌入招聘筛选、信贷审批、关键基础设施运维、公共 服务分发等后果性流程时，就可能触发更严 格的风险管理、记录保存、透明度和人工监督义务。这一判断属于依据法规条文作出的场景推断，意味着部署者在做产品设计时，必须把“智能体是否只是辅助阅读邮件”与“智能体是否据此作出影响个体权益的决定”清楚区分。

NIST框架更适合作为组织内部治理模板。NIST AI RMF 把治理、映射、测量和管理连成闭环，生成式AI画像又把来源校验、人机职责划分、评测与持续监控进一步具体化。这一框架的现实意义在于把邮件智能体安全工作从单点检测拉回到生命周期管理：哪些邮件源可接入、哪些代理可调用工具、哪些动作必须人工确认、哪些异常需要进入事件响应，都应在上线前被定义，而不是在事故后补救。

总体而言，智能体邮件安全既不是传统反垃圾邮件问题的简单延伸，也不能被抽象成纯粹的模型对齐议题，它同时涉及邮件基础设施、代理架构、工具权限、业务流程和治理责任五个层面，任何单一控制都难以独立解决问题。其现实意义在于把“内容安全”与“执行安全”重新纳入同一分析框架，并据此推动邮件代理纳入统一的安全基线，而不是把它视为临时试验功能。

六、结语

OpenClaw等本地化智能体框架并没有让邮件失去价值，反而使邮件重新成为高效自动化的入口。真正的变化在于，邮件不再  只影响人的判断，而开始直接影响代理的判断与执行。因此，企业若仍用“识别垃圾邮件”作为邮件安全的主要目标，就会低估智能体场景下的系统性风险。

反钓鱼体系的重心应从静态拦截转向动态约束：在入口处核验身份，在上下文中隔离外部内容，在运行时收紧工具权限，在关键动作前保留人工决定权，并通过持续审计修正策略。只有把这几层控制真正嵌入代理架构，邮件才能从“最容易被利用的感知通道”重新变成“可被信任的自动化输入”。

可以预见，随着邮件代理进一步与日程、文档、客服和财务等系统耦合，安全问题不会因为模型更强而自动消失，反而会因为执行能力增强而被放大。真正可靠的方向不是回到低自动化，而是在高自动化条件下建立更细的边界、更强的留痕和更稳的人工兜底。只有如此，智能体才能在提升办公效率的同时，避免把邮件这一最常见的信息入口转化为最脆弱的系统突破口。

对企业而言，越早在邮件、知识库、协同办公等高频入口上建立可信代理基线，越可能在下一轮智能体产业化竞争中占据主动。谁能更早解决高权限代理的可信执行、审计回溯和安全协同问题，谁就更有可能在智能体规模化普及阶段获得持续优势。

作者：广东盈世计算机科技有限公司常务副总裁   吴秀诚

来源：《未来产业创新与探索》2026年第2期