点击“扬工信息化”
关注我们


作为具备系统指令执行、文件读写、API调用等高级权限的工具,OpenClaw(俗称“龙虾”)若保持默认配置或使用方式不当,极易诱发远程控制、数据泄露、恶意代码运行等重大安全隐患。
为进一步规范广大师生对OpenClaw(“龙虾”)的使用行为,切实筑牢校园网络安全与个人信息安全防线,结合国家互联网应急中心(CNCERT)、中国网络空间安全协会联合出台的《OpenClaw安全使用实践指南》要求,现向全体师生提出以下具体安全使用规范,建议全体师生遵照执行。

请务必树立“安全为先、谨慎体验”的核心原则,坚决避免在未采取任何安全防护措施的情况下,直接部署和使用OpenClaw。

谨慎在日常办公电脑、教学终端、校园公共服务器等存储敏感数据的设备上直接安装OpenClaw。建议使用闲置专用设备、独立虚拟机或Docker容器部署运行,且部署前需完成设备数据清空与环境初始化,杜绝残留敏感信息。 采用VMware、VirtualBox等虚拟机或Docker容器部署时,需将运行环境与宿主机完全隔离,关闭非必要的文件共享、端口映射功能,防止环境交叉感染。 若在云服务器部署,仅通过本地远程访问,不在OpenClaw运行环境中存储、处理银行卡号、密码、身份证信息、密钥等隐私数据。

仅从OpenClaw官方渠道下载最新稳定版本,开启自动更新提醒,及时安装官方发布的安全补丁,密切关注官方安全公告与漏洞通报;升级前务必备份重要数据,升级后重启服务并验证补丁生效情况。 谨慎使用第三方镜像版本、未修复漏洞的历史版本,强烈不建议通过非官方渠道的“一键安装”脚本部署OpenClaw,防范恶意代码植入风险。

强烈不建议将OpenClaw默认端口(18789/19890)暴露至互联网,避免与互联网IP直接绑定,降低被攻击风险。 确需远程使用时,建议通过VPN或SSH、WireGuard等安全加密隧道接入,并启用验证码等强认证措施,强化访问安全。 若对接微信、钉钉等即时通讯软件,建议仅允许本人或已授权的可信人员访问,严控访问权限。

建议不使用管理员或超级用户权限运行OpenClaw,创建专用低权限账户,仅授予其最小必要目录的读写权限,遵循“最小权限原则”。 关闭屏幕录制、系统自动化等高危权限,减少安全隐患。 仅开放专用工作目录,严禁OpenClaw访问桌面、文档、下载、密码管理器等敏感目录。 管控文件访问路径,拒绝其读取配置文件、密钥文件等隐私配置。 关闭系统命令执行功能,仅在确有必要时临时启用,并进行二次确认,防范误操作或恶意调用。 限制网络访问范围,仅允许OpenClaw连接必要的AI服务与API。

仅安装可信Skills,谨慎安装、使用外部社区或个人发布的Skills,防范信息泄露、服务器被攻击等风险。 坚决拒绝标榜“自动赚钱、薅羊毛、破解”等不明用途或黑灰产相关的技能插件,从源头规避安全风险。 定期检查已安装插件的版本与安全更新情况,及时卸载未使用、存在安全漏洞的插件,并对插件运行过程进行日志监控,及时发现异常。

在OpenClaw运行设备上安装正版合规的杀毒软件、网络安全防护工具,开启实时防护与定期病毒查杀;使用浏览器沙箱、网页过滤器等扩展工具,阻止可疑脚本运行。 对OpenClaw的配置文件、核心工作目录进行加密保护,防止配置被篡改;定期对运行环境进行安全扫描,及时发现并修复各类安全漏洞。 强化网络攻击防范意识,不使用OpenClaw浏览来历不明的网站、点击陌生网页链接、读取不可信文档,避免遭遇浏览器劫持、钓鱼攻击等安全事件。
安全无小事,责任大于天。请广大师生高度重视人工智能技术的规范应用与安全管控,牢固树立“安全为先、谨慎体验”的原则,以审慎态度拥抱AI技术,以专业素养防范各类安全风险,共同守护校园网络与信息安全。

素材 | 国家互联网应急中心CNCERT
编辑 | 李兆荣
校对 | 孔秀平 杨腾运
审核 | 刘 贺

夜雨聆风