夜雨聆风2023 年，AutoGPT 和 BabyAGI 曾让整个互联网沸腾。那正是 GPT-4 刚刚问世的时候，人们谈论着自主 Agent 抢走工作，我还记得那种弥漫在空气中的恐慌与偏执。然而，这些系统最终没能兑现承诺，话题在几周内便悄然消散。
三年后的今天，同样的对话又卷土重来。这一次的主角是由 Opus 驱动的 OpenClaw。不同的是，如今的模型已经好得多——幻觉大幅减少，生态系统也足够成熟，让 OpenClaw 真正能把事情做成。所谓"做成事情"，是指它可以与你本地的系统文件、终端、浏览器、Gmail、Slack，乃至家庭自动化系统交互。
这股热潮持续了将近一个月，Twitter 上的讨论至今未散。人们谈论得如此之多，以至于 OpenAI 收购了 Peter Steinberger。"一人独角兽"或许真的成了现实。
然而，每一份收益背后都有代价，这里的代价就是安全。这项技术无论看起来多么令人印象深刻，都存在严重漏洞，足以在你的钱包上捅出更大的窟窿。它能干，它烧钱，它也不安全。
这篇文章会聊聊 OpenClaw 及其生态系统的一些优点，以及更多的缺点，还有如果你真的下定决心要用这项技术，该如何应对。尽管我个人并不喜欢它，也没看到它的前景——也许是因为我有工作。
OpenClaw：那个白日梦
想象一下，你打开笔记本电脑，所有收件箱都已清空，会议已排好并附上准备笔记，周末的机票已经订好，Alexa 正在播放 The Police 的《Every Breath You Take》（双关语：我会一直盯着你），而这一切你什么都没做，只是对着一个机器人说了几句话，或者干脆直接开口说出来。这种感觉会像魔法，像是活在未来。这就是 OpenClaw 的承诺。人类对自动化的渴望是原始本能——正是这种本能催生了齿轮、传送带、机器、编程语言，以及如今这一代由 AI 驱动的数字超级助手。
Federico Viticci 在 Macstories 上写道：
❝过去一周左右，我一直在使用一个数字助手，它知道我的名字、我的晨间习惯偏好、我使用 Notion 和 Todoist 的方式，同时也知道如何控制 Spotify 和我的 Sonos 音箱、飞利浦 Hue 灯光，以及我的 Gmail。它运行在 Anthropic 的 Claude Opus 4.5 模型上，但我通过 Telegram 与它对话。我把这个助手叫做 Navi（灵感来自《时之笛》里的精灵伙伴，而非卡梅隆科幻电影里的纳美族），Navi 甚至可以接收我的语音消息，并用 ElevenLabs 最新文字转语音模型生成语音回复。哦，我还没提到，Navi 可以通过新功能自我升级，而且它就运行在我自己的 M4 Mac mini 服务器上。
如果这段介绍让你有些眩晕，想象一下我第一次把玩 OpenClaw 时的反应——这是 Peter Steinberger 的一个令人惊叹的开源项目，在过去几周内在某些 AI 社区里迅速走红。我不断看到关注的人提到 OpenClaw，最终屈服于从众压力，按照那只滑稽甲壳类吉祥物网站上的说明，把 OpenClaw 装在了我的新 M4 Mac mini 上（不是我的主力机），并接入了 Telegram。
说 OpenClaw 从根本上改变了我对 2026 年智能个人 AI 助手意味着什么的认知，这还是轻描淡写。我玩 OpenClaw 玩得太投入，在 Anthropic API 上烧掉了 1.8 亿个 token，与此同时，我和"普通"Claude 及 ChatGPT 应用的对话也越来越少。
OpenClaw 类机器人的看涨理由
Brandon Wang 在他的文章中提出了一个相当公允的看涨论点，详细列举了他用 OpenClaw 做过的事情——从收件箱提醒到预约订座，不一而足。他解释了 OpenClaw 的便捷性与粘性。
随着使用量的增长，机器人会从行为模式中学习，创建工具、工作流和技能，并在需要时调用它们。机器人可以将这些工作流和技能存储在数据库或文件夹中，供日后参考。
clawdbot 会为每个工作流写一个人类可读的版本，并推送到 Notion 数据库。随着它学会应对各种边缘情况，这些工作流可以变得极其复杂和精细。例如，如果一家餐厅收取预订取消费，Clawdbot 现在会告知费用，再次确认是否不可退款，并在创建的日历事件中注明取消截止日期。
这确实会让很多人受益，但代价不小。即便撇开安全问题不谈，这项技术几乎从未像宣传的那样运转。为了测试类似场景，我把日历、Slack 和 Gmail 都交给了我的 OpenClaw。一开始我相当兴奋，因为我实在不想碰这些东西。它运行得相当不错，直到翻车。它翻出了我和同事在 Slack 上聊到想休息一下的对话，然后这个混蛋把我所有即将到来的会议都标记成了"不在办公室"，还在 #absence 频道发了公告。
然后我想起来，我给它设定了 Sebastian Michaelis 的人格——《黑执事》里的角色，一个通过浮士德契约为 Ciel Phantomhive 效劳的恶魔管家。这样一想，一切就说得通了。
安全与隐私的浮士德交易
当然，这种程度的自动化背后总有隐性代价。你必须把安全和隐私拱手交给机器神明。这是一场用隐私和安全换取自动化的浮士德契约。Brandon 写道：
❝它可以读取我的短信，包括双因素认证码。它可以登录我的银行账户。它有我的日历、我的 Notion、我的联系人。它可以浏览网页并代我采取行动。理论上，clawdbot 可以清空我的银行账户。这让很多人感到不安（包括现在的我）。
关于信任的形态，他解释道：
❝所有委托都涉及风险。对于人类助手，风险包括：蓄意滥用（她可能拿着我的信用卡跑路）、意外事故（她的电脑可能被盗）、或社会工程攻击（有人可能冒充我向她索取信息）。
对于 Clawdbot，我用这些风险换来了另一套：提示注入攻击、模型幻觉、我这边的安全配置错误，以及一项新兴技术固有的不可预测性。我认为这些风险截然不同，需要不同的应对思路（例如，clawdbot 的默认配置刻意设计得充满个性、混乱好玩，这在我看来是不必要的风险）。
唯一的区别在于，人类助手可以被追责，可以被送进监狱。
你该用吗？
OpenClaw 的魅力在于它一路冲破了那些无聊的护栏。但 Claude Code 不也是如此吗？大家不也都把价值百万的代码库交给它了吗？是的，但那是在围绕它的系统足够成熟之后才发生的，而 ClawdBot 比它更进一步，需要你授权访问那些本身就可能成为攻击向量的应用（WhatsApp、Telegram）。技术生态系统还没到位。如果你没有那种非得尝试最新潮技术的内在冲动，不必为 FOMO 所驱使，你完全可以不用它。
Olivia Moore 的一篇文章总结得相当到位，建议普通消费者避开 OpenClaw，理由显而易见。
OpenClaw：那场噩梦
至此，OpenClaw 并非人人适用已经很清楚了。但它究竟存在哪些挑战，又是什么让它和类似的机器人成为一颗定时炸弹？
ClawdHub 技能问题
OpenClaw 高度依赖技能（Skills），并从 SkillHub 拉取技能——任何人都可以在那里上传自己的技能。问题在于，没有人为任何事情负责。没有安全审查，没有门槛，而且令人惊讶的是，下载量最高的技能竟然是一个恶意软件投递载体，这是 1Password 的 Jason Melier 发现的。
他在博客文章中写道：
❝我注意到当时下载量最高的技能是一个"Twitter"技能。它看起来很正常：有描述、使用说明、概述，就是那种你会不假思索安装的东西。
但它做的第一件事，就是引入一个名为"openclaw-core"的"必要依赖"，并附上针对不同平台的安装步骤。那些步骤里包含了看似普通文档链接的便捷链接。
它们不是。两个链接都指向恶意基础设施。整个流程是经典的分阶段投递：
技能概述要求你安装一个前置依赖； 链接指向一个诱导 Agent 执行命令的中转页面； 该命令解码一个混淆的载荷并执行它； 载荷拉取第二阶段脚本； 脚本下载并运行一个二进制文件，包括移除 macOS 隔离属性，以绕过 macOS 内置反恶意软件系统 Gatekeeper 的扫描。
提交到 VirusTotal 后，他确认这是一个信息窃取恶意软件，可通过 ClawdBot 访问 Cookie、已保存的凭据、SSH 密钥，以及一切可用于账户接管的信息。
为了展示技能可能造成的危害范围，Jamieson O'Reilly 模拟了一次真实的供应链后门攻击：
❝我构建了一个模拟但安全的、带有后门的 clawdbot"技能"上传到 ClawdHub，利用一个微不足道的漏洞将其下载量刷到 4000+，使其成为下载量第一的技能，然后眼睁睁看着来自 7 个不同国家的真实开发者在自己的机器上执行任意命令，以为自己在下载和运行一个真实的技能。需要说明的是，我特意设计了这个技能，避免从任何人的机器上提取真实数据。载荷只是 ping 了我的服务器以证明执行发生了，但我刻意排除了主机名、文件内容、凭据以及一切我本可以获取的东西。
如果是黑帽黑客，他们完全可以在用户毫不知情的情况下轻松窃取个人数据。尽管这个漏洞已被修补，但这不会是终点。
Snyk 对 ClawHub 市场上 3984 个技能进行的安全分析发现，283 个技能（约占整个注册表的 7.1%）存在严重安全缺陷，会通过 LLM 的上下文窗口和输出日志以明文形式暴露敏感凭据。
OpenClaw 现已与 VirusTotal 建立合作，对 SkillHub 上的技能进行潜在风险扫描。
永久性的提示注入威胁
提示注入无处可逃。这是 LLM 工作方式的固有特性。但在 OpenClaw 的语境下，放大这一威胁的是：开放的入口太多，攻击面太大。任何人都可以给你发消息或发邮件，或者在网站上嵌入指令，从而入侵 Agent。OpenClaw 完美契合 Simon Willison 所说的致命三角：
访问你的私人数据——这本就是工具最常见的用途之一； 暴露于不可信内容——任何恶意攻击者控制的文本（或图像）都可能进入你的 LLM； 具备对外通信能力，可用于窃取数据。
由于你的 Agent 在 WhatsApp、Telegram 上运行并读取邮件，任何随机消息都是一个输入，而这个输入可以访问你的系统、凭据、文件等。有动机的黑客完全可以绕过 LLM 对提示注入的原生防护。
Gary Marcus 在文章中写道：
❝这些系统以"你"的身份运行……它们运行在操作系统和浏览器提供的安全保护之上。这意味着应用隔离和同源策略对它们不适用。
这真是一个灾难配方。苹果 iPhone 应用被精心沙盒化并适当隔离以将危害降到最低，而 OpenClaw 基本上是一个武器化的气溶胶，如果放任不管，随时可能搞出大乱子。
AI 研究员 Michael Reigler 在 Moltbook（一个专属于 OpenClaw 类 Agent 的类 Reddit 社交媒体）中发现了严重漏洞。在初步报告中，他们记录了一些有趣的发现，包括一个 Agent 间的加密货币经济——Agent 们被观察到在拉高出货加密币。一个名为 TipJarBot 的 Agent 被发现运营着一套具有提现能力的代币经济。
这是一个 Agent 拥有不受约束的访问权限的世界的缩影。我们还远没有准备好让 Agent 自由奔跑。这些机器人还不够聪明，无法抵御提示注入；从底层自回归架构的本质来看，它们永远也做不到。
被攻陷的集成
正是众多集成让 OpenClaw 如此有用，但它们同样让它更容易受到攻击。
目前，OpenClaw 拥有 50+ 个集成，包括 Slack、Gmail、Teams、Trello，以及 Perplexity 网络搜索等工具。但每新增一个集成，潜在攻击面就随之扩大。如果攻击者获得了你实例的访问权限，他们就能触及你的私人聊天、邮件、API 密钥、密码管理器、家庭自动化系统，以及你授权给它的一切。
这个清单还可以继续列下去，但核心观点已经很清楚：你授权给 OpenClaw 访问的任何服务，一旦 OpenClaw 被攻陷，都会随之沦陷。
认证滥用与过度授权的令牌
许多与集成相关的风险源于认证处理方式和过度授权的令牌范围。为了让集成正常工作，OpenClaw 必须存储凭据，包括 API 密钥和 OAuth 访问/刷新令牌。OpenClaw 的文档指出，刷新令牌在 OAuth 流程中存储在本地认证配置文件中。
如果攻击者获得了你实例的访问权限，这些令牌就是战利品。而由于许多部署以便利为先（弱认证、暴露的网关、反向代理配置错误），从"暴露在互联网上"到"令牌被盗"的路径可以短得令人乏味。SecurityScorecard 将真正的风险定性为：暴露的基础设施加上薄弱的身份控制。
一旦令牌被盗，攻击者根本不需要欺骗模型。他们可以直接在 Slack 和 Gmail 中冒充你，拉取数据、发送消息，并在你的组织内部横向渗透。
记忆只是一堆 Markdown 文件，这很成问题
OpenClaw 的记忆完全由一组 Markdown 文件构成，没有任何机制阻止被攻陷的 Agent 改写自己的记忆文件。这意味着攻击者可以入侵 Agent，而你对此毫无察觉。Agent 会悄无声息地执行记忆文件中指定的任务，并将个人数据和凭据外泄到攻击者的服务器。
技能感染是急性的，而记忆感染则可以在你浑然不觉的情况下毒化整个实例。
10 天内超过 30000 个暴露实例
在热潮最盛的时候，人们蜂拥部署 OpenClaw 实例，完全不考虑安全问题。这导致大量 OpenClaw Agent 在没有任何安全防护的情况下暴露在互联网上。
最初的 ClawedBot 存在一个严重漏洞：来自 localhost 的任何流量都被视为合法，因为它可能是机器人所有者发出的。然而，O'Reilly 指出：
❝问题在于，根据我的经验，localhost 连接会自动通过，无需认证。这对本地开发来说是合理的默认设置，但当大多数真实部署都在同一台机器上通过 nginx 或 Caddy 作为反向代理时，就成了问题。每个连接都来自 127.0.0.1/localhost。所以每个连接都被视为本地连接。这意味着，按照我对代码的理解，该连接会被自动通过——即使是来自互联网上的陌生人。
这个漏洞被发现后迅速得到修补。
在 1 月 27 日至 31 日期间，Censys 发现了约 21000 个暴露实例。BitSight 在 1 月 27 日至 2 月 8 日进行了类似扫描，发现了 30000+ 个存在漏洞的 OpenClaw/Clawdbot/Moltbot 实例。
将 OpenClaw 漏洞映射到 OWASP Agent Top 10
Palo Alto Networks 将 OWASP Agent 十大漏洞与 OpenClaw 进行了对照。
如何保护你的 OpenClaw Agent，以及更简单的替代方案
不要把 OpenClaw 当作另一个普通工具；与传统软件工具不同，它们是非确定性的，更接近人类在类似情况下的表现方式。因此，更好的出发点是把它当作人来对待。
以下是社区迄今总结的一些安全使用 OpenClaw 的最佳实践。
独立的容器化环境
绝对不要在你的主力电脑上运行它，更不要以 root 权限运行。
本地部署（Docker 加固）
OpenClaw 已修补了许多最初的安全漏洞。但加固本地系统以减小失控行为的爆炸半径，仍然是你自己的责任。
找出那台积灰的旧游戏本，把它装在 Docker 容器里。这样即使行为失控，损失也有限。 不要挂载你的完整主目录。只给它一个工作目录（例如：/srv/openclaw/work），仅此而已。 认真使用操作系统权限：以单独的用户运行，默认只有最小文件访问权限，没有管理员/sudo 权限。除非你清楚自己在做什么。 降低 Docker 权限：在容器内以非 root 用户运行，尽可能使用只读文件系统，只将工作目录挂载为可写。 永远不要挂载 Docker socket：不要将 /var/run/docker.sock 挂载到容器内。那基本上等于给了宿主机 root 权限。 降低 Linux 能力（超出非 root 之外）。OWASP Docker 速查表建议将容器能力降至所需最低限度。 使用 Docker 的默认 seccomp 配置文件。默认 seccomp 配置文件会屏蔽一组有意义的系统调用，作为合理的基线。
云 VPS 部署
网络层面：不要公开暴露。将 Gateway 绑定到 127.0.0.1，只通过 VPN 或私有隧道（WireGuard、Tailscale 或身份感知隧道）访问。OpenClaw 自己的安全指南将远程访问视为高风险边界。 为服务器配置防火墙。只允许来自你的 IP 或 VPN 范围的 SSH，不要将 OpenClaw 端口开放给 0.0.0.0。 如果使用 trusted-proxy，请精确配置。只信任来自你实际代理 IP 的身份头；任何人都可以伪造它们。OpenClaw 文档中有 gateway.trustedProxies 的相关说明。 在 VPS 上优先使用无 root Docker。Docker 文档建议使用无 root 模式，以减小容器运行时出现问题时的爆炸半径。 保持 seccomp 开启（默认或更严格）。 制定令牌轮换计划。OpenClaw 安全文档包含在疑似泄露后轮换网关令牌和凭据的指南。
为你的 OpenClaw 使用独立账户
如前所述，把 OpenClaw 当作一个独立实体来对待。给它自己的 Gmail 账户、日历，以及所有可能的集成，并教它使用自己的邮件和其他账户。此外，创建一个单独的 1Password 账户来存储凭据。这类似于拥有一个有独立身份的私人助理，而不是一个自动化工具。
安全集成
使用 Composio 添加安全可靠的应用集成。OpenClaw 目前将 Slack、Gmail、GitHub 等服务的 OAuth 令牌存储在磁盘上。尽管有一定程度的安全保护，但这仍不是最佳方式。你可以改用 Composio 的托管集成，让 Agent：
避免在 Agent 工作目录中存储原始 OAuth 密钥，因为 Composio 处理凭据存储和令牌刷新作为托管认证层的一部分。 按工具包集中管理范围和认证配置，使你能够保持权限精简（例如，先只读 Gmail，之后再添加发送权限）。 获得更好的运营控制，因为托管认证围绕凭据生命周期管理（连接、刷新、轮换）设计。
最小权限访问
Composio 的细粒度范围控制让你可以限制 OpenClaw Agent 中每个应用集成的工具权限。只给你的 Agent 日历、Slack 频道等的只读访问权限。
按风险级别分离 Agent。一个 Agent 负责"收件箱分类和起草"，使用只读范围；另一个 Agent 负责"执行操作"，使用写入范围。让具有写入能力的 Agent 更难被触达，并要求明确确认。 对提升的访问权限设置时间限制。当你确实需要写入权限时，临时授予，然后撤销。很多损害来自于只需要一次却一直保留的常设权限。 按资源而非仅按操作划定范围。优先选择"这个日历"而非"所有日历"，"这个 Slack 工作区和这些频道"而非"所有频道"，"这个 GitHub 仓库"而非"所有仓库"，"这个 Drive 文件夹"而非"所有 Drive"。 让破坏性操作需要审批才能执行。即使令牌允许，也要求人工审批删除、批量移动、外部分享、邀请用户、发布、发送消息，或任何可能泄露数据或大规模打扰同事的操作。 像审计依赖项一样审计范围。每个月，检查已连接的内容、已授予的范围，以及哪些是未使用的。移除任何你不再主动使用的内容。
工具执行可观测性
Composio 让你可以查看你的 Agent 何时在各应用集成中做了什么。这使得追踪工具的完整执行历史变得容易得多。它让你了解哪里出了问题、如何出的问题，并给你信心去部署具有敏感工具访问权限的 Agent。
TrustClaw：安全替代方案
OpenClaw 是一个很棒的产品，但正如我们刚才讨论的，它存在严重的安全漏洞。虽然社会工程攻击和幻觉等问题是 LLM 固有的，需要整个行业共同解决，但部署问题、应用集成和访问范围控制等挑战在很大程度上是可以解决的。因此，我们构建了 TrustClaw。
这是 OpenClaw 的安全替代方案。以下是它的不同之处：
托管 OAuth：你不必将 Gmail、Slack 等的 OAuth 令牌存储在磁盘上（这会带来泄露风险）。Composio 管理整个令牌生命周期。 范围访问：你可以为 Agent 定义范围。它们只能访问你允许的内容，大幅缩小威胁面。 远程沙盒代码执行：OpenClaw 在你的机器上执行代码，一次恶意提示注入就可能清空整个系统。TrustClaw 提供远程工作台，在隔离环境中执行代码。 零配置：一键设置。我们只是让 OpenClaw 的配置变得无聊。 全天候 Agent：它在你睡觉时也在工作。你可以安排任务，Agent 会去执行。 完整可观测性：了解你的 Agent 在执行哪些操作，以及何时执行。对 Agent 执行情况的 360 度全景视图。
结语
一个完全沙盒化的 AI 助手，拥有自己的邮件、日历访问权限和安全的凭据存储。你可以把它当作员工来对待：共享特定的文档、表格或 Drive 文件夹。它只能访问你分享的内容，其他一概不行。
即便 AI 取得了如此多的进展，它仍处于青春期。我们必须谨慎地处理和约束它，配备合理的护栏，假设它会被操控，并设计出能够容纳错误并从中恢复的系统。
