OpenClaw 最大的风险，不是它会胡说，而是它真的会动手

"AI 一旦开始执行，安全就不再是外围问题，而是产品能不能进入真实世界的门槛。"

这几个月，很多人第一次对 AI 产生了同一种复杂情绪：一边兴奋，一边发毛。

兴奋是因为，AI 终于不只是陪你聊天了。

它开始真的替你做事。整理文件、调用权限、跑任务、写邮件、安插件、接工作流，它不再只是给建议，而是直接下场执行。

发毛也是因为这个。

过去我们担心 AI，主要是担心它"说错"。现在真正让人紧张的，是它做错。

说错一句话，最多误导你。

删错一批文件、暴露一个端口、接管一个权限、装进一个被投毒的 skill，后果就完全不是一个量级了。

这也是为什么，围绕 OpenClaw 的争议，表面上看是在讨论安全，实际上讨论的是另一件事：

这场访谈里，坐着三个人。

非凡资本的 Abner 负责把问题抛出来，财经媒体人兰序负责把问题追深，真正把这件事讲透的，是万径安全创始人司红星。访谈一开场，三个人的身份就已经摆明了，讨论也很快进入核心：OpenClaw 到底是一次生产力革命，还是一次被低估的安全预警。

我听完整场访谈后，想到的不是"OpenClaw 很危险"，也不是"大家赶紧去养虾"。

而是：

这才是这场访谈真正有价值的地方。

很多人对这波监管有点意外。

但司红星的解释其实很直接：

这不是普通的漏洞预警，也不是传统意义上的一次软件安全事件。它对应的是一种新型风险——AI 自主执行带来的系统性风险。3 月 8 日到 3 月 11 日连续预警，在他看来非常罕见，但也非常合理。因为这次不只是"一个工具有漏洞"，而是"一个能直接执行任务的 AI，正在被大量普通人交出权限"。

这两件事的区别，决定了监管逻辑也完全不一样。

聊天型 AI 出错，通常是内容风险。

它可能事实说错，判断偏掉，甚至一本正经地胡说八道，但大多数时候，问题还停留在"生成层"。

OpenClaw 不一样。

它一旦出错，可能就是删文件、泄露信息、误调用系统权限，甚至把操作系统暴露给不该暴露的人。司红星在访谈里说得很清楚：这已经不是原来的内容风险，而是执行风险。

我很喜欢司红星讲的一句话。

他说，自己第一次接触 OpenClaw 时，第一感觉就是"兴奋又紧张"。

兴奋在于，终于有人把 AI 从聊天框里拽了出来。

过去大家讲智能体，很多时候还停留在 workflow、自动化、演示视频、PPT 和概念层。OpenClaw 不一样，它直接把 AI 推到了执行层。不是帮你想，而是帮你做。它甚至改变了人和电脑交互的方式，也让更多普通人第一次真正感受到 Agent 带来的冲击。

因为一旦 AI 不只是回答问题，而是接管权限、读写文件、调用接口、跑系统流程，它获得的就不只是上下文，而是行动能力。司红星在访谈里提到，过去连他们自己做产品时，也从来没想过"把所有权限默认交给 AI"。OpenClaw 最让安全从业者警觉的，不是它聪明，而是它在便捷和安全之间，明显先选了便捷。

这也是 OpenClaw 爆火的真正原因。

不是因为它最稳。

而是因为它最先把"AI 员工"这件事做得足够直观。

你只要一句话，它就去动。

这很爽。

但也正因为这样，它第一次把风险从"模型幻觉"升级成了"执行事故"。

这场访谈里，Abner 提了一个很关键的问题：

今天大家最容易忽视的，不是 OpenClaw 本身，而是它背后的skill 市场、第三方插件、依赖包、组件链路。

司红星的回答也很硬。

他的意思大概可以浓缩成一句话：

很多普通用户天然会有一种错觉：

但安全世界的原则恰恰相反。

司红星在访谈里明确说，他们自己对社区插件的处理原则，就是"所有上传内容默认不可信"，先 AI 审核，再人工复核，最后白名单放行。

问题就在这里。

OpenClaw 的很多用户，不具备这样的判断力。

他们会默认 ClawHub 上的 skills 是可信的，会默认社区生态已经替他们做过筛选。但如果平台审核机制弱、发布者账号被劫持、依赖链路被投毒，最终出事的时候，普通用户几乎没有能力提前识别。

而且这还不是全部。

司红星还提到一个更底层的问题：

你今天安装 OpenClaw，风险不一定来自某个 skill，也可能来自它依赖的第三方组件。因为它本身就建立在一大堆开源依赖之上，只要其中某个组件升级时被埋了后门，安装过程本身就可能已经不安全。

这就是为什么供应链问题比很多人想得更麻烦。

谈到这里，兰序追问了一个很重要的问题：

金融、能源、运营商这些行业，现在到底怎么看 OpenClaw？

司红星给出的回答，其实特别现实。

这些行业不是不想用。

恰恰相反，他们非常想用。因为他们也知道，这不是一个小功能升级，而是一轮真实的生产力变化。谁先适应，谁就可能在下一轮组织效率竞争里抢到位置。

但他们也不敢乱用。

原因很简单：

一线员工一旦把权限随手交出去，泄露的可能不是普通资料，而是 API、业务数据、敏感流程，甚至是关键基础设施相关的信息。对这些行业来说，问题从来不是"好不好玩"，而是"出了事谁来承担后果"。

所以现在更常见的状态不是全面拥抱，也不是全面封死，而是：

司红星在访谈里明确说，他感受到很多管理层已经认了这件事：生态必须接入，只是权限必须先管控。

这个判断很重要。

因为它意味着，真正成熟的组织反应，不是一刀切，也不是立刻全员上马。

而是先做一件更难但更对的事：

很多人现在很容易抱一个希望：

既然大厂已经开始下场做"安全版龙虾"，那是不是很快就能把这件事解决掉？

司红星的答案很明确：不会。

他的逻辑也很清楚。

如果你只是做应用层的管控，比如给 skill 市场加审核、给权限加围栏、给部署流程加一层安全壳，那当然有帮助。但问题在于，只在上层做管控，并不能替代底层风险的解决。

因为你今天拦住了某个被投毒的 skill，明天可能暴露的是底层依赖；你今天限制了某些调用权限，明天可能被挖出来的是框架本身的漏洞；你今天做了一个"安全部署助手"，明天部署进去的依然还是那只原始龙虾。

司红星在访谈里打了个很形象的比方：

这句话其实把下一轮竞争的关键说透了。

以后大家拼的，未必是谁最像 OpenClaw。

而是谁能把底层真正做到可控。

这一段我觉得是整场访谈最有判断力的部分之一。

Abner 提到，国内已经有厂商在做"中国版 OpenClaw"，问题是：这种替代到底靠不靠谱？

司红星给出的标准非常明确：

他讲得很细。

所谓底层，不只是界面，不只是一个控制面板，也不只是接了几个国产模型。真正要看的，是规划执行、反思、记忆、知识管理、执行沙箱、依赖组件、调用链和权限机制，到底是不是自主可控。

这套标准很残酷，但也很现实。

因为只要你底层还是套国外开源框架，就仍然可能引入第三方组件风险，仍然可能被逆向，仍然可能在关键环节被投毒。

所以问题不是"能不能做一个看起来像 OpenClaw 的产品"。

问题是：你做的是壳，还是底座。

这也是为什么司红星反复强调"自主可控"这四个字。

在关键行业里，大家真正关心的从来不是功能演示，而是可观测、可追溯、可审计、可管控。

AI 执行了什么，为什么执行，哪一步经过了授权，哪一步是自主完成，事后能不能回溯，出问题能不能定位，这些才决定它能不能进组织。

说白了，大家买的不是一个会干活的 AI。

这场访谈最有意思的一点，是它没有把结论推到极端。

不是"别碰"。

也不是"闭眼冲"。

司红星给普通用户的建议，反而很开放：

他说得很实在。

如果你只是想让它帮你排日程、写邮件、整理文档、做旅行计划，这些场景完全可以试。因为这类使用带来的后果通常有限，更重要的是，它能帮助普通人尽快理解这场范式变化。

但如果你非要在生产电脑里玩，那最起码要守住三条底线：

这三条不是高级建议。

这是最低门槛。

因为当一个 AI 已经开始真的执行操作时，安全不再是给专家准备的附加知识，而是每个使用者的基础常识。

我很同意司红星对企业负责人的那段建议。

他说，不建议一刀切封禁。更合理的做法，是建立管控机制：先盘点谁在用，再明确哪些场景禁止使用，再提供替代方案。涉密场景、生产环境、核心系统，应该明确禁用；普通办公和体验性场景，则可以在可控范围内试行。

这套建议的高明之处在于，它没有装作"所有问题都解决了"，也没有逃避"这件事迟早会来"。

因为 OpenClaw 代表的，不只是一个产品。

它更像一个提前到来的信号。

它告诉所有组织一件事：

AI 不会永远停留在聊天框里。

它迟早会进入流程、进入系统、进入权限、进入组织分工。

所以企业现在最不该做的，不是"要不要接入"，而是"有没有准备好在接入之前先管起来"。

我觉得这场由非凡资本Abner、财经媒体人兰序和万径安全创始人司红星完成的访谈，最后最有价值的，不是一堆安全术语，也不是一串风险清单。

它真正说透了一件事：

但能不能进产业、进组织、进真实业务，不取决于它会不会干活，而取决于它能不能被管住。

OpenClaw 这波最大的意义，可能不是让更多人开始"养虾"。

而是让所有人第一次看清，下一轮竞争不只是"谁更聪明"，而是"谁更可控"。

谁先把这件事想明白，谁才算真的看懂了这只小龙虾。

本文基于非凡资本 Abner、财经媒体人兰序与万径安全创始人司红星的深度访谈整理