夜雨聆风
编辑 | 林芯
“我现在最大的挫败感在于，有一整个行业都在试图把这个项目描绘成负面的东西。”
“我认为未来 token 处理会越来越快”
“像OpenClaw这样的项目，绝对不可能从美国大公司里出来”
昨天，AI Engineer在欧洲举办了一场阵容超级豪华的 AI 大会，包括谷歌 Deepmind 研究副总裁raia hadsell、OpenAI 技术人员Ryan Lopopolo、OpenClaw 创始人Peter Steinberger 等重量级嘉宾。
小编在观看了直播之后，发现“龙虾之父”Peter在演讲、访谈中揭露了许多“干货与内幕”，因此今天我们就来一次史上最重要的软件之一，且不可能出自美国公司的 OpenClaw 专场！
首先，是 Peter 关于“Closed Claw”的回应。OpenAI 作为闭源模型赛道的巨头，在Peter 加入OpenAI 之后，大家对于OpenClaw变为Closed Claw的质疑声越来越高。
Peter在这次会议的回应是：“OpenAI 是支持这个项目的，也提供资源。它在过去在开源方面确实不算理想，不过现在确实在认真拥抱开源。 "
然后，对黑暗工厂模式的看法。前几天，Simon Willson在播客上提出“软件工厂最终会走向黑暗工厂模式”。
而 Peter则认为 “黑暗工厂模式越来越可行了。但不认为这样能做出好的软件。”
第三，“品味”是护城河，但到底什么是好的品味呢？
“即使你说不出具体哪里不对，你就是知道。这大概是品味的最低定义”
第四，下一个 Agent 形态是什么？Peter希望进入电影里《星际迷航》的设定，“我希望在任何一个房间，说‘computer’，我的agent就能回应。”
第五，关于prompt injection（提示词注入）攻击的解决方案。
他透露：“通过时间建立声誉，信任度越高，获得权限越高”。
第六，对工程师来说，需要重点发展技能——“品味”、“系统设计”以及越来越重要的“说不的能力”。
就连从 Anthpotic 泄露的源码中“大火一把”的梦境功能（Dreaming）也被他列入未来计划！
最后，在个人演讲环节里对OpenClaw安全性的回应：越是有人大喊“极其严重”的漏洞，越可能是噪音。
Peter Steinberger的内容都在下面，话不多说，我们一起来看！
从OpenClaw 到Closed Claw：不让OpenAI 参与太多
主持人Swyx：我们其实可以一起上来，不用搞神秘。Peter，欢迎。这场是 AMA，我已经办过六次 AI Engineer 活动了。通常有重量级嘉宾时，我们只安排他们做演讲，但其实大家都有很多问题想问，所以这次我们专门设计了这个环节。你们可以提交问题，我来做主持。那我先问一个比较“刺激”的问题。Peter 之前转发我的推文，说“把所有关于 Closed Claw 的问题都问过来”。大家对 OpenClaw 在 OpenAI 的未来有很多疑问。你怎么看这些关于“Closed Claw”的讨论？
Peter Steinberger：说实话，我当初决定加入 OpenAI 时，并没有特别考虑这个问题。但我理解大家的担忧，因为 OpenAI 过去在开源方面确实不算理想。不过现在已经有很多变化，比如 Codex 已经开源，他们还发布了 Symfony 这样的编排层。所以他们确实在认真拥抱开源。他们也理解 OpenClaw 必须保持开放、支持各种模型——无论是大厂模型还是本地模型。因为行业整体都会受益于更多人使用 AI。比如一个从没用过 AI 的人，在家用 OpenClaw 之后，会去公司问：“为什么我们工作中没有 AI？”这样就会推动企业采用 AI，哪怕最终用的是托管方案。
所以他们非常支持这个项目，也给我提供了资源。其实是我自己控制节奏，我可以从OpenAI拉更多人来帮忙，但那样会让人觉得他们接管了这个项目，我不想这样。所以我引入了 Nvidia、Microsoft、Telegram、Salesforce、Slack、腾讯、字节跳动、阿里等各方参与。我们也跟阿里巴巴、MiniMax、Kim 等所有模型提供商都谈过了，基本所有模型厂商都很支持。Nvidia 尤其给力，直接派工程师过来干活。当然现在我也开始引入一些 OpenAI 的人一起维护，因为项目发展速度太快，确实需要一支“军队”，我正在努力组建。
黑客式路径：做OpenClaw的原因
主持人Swyx：
你已经有军队了。但从你之前展示的贡献者图表也能看出来，要让高质量贡献者长期留下来并不容易。大家不断把你的维护者挖走，然后你就得再找新的。说到这里，关于本地模型和开源模型，大家也关心一个问题：并不是栈的每一部分都是开放的，很多模型你无法访问，还有各种奇怪的限制。对OpenClaw的未来来说，开源和本地模型有多重要？
Peter Steinberger：我一开始想做OpenClaw的部分原因，就是看到大公司都接入了我的Gmail，我的邮件托管在那里，他们就能完全访问我的邮件。这让我觉得，如果能把所有数据都掌握在自己手里，只在需要顶级token时才上传一小部分，会更让人兴奋。
还有第二层级的 fallback （备用模型）。
我骨子里是个欧洲人。你会想要拥有自己的数据，你懂的。而且之前没有人做这件事，所以这对我来说非常有吸引力。
另外，如果你是一个初创公司，想连接 Gmail，可能要花半年时间，而且过程非常困难。但如果我是消费者，我的Clanker可以点击任何网站，它就会点击“我不是机器人”。如果你能给我数据，我的agent就能拿到数据。这让你绕过很多大公司的数据壁垒，实现更强大的自动化，这有点像“黑客式”的路径。
OpenAI 走在正确的方向
主持人Swyx：关于 OpenAI 团队在 GBT-OSS上有什么进展吗？它是否会继续作为一项与 OpenClaw 对齐的工作流，还是说它是独立的？
Peter Steinberger：这个我不能透露太多。但可以说，OpenClaw 确实让更多 OpenAI 内部的人开始关注开源，我很高兴看到 OpenAI 正在重新向开放的方向发展。相比一些其他顶级实验室（名字以 A 开头的那种），他们对源码泄露非常敏感甚至会起诉，我觉得 OpenAI 现在正走一条好的方向。
未来 token 处理会越来越快
主持人Swyx：好的。我想特别突出这个问题。大家都很喜欢听你分享自己的编码工作流。大家也很好奇你的开发方式。我觉得你提出的“prompt request 而不是 pull request”的理念现在已经广为人知了。另外，你在 OpenAI 上消耗 token 的方式也让很多人震惊。所以大家想知道你是怎么交付的，以及你怎么处理agent的等待时间？为什么你会同时跑这么多agent？
Peter Steinberger：
我知道那张我同时开很多窗口的截图当时爆火了，我也没想到会这样。我曾经同时跑接近 10 个 session，尤其是用 Codex 50/51 的时候，速度相当慢。现在情况好一些了，虽然还是有点奇怪，但我们做了改进，既让速度变快，也推出了 fast mode。所以我现在典型的工作流大概只有之前的一半，大概五六个窗口，而不是之前的十个，因为每个循环都更快了，工作区域基本一样，所以也不需要再频繁使用分屏了
我认为未来 token 处理会越来越快。到时候同时处理六件事就不再是常态了。但目前这还是一个权宜之计，直到速度真正变快为止。
黑暗工厂：我不认为这样能做出好的软件
主持人Swyx：有趣的是，我把你和 Ryan 放在一起，就是想看看你们两人对“token maxing”（最大化使用 token）的不同做法。我很好奇你怎么看待那种完全的“dark factory”模式，也就是你甚至不审查进入的代码。
Peter Steinberger：我觉得这越来越可行了。但另一方面，“dark factory”也意味着我在一开始就把所有我想构建的东西都想好，然后直接执行。但我不认为这样能做出好的软件。
因为通往山顶的路从来都不是一条直线，它非常曲折。有时候你会稍微偏离轨道，然后发现新的东西让你受到启发，你会找到捷径。一旦到达山顶，你才能看到最优路径，但你从来不会一开始就走那条路。
同样，你对项目的第一个想法，极不可能就是最终的项目。
如果我突然又回到瀑布模型，那做出来的就会是最终版本。但对我来说这行不通。我会一步步构建，边玩边看，感受它如何，然后产生新想法，我的 prompt 也会不断变化。所以对我来说这是一个高度迭代的过程。我不认为能完全自动化。你当然可以为某些部分建立流程，但即使是 公关，你也不能只建一个自动合并 PR 的流程，因为很多 PR 根本没有意义。人们会把你的产品往各种方向拉，如果你全部自动化，AI 很难知道哪个方向才是正确的。你可以引导它，我有一份愿景文档，我尝试了一些方法，但瓶颈依然是品味。
品味：立刻识别出 AI 内容
主持人Swyx：是的，品味非常重要。你怎么定义“品味”？在和我聊天的过程中，大家都认同品味是护城河，但没人能说清楚什么是好的品味。所以我想听听你的看法。
Peter Steinberger：我觉得在当下，最低层次的品味就是：“不要有AI味”。你知道那种写作风格、个性，还有现在的 UI——你见过太多 AI 生成的 UI，一眼就能认出来。比如左边或右边有那种颜色边框，以前是紫色渐变，但现在更明显了。它就像一种感觉，就像你能立刻识别出 AI 写的 低质内容 一样。
这就是为什么我说它是一种“气味”。即使你说不出具体哪里不对，你就是知道。这大概是品味的最低定义。
再往上，因为现在软件的大部分工作都可以自动化了，你反而有更多时间去打磨那些小细节。比如当你运行 OpenClaw 时，有时会收到一条带点吐槽的小消息，那些就是让人愉悦的细节。如果你只用 prompt，是很难得到这些的。
Soud.md：AI 应该有个性
主持人Swyx：是的。我特别喜欢你的一个方面，就是你花了很多精力在你的 soul.md 上，把自己的方法论开源出来。我觉得在你之前，没什么人真正认真对待“soul”这件事。
备注：SOUL.md 是 OpenClaw AI 系统中定义 AI 人格和行为方式的核心配置文件。
我还没发布的播客里，有一期是和前Shopify CTO、曾经负责Bing（Sydney那个最初失控聊天机器人）的Mikuel Parakin聊的。大家真的很享受当你的聊天机器人有个性的时候。你的Clanker会有不同的执着。
Peter Steinberger：
这其实是因为世界变了。2023和2024年的ChatGPT，基本上是我们拥有AI却还不理解AI能做什么的时代。所以我们重建了Google——一个搜索框，给你一个回复，你不期待Google有个性。但现在进入 agent 时代，它应该有个性。比如我把 agent 接到 WhatsApp 上时，只是简单接上Claude Code，然后我在WhatsApp上用的时候，就觉得不太对劲。虽然Claude Code已经有了一些个性，但它不符合人们在WhatsApp上跟你聊天的方式。
所以我的迭代就是从这里开始的——这又是关于品味。它感觉不太对，太啰嗦，用太多省略号，我朋友发消息不是这样的。于是我就开始调整，让它“写得更像人类”。
OpenClaw这样的项目，不可能从美国大公司里出来
主持人Swyx：我其实会让它“像龙虾一样写作”（run a writing like a lobster）。你有一句我很喜欢的引用是“带点科幻的疯狂”。就像这样，这就是你运营人工智能项目的方式。
Peter Steinberger：不是所有AI项目，但像OpenClaw这样的项目，绝对不可能从美国大公司里出来，因为它在法律环节就会被扼杀——行业里还有很多问题没解决。现在我们有一些缓解措施，模型也越来越好。我不觉得任何大实验室能发布它，会面临太多阻力，而且也没有足够的市场证明这是大家想要的。所以它必须由外面的人来做。我刚开始做的时候，心里想的是“最坏能怎么样？”它可能会泄露我的token、我的邮件。但那些东西不会完全毁掉我。它可能上传我的一些照片，我心想反正用Grinder的话最坏的已经在线上了。所以我觉得这个风险我能承受，虽然会不舒服，但可控。如果是在公司里做，就需要完全不同的方法。
Agent的下一个形态
主持人Swyx：顺便说一下，他的Instagram账号值得关注，虽然关注不算多，但内容不错。好的，你刚才提到WhatsApp、Telegram等很多文字app。文字app很好，但大家也在寻找下一个形态，比如眼镜、耳机。你对生活中拥有agent的愿望清单是什么？
Peter Steinberger：我其实已经开始做了，但后来被大量用户和日常维护拖住了。
如果我在家里，你知道在《星际迷航》里，我希望在任何一个房间，说“computer”，我的agent就能回应。它应该知道我在哪里。我在每个房间都有小iPad，agent可以用canvas功能把东西投到那些iPad上。如果我问的问题适合用视觉展示，它就能用最近的显示器，因为它知道我在哪。
手机只是一个很方便的输入点，但我希望能从任何地方和它对话。如果我戴着眼镜，它应该能直接听进去，并在我的视野里投射东西。
主持人Swyx：总之就是无处不在地跟着你。
一旦我们有了真正智能的家，一切就不同了。手机上的agent当然要有，但你真正想要的是无处不在的agent。然后你可能在公司有一个大写的OpenClaw（你的私人agent），还有一个小写的openai claw，它们能以公司和你都觉得舒服的方式互相沟通。这就是我们需要努力的未来。
主持人Swyx：我最近和Maran Dre以及Andre Karpathy都聊过，他们俩都在用OpenClaw管理家里。我觉得OpenClaw用于智能家居有点被低估了，但大家正在发现它。最讽刺的是，这之所以可能，正是因为IoT设备大多安全做得一塌糊涂，所以OpenClaw能接管它们。
Peter Steinberger：再过几个月，模型变得更好后，它会工作得更好。
解决prompt injection：通过时间建立声誉
主持人Swyx：好的。一个安全问题，关于prompt injection。你打算怎么解决prompt injection？或者你是怎么思考这个问题的？
Peter Steinberger：目前可能思考得还不够。但另一方面，前端模型现在已经很擅长检测各种情况了，从网站或邮件随机进来的内容通常已经不是问题。你把它们标记为不可信内容，就很难从中窃取数据了。如果有人能无限访问你的Claw并狂轰滥炸，那还是有风险。但这已经不是最大的问题了，这也是为什么有人说“Peter不喜欢本地模型”，但我看到大家跑一个200亿参数的模型，它完全听话，没有任何防御，那才是问题。
如果你用这样的模型再配上浏览器或邮件，我会担心。所以OpenClaw会在你用小模型时警告你。虽然我们支持一切，但我们要稍微引导普通用户，避免他们自己踩雷。关于prompt injection有一些想法，但还在后面，我还没公布。
主持人Swyx：Simon Willison在这方面做了很多工作，他创造了“prompt injection”这个词，双LLM的方法听起来很聪明。我还没聪明到能想出所有可能的攻击方式。有时候，信任确实是个问题。我和下一个要发言的Vincent聊过，发现你们实现了和Toby Luca一样的信任系统——通过时间建立声誉，信任度越高，获得权限越高，我觉得这很有道理。
Peter Steinberger：是的，这是故事的一部分。
梦境功能：从Anthropic的源码泄露中发现的
主持人Swyx：好的。更宽泛一些的问题。一旦你有更多空闲时间，你想做什么酷的项目？
Peter Steinberger：我想做dreaming（梦境功能）。就像我在那里时，我的维护团队在处理梦境方面的工作，就像你在做梦时一样。嗯，所以，换位思考，对吧？
主持人Swyx：什么是dreaming？
Peter Steinberger：它是一种调和记忆的方式，像做一个dream log，去浏览你的对话日志。我们从Anthropic的源码泄露中发现，他们也在做dreaming。我相信还有更多公司在做。
想想人类是怎么学习的：白天经历很多事，睡觉时大脑会做垃圾回收，把一些本地记忆转成长期存储，丢掉另一些。我觉得类似的想法对agent也非常有用。我们现在ship的dreaming只是这个方向的第一小步。它和Andre一直在说的维基有点关系——把所有东西收集到一个维基里，更多是记忆，但会有些混在一起。
OpenClaw 的美妙之处在于我们可以随便尝试。过去几个月我们做的东西，一开始是大 spaghetti code（指非结构化且难以维护的源代码），现在全都变成了extension/plugin（添加功能的软件组件）。你可以替换记忆，可以加维基，可以加dreaming，可以加任何你疯狂的想法，让它变成你自己的。你不用什么都发pull request（拉取请求），因为我们PR还是严重过载。更像Linux，你可以自己安装自己的部件。
一天怎么度过：编码和睡觉
主持人Swyx：你正在构建的东西，很多人都认为是Linux以来最重要的开源项目。你是怎么应对这种名气的？作为这个项目的实际BDFL，你的一天是怎么过的？
备注：终身仁慈独裁者， Benevolent Dictator For Life，缩写 BDFL。是少数 开源软件 开发者所拥有的头衔。 通常是某一项目的创始人，并在该项目社区出现争议时拥有最终的决定权。 这一称号诞生于1995年，最初用来指 Python语言 的创始人 吉多·范罗苏姆。
Peter Steinberger：还是有很多编码工作。
主持人Swyx：顺便说一下，刚才会议的间隙他还在后面编码。
Peter Steinberger：是的，他们表面上会显得很兴奋，但其实内心其实并不太确信。你得让他们相信某些事情是必然会发生的事。
主持人Swyx：你必须去推动agents,对吧？
Peter Steinberger：现在变化了一点，更多是和人沟通，把大家引导到正确的方向。因为OpenClaw已经积累了很多经验，我在OpenAI的角色之一就是帮助他们不要重复同样的错误。OpenClaw则继续尝试新东西，有些会成功，有些不会。让公司能更容易地构建自己的Claw，而不用分叉，让一切更可定制化。有时候我也会睡觉。
工程师需要的三个技能
主持人Swyx：有时候你也会睡觉。好的。我觉得这可能是最后一个好的收尾问题：在AI时代，你希望人类，特别是工程师，重点发展什么技能？
Peter Steinberger：品味是很重要的一点，但我已经提过了。系统设计仍然非常重要，我们在旧金山谈过这个。如果你不思考这个，最终会被自己卷进死角。Clanker里什么都有，但你还是需要问对问题，这决定了出来的代码是好的还是烂的。你所有构建软件的知识，仍然可以用来引导agent，让它不要输出低质的内容。
另外，我觉得越来越重要的技能是说“不”。这也是我必须学习的。因为再疯狂的想法，也只是一个prompt的事。通常一个想法不是问题，但这个想法加上那个想法再加上更多想法，它们怎么拼在一起才是问题。我们仍然受限于同步（syncing）和大局观。从Clanker的角度看，你被扔进一个代码库，可能有一个过时的agent.md文件，但你根本不知道这个项目是什么。你说“加用户资料”，它就根据看到的两个东西加上去，但它没看到整个系统。这就会产生很多局部解决方案。我们的工作就是给agent提供提示：你要考虑这个，要看那里，这个和那个怎么相互影响。这样最终才能得到一个可维护的系统。
主持人Swyx：非常感谢你维护这个可能是史上最重要的软件之一，也感谢你和我们分享时间。
Peter Steinberger：谢谢邀请。希望我能留下来继续回答问题。
主持人Swyx：好的。我们Claw还有很多其他维护者要上来，请继续关注。
Peter 的访谈就结束了，我们再来看看他的演讲内容，同样精彩：
Peter Steinberger：大家早上好。Swiss 让我来做一个 “State of the Claw” 的分享。在座有谁在用 OpenClaw？举个手看看。大概有 30% 到 40%，很好。项目已经过去几个月了，现在大概 5 个月了。
“钢管式增长”：GitHub 历史上增长最快的项目
我觉得可以说，我们已经是 GitHub 历史上增长最快的项目了。很多项目的增长曲线像“曲棍球杆”，但我们的几乎是一条直线，有个朋友还调侃说这是“钢管式增长”，当然这也带来了不少挑战。现在我们在 GitHub 的 star 数已经是最大的之一。虽然有一些更大的项目，但基本都是教育类项目，没有其他软件项目能达到这个规模。现在大约有 3 万次提交，接近 2000 名贡献者，很快会达到 3 万个 PR，而且还没有放缓。你可以看到曲线在持续爬升，现在才 4 月 9 号，增长速度依然很快。
但这一切并不容易。当初我在决定做什么时有两条路，我已经经历过完整的公司运作，不想再来一次。后来我加入了 OpenAI，同时我们还创建了 OpenClaw Foundation，现在我等于是做两份工作。运营一个基金会比运营公司更难，因为你既要处理所有事务，还要面对大量你无法直接指挥的志愿者。所以我的一个目标是降低“bus factor”（关键人员风险），比如谁在做提交。现在在慢慢改善，但还没完全解决。Vincent 等会儿会讲。
备注：巴士因子（Bus factor）是衡量软件开发项目中成员信息集中度的指标，指导致项目因关键成员缺席而无法继续所需的最小人数。
过去几个月我和很多公司交流。现在有来自 Nvidia 的人加入，有来自 Microsoft 的人帮助做 MS Teams 和 Windows 应用，还有 Red Hat 的人帮我们做安全和容器化。我们也和很多中国公司合作，比如腾讯和字节跳动，他们实际上是最大的用户群之一。整体来看，参与者来自全球各地。
OpenClaw 安全性：很多是小题大做
但我今天想重点讲的是：OpenClaw 的安全问题。你们应该看过各种梗图，说 OpenClaw 很不安全、会吸引黑客。还有 Nvidia 做了 Nemo Claw，大家都有自己的“小龙虾”。过去两三个月发布了很多版本，也出现了一些问题。基本上我被安全通告“轰炸”了。所以我把重点放在安全上。目前我们已经收到 1142 条安全通告，大约每天 16.6 条，其中 99 条是严重级别。我们已经公开了 469 条，并关闭了 60%。这些数字听起来很吓人。比如 Linux 内核每天大约 8 到 9 条，我们是它的两倍；curl 目前大概 600 条报告，我们也是它的两倍。但我的经验是：越是有人大喊“极其严重”的漏洞，越可能是噪音。我们正在进入一个新时代——AI 工具已经强大到可以发现各种复杂的多链路攻击漏洞，这会冲击几乎所有软件。举个例子，Nvidia 推出了 Nemo Claw，一个为 OpenClaw 提供沙箱和安全层的插件。他们在周一发布 keynote，周日邀请我参与。我把它接入 Codex 安全工具，半小时内就找到了五种突破沙箱的方法。原因是这个产品使用了“未削弱版本”的模型，在网络安全方面比公众可用模型更强——当然，这也是危险的.同时，这个行业本身也有激励机制：发现的问题越多，曝光就越高。所以 OpenClaw 成了大家都想攻击的目标，数百人同时在尝试破解它。常见攻击包括远程代码执行、绕过审批、代码注入、路径遍历等等，听起来都很可怕。举个具体例子，有一个 CVSS 评分 10 的漏洞——也就是最高等级。大致是：如果你同步一个还未发布的 iPhone 应用，并只给它读权限，理论上可以被利用获取写权限。听起来很严重，但实际上并不会影响大多数人。因为典型使用方式是你在本地或云端部署，要么有网关访问权限，要么没有。这个问题本质上是我当初设计了一个更宽松的权限模型，比如用于语音设备等场景。但实际上几乎没人用这些功能。不过 CVSS 的评分规则不会考虑这些现实情况，所以它依然被评为 10 分。结果就是，整个世界在为一些实际影响很小的问题疯狂。当然，也有真正有影响的问题，比如国家级攻击。有一个叫“Ghost Claw”的攻击，很可能来自朝鲜，通过伪造 npm 包诱导下载，一旦下载就会安装 rootkit。这类问题不在我们的控制范围内，其他项目也一样会遇到。
备注：Ghost Claw，一个伪装成可信开发者工具的恶意 NPM 软件，伪装成名为“OpenClaw Installer”的合法命令行安装程序。还有 Axios 事件——我们其实没用 Axios，但我们依赖的 MS Teams 或 Slack 用了它，而且没有锁版本，结果我们也受到了供应链攻击影响。
备注：Axios 事件，2026 年 3 月 31 日，npm 生态系统遭遇了最严重的供应链攻击之一。
那怎么应对 1142 条安全问题？现在可能已经 1150 条了。一开始我试图自己处理，后来发现完全不可能。最快的办法就是引入公司支持。比如 Nvidia 提供了一些工程师，几乎全职在帮我们处理问题和加固代码。
很多公司和机构在制造恐慌
还有一个角度是：很多公司和机构在制造恐慌，不只是公司，还有大学。有一篇论文叫Agents of Chaos，表面上讲的是 agent，但有四页详细分析 OpenClaw 架构，却完全忽略了我们提供的安全指南他们忽略了我们的核心建议：这是一个个人 agent，不要放到群聊里。如果你放进群聊，就必须开启沙箱，否则任何人都可以利用它窃取数据。如果是团队 agent，它只能访问团队数据；如果是个人 agent，只能你自己访问。如果你不遵守这些规则，就会出现一些“有趣”的情况，比如别人通过你的 agent 攻击你的系统。更离谱的是，他们为了让 agent 更强大，强行用 sudo 模式运行——这其实需要修改代码才能做到，但他们在报告里完全没提，因为那样就不好讲故事了。我现在最大的挫败感在于，有一整个行业都在试图把这个项目描绘成负面的东西，这简直像噩梦一样。有人说它“默认不安全”，说这是不可接受的。但与此同时，也有很多人非常喜欢它，那些真正读过安全文档的人，完全可以正确、安全地使用它。举个我觉得特别典型的例子：之前有一个远程代码执行（RCE）问题，甚至一度让比利时方面非常紧张。比利时网络安全机构还专门发布了一个通告，说这是一个远程执行漏洞。但实际上，这个所谓的“漏洞”是这样一个功能：恶意网站可以构造一个链接，触发网关，并转发你的网关 token。但如果你按照默认和推荐的方式配置，网关 token 只存在于本地，或者至少在私有网络里，外部网站根本无法访问。只有当你刻意违背这些配置，比如不看文档直接用 cloud code 搭建，才有可能暴露这个问题。而这些情况，官网其实根本没有建议这么做。
核心问题：系统越强大，能做的事情越多，但也必须越清楚它在做什么。
说实话，确实存在风险，但真正的核心风险是所谓的“致命三要素”：一个 agent 系统如果同时具备访问你的数据、接触不可信内容、以及通信能力，那就存在潜在风险。这并不是 OpenClaw 独有的问题，而是所有 agent 系统都会面临的问题，甚至任何“强力钓鱼系统”都会有类似问题。系统越强大，能帮你做的事情越多，但你也必须越清楚它在做什么。这才是核心问题，但大家却不怎么讨论这一点。再说维护问题。当你收到这么多安全通告时，你知道大多数其实是由 AI 生成的，但你仍然必须亲自阅读判断，因为现在还无法完全信任 AI 自动分析，这会极大消耗时间。有时候你甚至可以凭感觉判断——比如报告写得特别“礼貌”、还带道歉，那大概率是 AI 写的，因为安全研究人员一般不会道歉。这已经成为一个很大的问题，越来越多开源项目都在抱怨，甚至因此“崩溃”。比如 ffmpeg 就公开谈过这个问题。通常你只会收到报告，很少会同时收到修复方案；即便有修复，很多也很糟糕。如果你像我一开始那样因为压力太大而匆忙修复，很可能反而把产品搞坏。
OpenClaw 正在做什么
所以，仅靠志愿者来应对这一切是非常困难的。那我们现在在做什么？第一，有人说 OpenAI 收购了 OpenClaw，这不是真的。也许他们买走了"soul.md”，但他们确实理解：这个世界需要更多人去实际使用 AI，去理解它的能力、风险和潜力。他们也明白，如果一个从没接触过 AI 的人，在家用 OpenClaw，用过之后就会在工作中问：“为什么公司没有 AI？”因此，他们支持这个项目，但同时也清楚，这个项目不能归属于单一公司。所以我在通过 OpenClaw Foundation 构建一个类似“瑞士”的中立组织，Dave 也在帮我。现在基本已经完成，唯一拖慢进度的是美国的银行系统——如果你不是美国人，会发现它既慢又复杂。这个模式是参考 Ghostty 项目的。未来它会帮助我们雇佣全职人员，既能维持发展速度、提升质量，也能让我腾出时间继续做一些更有意思的事情。以上就是 “State of the Claw” 的更新。我之后会留下来做问答，谢谢大家。
备注：Dave Morin美国企业家，OpenClaw投资人；
Ghostty是一款由HashiCorp联合创始人Mitchell Hashimoto开发的高速、功能丰富且跨平台的终端模拟器。
在这场如此豪华的大会里，OpenClaw 里另一位核心成员 Onur Solmaz 围绕 OpenClaw 中的 ACP的演讲 透露了OpenClaw 内部动向——正在做一个工作流系统（吸收这么多需求，同时又不把系统变成一堆 AI 生成的“垃圾代码”），以及充分相信企业级 agent 和 OpenClaw 的潜力。
当然，Onur Solmaz 还有关于OpenClaw更加详细的分享，感兴趣的各位大佬可以去追一下直播！
参考链接：
https://www.youtube.com/live/O_IMsEg91g8?si=cD0vuEzYHXlkt99K
——好文推荐——
OpenAI CEO：现在的AI，就像2020年疫情爆发前夜！超级智能的临界点已至！暗示下一代极强模型将发布！OpenAI建议每周工作32小时试点！
权重冻结是AI进步的敌人！DeepMind顶尖AI研究员：AI自我改进的关键在于评估，需要借鉴形式化验证！专家模型是给泛化AGI的铺路石！
开发Agent苦日子熬到头了！Anthropic重磅发布Claude Managed Agents：速度猛增10倍，容器变成牛！大脑与手彻底分离！网友：真·范式转变！
