夜雨聆风点击“扬工信息化” 
关注我们
作为具备系统指令执行、文件读写、API调用等高级权限的工具，OpenClaw（俗称“龙虾”）若保持默认配置或使用方式不当，极易诱发远程控制、数据泄露、恶意代码运行等重大安全隐患。
为进一步规范广大师生对OpenClaw（“龙虾”）的使用行为，切实筑牢校园网络安全与个人信息安全防线，结合国家互联网应急中心（CNCERT）、中国网络空间安全协会联合出台的《OpenClaw安全使用实践指南》要求，现向全体师生提出以下具体安全使用规范，建议全体师生遵照执行。
请务必树立“安全为先、谨慎体验”的核心原则，坚决避免在未采取任何安全防护措施的情况下，直接部署和使用OpenClaw。
谨慎在日常办公电脑、教学终端、校园公共服务器等存储敏感数据的设备上直接安装OpenClaw。建议使用闲置专用设备、独立虚拟机或Docker容器部署运行，且部署前需完成设备数据清空与环境初始化，杜绝残留敏感信息。 采用VMware、VirtualBox等虚拟机或Docker容器部署时，需将运行环境与宿主机完全隔离，关闭非必要的文件共享、端口映射功能，防止环境交叉感染。 若在云服务器部署，仅通过本地远程访问，不在OpenClaw运行环境中存储、处理银行卡号、密码、身份证信息、密钥等隐私数据。
仅从OpenClaw官方渠道下载最新稳定版本，开启自动更新提醒，及时安装官方发布的安全补丁，密切关注官方安全公告与漏洞通报；升级前务必备份重要数据，升级后重启服务并验证补丁生效情况。 谨慎使用第三方镜像版本、未修复漏洞的历史版本，强烈不建议通过非官方渠道的“一键安装”脚本部署OpenClaw，防范恶意代码植入风险。
强烈不建议将OpenClaw默认端口（18789/19890）暴露至互联网，避免与互联网IP直接绑定，降低被攻击风险。 确需远程使用时，建议通过VPN或SSH、WireGuard等安全加密隧道接入，并启用验证码等强认证措施，强化访问安全。 若对接微信、钉钉等即时通讯软件，建议仅允许本人或已授权的可信人员访问，严控访问权限。
建议不使用管理员或超级用户权限运行OpenClaw，创建专用低权限账户，仅授予其最小必要目录的读写权限，遵循“最小权限原则”。 关闭屏幕录制、系统自动化等高危权限，减少安全隐患。 仅开放专用工作目录，严禁OpenClaw访问桌面、文档、下载、密码管理器等敏感目录。 管控文件访问路径，拒绝其读取配置文件、密钥文件等隐私配置。 关闭系统命令执行功能，仅在确有必要时临时启用，并进行二次确认，防范误操作或恶意调用。 限制网络访问范围，仅允许OpenClaw连接必要的AI服务与API。
仅安装可信Skills，谨慎安装、使用外部社区或个人发布的Skills，防范信息泄露、服务器被攻击等风险。 坚决拒绝标榜“自动赚钱、薅羊毛、破解”等不明用途或黑灰产相关的技能插件，从源头规避安全风险。 定期检查已安装插件的版本与安全更新情况，及时卸载未使用、存在安全漏洞的插件，并对插件运行过程进行日志监控，及时发现异常。
在OpenClaw运行设备上安装正版合规的杀毒软件、网络安全防护工具，开启实时防护与定期病毒查杀；使用浏览器沙箱、网页过滤器等扩展工具，阻止可疑脚本运行。 对OpenClaw的配置文件、核心工作目录进行加密保护，防止配置被篡改；定期对运行环境进行安全扫描，及时发现并修复各类安全漏洞。 强化网络攻击防范意识，不使用OpenClaw浏览来历不明的网站、点击陌生网页链接、读取不可信文档，避免遭遇浏览器劫持、钓鱼攻击等安全事件。
安全无小事，责任大于天。请广大师生高度重视人工智能技术的规范应用与安全管控，牢固树立“安全为先、谨慎体验”的原则，以审慎态度拥抱AI技术，以专业素养防范各类安全风险，共同守护校园网络与信息安全。
素材 | 国家互联网应急中心CNCERT
编辑 | 李兆荣
校对 | 孔秀平 杨腾运
审核 | 刘 贺
