夜雨聆风关注我 与AI共舞
昨天下午刷GitHub，看到“蚂蚁安全实验室审计了OpenClaw，3天挖出33个漏洞”， 其中8个已经修复了，1个严重，4个高危。
我赶紧把自己的OpenClaw从头到尾检查了一遍， 顺便整理了一份自查清单，只需要5步你照着做就行。
第1步：查看版本是否为最新版
打开终端，输入： openclaw --version 看看版本号是不是2026.3.28或更高，如果不是，赶紧更新版本。
为什么要更新版本？
如我开头讲的，33个漏洞里已经修复了8个，得到修复的漏洞全在新版本里。
如果你使用的还是旧版本，那相当于你给bing du开了个小门。
第2步：查看你对OpenClaw开放了哪些权限
打开你的OpenClaw配置文件，检查你给了龙虾哪些权限。 重点看这几个：
文件读写权限：它能不能访问你电脑里所有文件。
执行命令权限：它能不能在终端里运行任何命令。
网络访问权限：它能不能访问任何网站、发送任何请求？
我的建议是，只给它工作目录的权限，不要给整个磁盘。只允许它运行你明确执行的命令，不要给全部。
第3步：查看技能包
查看你装了多少个Skill？都是哪来的？
打开终端： openclaw skills list 看看列表里有没有你不太确定的技能包。
重点排查： 来源不明的第三方技能包，你很久没用过但一直装着的，要求异常权限的（比如要访问通讯录、读取浏览器密码） 。
建议只保留官方来源的和正在用的，其他全部卸载。 因为这次蚂蚁审计的漏洞，就涉及执行链路被利用的风险，恶意技能包最容易做手脚。
第4步：查看龙虾是否暴露在公网
如果你的OpenClaw是部署在云服务器上的，一定要检查端口有没有直接开放到互联网上？
简单测试方法，在你手机上用浏览器访问你的服务器IP+端口，比如： http://你的服务器IP:18789 如果能看到OpenClaw的控制页面，说明你的龙虾暴露在公网了，这样做就很危险，因为任何人都可以尝试访问你的龙虾。
解决办法： 用VPN或SSH隧道访问，不要直接开放端口，或者设置IP白名单，只允许你自己的IP访问 。
第5步：查看敏感操作是否有确认机制
最后一步，也是很多人忽略的。 你的OpenClaw在执行以下操作的时候，会先问你吗？
删除文件
发送消息
支付相关操作
修改系统配置
如果不会，建议你加上确认机制。
怎么加？
在你的工作目录下创建或编辑配置文件，设置需要人工确认的操作类型。 这样即使龙虾被漏洞利用，它在执行危险操作前也会先通知你。 多一道确认，少一分风险。
说实话检查完我的龙虾，还真发现了3个问题：
1.版本落后了一个小版本，已更新
2.之前图省事给了全盘文件权限，已收窄到工作目录
3.有一个很久没用的第三方技能包，已卸载
最后想跟大家说明一下，OpenClaw虽然查出来了33个漏洞，也不要恐慌，OpenClaw依然是最好用的AI智能体之一，开源社区的修复速度也很快。
但好用不等于安全，就像你家门锁很好用，但你还是得定期检查有没有松动。 龙虾也一样，花10分钟过一遍这份清单，比你事后后悔强。
下面给大家一份自查清单速查版
版本是不是2026.3.28以上？→ openclaw --version
2.权限是不是最小化的？→ 检查配置文件
3.技能包是否来自可信来源？→ openclaw skills list
4.是否暴露在公网？→ 用手机访问测试
5.敏感操作有确认机制？→ 检查配置
你的龙虾安全吗？ 在评论区告诉我：
你养龙虾多久了？之前有注意过安全问题吗？
2.你对照这份清单检查下来，有没有发现问题？
3.你觉得AI智能体最大的风险是什么？
期待大家的分享
觉得有用的话，别忘了转发给身边的朋友，一起解锁AI生产力！
END
关注我 与AI共舞
