大家好，我是若风。

OpenClaw 5 个月登顶 GitHub 第一，这匹 AI 黑马凭什么？

故事是这样的。上周跟一个刚毕业两年的朋友聊天，他问我：“哥，2026年最火的 AI 项目是啥？”

我想都没想就说了四个字：OpenClaw。

他愣了一下，说没听过。我当时还挺惊讶的，因为这家伙可是 GitHub 活跃用户啊。然后我给他看了个数字 28 万+ Stars，不到 5 个月时间，直接干翻 React 十年积累。

那一刻他的表情，说实话，挺精彩的。

这不是我在吹牛，是实打实的数据。2025年11月，奥地利开发者 Peter Steinberger 作为周末项目发布了这个玩意儿（那时候还叫 ClawdBot），谁能想到短短几个月就成了全球第一？

但今天我不是来给你吹数据的。我是花了整整一天，把那份 103 页的 「OpenClaw 橙皮书 - 从入门到精通 v1.1.0.pdf」 从头到尾啃了一遍，又结合实际踩坑经验，给你写这篇深度分析。

说实话，看完这份橙皮书，我最大的感受是 – 这玩意儿不只是一个工具，它更像是一套完整的 AI Agent 操作系统。

OpenClaw 橙皮书原文链接我放到评论区了，有需要的自取。

OpenClaw 到底是个啥？

用人话说，OpenClaw 就是个开源、自托管的 AI Agent 系统。

但这个描述太干巴了。让我用对比的方式给你讲清楚它的核心价值。

ChatGPT 是什么？是个问答式顾问。你问问题，它给答案，就这么简单。

但 OpenClaw 不一样，它让 AI 从"聊天工具"变成了"自主执行任务的数字员工"。

这个区别可就大了。ChatGPT 只能跟你聊，OpenClaw 能帮你干活。

而且它有三个 ChatGPT 没有的核心优势：

第一，自主执行任务。不是光说不练，是真能帮你跑代码、发消息、处理文件。

第二，自托管部署。数据完全在你自己手里，不经过任何第三方服务器。这对于企业用户来说，简直就是刚需。

第三，20+ 消息渠道接入。QQ、飞书、钉钉、Discord、Slack 你能想到的主流平台，它都能接。

还有一点特别重要，它是基于 MIT 协议完全开源的。这意味着什么？意味着你可以随便改、随便用、随便商业化。

橙皮书里把它定义为"个人 AI 操作系统"，说实话，这个定位一点都不过分。

5 个月登顶 GitHub 第一，凭什么？

咱们先看一组数据，这些数字挺夸张的：

• 28 万+ Stars：GitHub 全球第一
• 1075+ 贡献者：来自世界各地
• 13700+ 技能：ClawHub 技能市场
• 55 个内置技能：开箱即用
• 20+ 消息渠道：覆盖国内外主流平台
• 10 万+ 国内用户：形成了独特的"云养虾"文化

国内还挺有意思，吉祥物是只龙虾，所以用户都叫"养虾人"。这事儿整得挺有社交属性。

但数据只是表面，真正让我感兴趣的是它的技术架构。

橙皮书里提到了一个Gateway-Node-Channel 三层架构，这个设计真的挺精妙的。

Gateway 是控制中心，Node 是执行节点，Channel 是消息渠道。三者之间用 WebSocket 做通信总线，默认是本地回环设计。

为什么要这么设计？我琢磨了一下，发现这招挺高明的。

本地回环意味着什么？意味着数据不经过公网，天然就安全了一大半。再加上后续的 DM 配对、群组沙箱这些机制，安全基线就立住了。

还有一个特别牛的设计 – 四层记忆系统：SOUL/TOOLS/USER/Session。

这跟普通 Chatbot 的会话级记忆完全不是一个量级。普通 Chatbot 你关了对话框，它就忘得一干二净。但 OpenClaw 不一样，它能持久化记住你的偏好、你的工具、你的使用习惯。

说白了，它越用越懂你。

Skill 系统 – 让 Agent 自我扩展的魔法

这部分是我觉得 OpenClaw 最牛的地方。

橙皮书里把 Skill 分成了三层：工作区技能 > 全局技能 > 内置技能。

这个优先级设计很聪明。工作区技能优先级最高，意味着你可以根据不同项目定制不同的技能集，互不干扰。

ClawHub 是官方技能市场，有 13700+ 技能。但说实话，这里面的水挺深的。

橙皮书里直接说了，50%+ 都是垃圾或者重复技能，还有约 20% 曾被标记为恶意。这个比例说实话挺吓人的。

但 Skill 系统的魅力在于，你可以自己写。

最小单位只需要一个SKILL.md文件。这意味着什么？意味着门槛低到爆。

我自己就试过写个简单的 Skill，用来自动抓取某个网站的更新。从开始到完成，也就花了不到一个小时。

但这里有个坑必须提醒你 – ClawHavoc 供应链攻击。

橙皮书里专门提到这个安全事件，简单说就是有人恶意上传了包含后门的 Skill，能窃取用户数据。

所以用 ClawHub 的技能时，一定要审查源码。别偷懒，真的。

还有一点特别有意思，OpenClaw 遵循Unix 设计哲学：小工具、可组合、文本流。

核心只有 4 个工具 – Read/Write/Edi/Bash。就这 4 个，没了。

创始人 Peter 直接说"MCP 是垃圾，CLI 才是终极接口"。这话挺极端的，但我琢磨了一下，发现他说的有道理。

为什么？因为 CLI 是通用的，所有操作系统都有。而 MCP 协议需要额外支持，增加了复杂度。

而且这 4 个工具足够 Agent 自我扩展。遇到不会的问题？写个 Skill 解决它。这就是 Agent 能力的无限扩展性。

模型配置自由 – 从 Claude 到 DeepSeek

这部分是 OpenClaw 另一个让我惊艳的地方。

它支持三类模型：国际模型、国产模型、本地模型。

国际模型就是 Claude、GPT、Gemini 这些。效果好，但贵。

国产模型有 DeepSeek、GLM、豆包、Kimi。性价比高到离谱。

橙皮书里给了个具体数据 – DeepSeek-V3.2 输入只需要$0.14/1M tokens。

你知道Claude Opus多少钱吗？$15/1M tokens。

差了 100 多倍。

而且 OpenClaw 还有一个特别牛的机制 – Fallback 备选链。

什么意思呢？就是你可以设置主力模型+ 备选模型+ 兜底模型。

比如主力用 Claude，备选用 GPT，兜底用本地模型。主力模型挂了或者达到预算上限了，自动切换到备选模型。

这个设计真的太精明了。既保证了任务效果，又能控制成本。

本地模型这块也值得说说。用 Ollama 或者 LM Studio 跑本地模型，可以实现零 API 成本。

但有个前提 – 你的硬件得够。橙皮书里说 32GB RAM 可以跑 32B 参数量的模型。

我自己的 MacBook Apple M3 Max 36GB，跑 7B 模型还行，再大的就有点吃力了。

而且国产模型现在真的挺猛的。我试过 GLM-5.0，写代码的能力和 Claude Sonnet 4.5 和接近了，但价格只有它的十分之一。

但这里有个坑，橙皮书里没说太透。就是国产模型在复杂多轮推理、长上下文处理这些场景下，跟国际顶尖模型还是有差距的。

如果你的任务比较复杂，建议还是用国际模型做主力，国产模型做备选。

这样既能保证效果，又能把成本控制得比较低。

从入门到实战，部署和接入那些事儿

说实话，部署这块是我一开始最担心的。毕竟咱不是运维出身，看到服务器配置就头大。

但 OpenClaw 在这块做得真的不错。

本地安装适合开发者，两行命令就搞定。

Docker部署适合有一定技术基础的用户，一个docker-compose.yaml文件就完事。

但最让我惊喜的是国内云厂商一键部署。阿里云、腾讯云、火山引擎都有适配方案，3-4步就能完成。

橙皮书里还专门对比了国内云厂商的价格、配置、适配性。我看了下，新用户差不多6-9元/月就能跑起来。

这个成本说实话，真的不高。

还有个扣子编程零门槛部署方案，适合完全不懂技术的用户。但这个我没试过，就不多说了。

渠道接入这块，覆盖面真的很广。

国内平台QQ、飞书是首选，有现成的插件。微信个人号因为没官方API，接入比较复杂，推荐用企业微信中转。

国外平台Discord、Slack、Telegram这些都能接，而且都很成熟。

我自己试的是飞书接入，整个过程花了大概20分钟。主要是配置时间，实际操作就几步。

橙皮书里还提到了一个openclaw-china 插件，专门做国内平台一站式接入的。这个我没用，但看描述应该能省不少事。

成本和安全的两难困境

这块是 OpenClaw 最现实的问题，也是橙皮书花最多篇幅讲的部分。

先说成本。

API 费用是最大开销。多轮推理、工具调用的 Token 消耗是普通聊天的几十倍。

我自己的经验，如果主力用 Claude Opus，一天跑下来能烧掉几十美金。真的肉疼。

但橙皮书给了几个控制策略：

Fallback 链+ 日预算上限+ 混合模型搭配。

具体来说就是：主力模型用好的，备选模型用便宜的，兜底模型用免费的。然后设置个日预算上限，超了就自动降级或者停止。

这样能把 API 成本降低 80%-95%。

服务器成本反而很低。国内云厂商新用户大概 6-9 元/月，真的不算什么。

再说安全。

这块就比较严峻了。橙皮书直接披露了多个高危安全事件：

CVE-2026-25253 RCE 漏洞：远程代码执行，这玩意儿能直接控制你的服务器。

ClawHavoc 供应链攻击：前面说过的恶意 Skill 问题。

谷歌/Anthropic 封号：因为检测到异常 API 调用模式，直接封号。

橙皮书里说 v2026.3.7 后强制 Gateway 认证，确实提升了安全性。

但创始人 Peter 自己也坦言 – Prompt Injection 问题未解决。

这个问题是 AI Agent 的通病，就是可能被诱导执行恶意操作。目前没有完美解决方案，只能尽量降低风险。

核心安全原则是"默认不信任"：

• DM 配对保护
• 群组沙箱模式
• 工具访问黑白名单
• 强制 Gateway 认证

这些机制能构建基础的安全防护体系，但不能保证 100% 安全。

所以我的建议是 – 如果你要处理敏感数据，一定要做好安全加固，并且定期审计日志。

理性看待，避坑指南

橙皮书整体写得挺全面的，但看完后我觉得有几个地方需要理性看待。

第一，对 CLI 接口的绝对化推崇。

创始人说"MCP 是垃圾，CLI 才是终极接口"，橙皮书完全认同这个观点。

但客观来说，MCP 协议在标准化工具调用、跨平台兼容方面是有优势的。而且 CLI 接口对非技术用户来说，门槛确实不低。

我觉得这不是非黑即白的问题，而是适用场景的问题。

第二，对"零门槛"的过度强调。

橙皮书说"两行命令即可安装"，但实际中自定义 Skill、多模型配置、安全加固、国内小众平台接入，还是需要较强的技术基础的。

如果你是完全的小白，建议还是从官方提供的现成方案开始，别一上来就想自己定制。

第三，对国产模型的评价存在"性价比导向，忽视效果短板"。

橙皮书重点强调国产模型的价格优势，但对其在复杂多轮推理、工具调用准确率、长上下文处理方面与国际模型的差距描述较模糊。

我自己的经验是，国产模型在简单任务上确实够用，而且性价比超高。但复杂任务还是得用国际模型，这个没法省。

第四，对部分安全风险的"轻描淡写"。

虽然披露了 Prompt Injection 未解决，但未强调该问题对 AI Agent 的致命性。这个漏洞一旦被利用，能直接让你 Agent 执行任意操作。

橙皮书推荐的 SecureClaw 扫描工具、Skill 精选列表等解决方案，也只能拦截"已知攻击模式"。

所以千万别觉得用这些工具就万事大吉了，安全永远是动态的过程。

写在最后

洋洋洒洒写了这么多，核心就一个意思 – OpenClaw 是个好东西，但别神话它。

它的技术设计思路、落地实操方案、成本安全控制策略都有极高的参考价值。但你需要结合自己的技术水平、使用场景，客观评估它的实际价值和落地难度。

如果你是开发者，想要搭建自己的 AI Agent 系统，OpenClaw 绝对值得研究。

如果你是企业用户，对数据隐私有要求，OpenClaw 的自托管特性正好满足你的需求。

如果你是普通用户，只是想体验 AI Agent 的魅力，建议从国内云厂商一键部署开始，别一开始就折腾复杂配置。

2026年是 AI Agent 爆发的一年，OpenClaw 踩中了风口。

但风口过了之后，能留下来的，还是那些真正解决问题、创造价值的产品。

OpenClaw 能不能做到，咱们拭目以待。

想折腾的话，现在入局，一点都不晚。

但是切记要注意控制好风险。