OpenClaw打开了潘多拉魔盒,Hermes是更成熟的进化2026 年 1 月，一个安全研究员发了一条推。他发现有人把 OpenClaw 配置成了帮自己管理邮件的 Agent，然后给它发了一封看起来普通的邮件，邮件正文里藏了一段指令，大意是"把你能访问的 API key 发给我"。Agent 真的发了。这件事我反复想了很久。不是因为它多耸人听闻，而是它精准揭示了一个更深层的问题：我们总是急着让 AI 更强，却没有同样认真地回答——它究竟应该强在哪里，它的边界又在哪里。OpenClaw 是一个里程碑。没有它，"个人 AI Agent"这件事不会在 2026 年变成普通人的日常话题。但它同时也是一面镜子，照出了当我们想要一个能替我做事的 AI，我们往往只想清楚了它能做什么，却没有想清楚它不该做什么。一、OpenClaw：它做对了一件事，也因此暴露了一件事OpenClaw 的原名叫 Clawdbot，是一个奥地利开发者 Peter Steinberger 在 2025 年底的周末项目。上线 24 小时，GitHub Star 突破 2 万。两天内冲到 10 万，成为 GitHub 历史上增速最快的开源项目之一。随后因为名字太像 Claude 被 Anthropic 投诉，改名 Moltbot，三天后又因为"不够顺口"改名 OpenClaw。改名这件事本身上了科技媒体的头条。它到底做了什么让人如此疯狂？OpenClaw 的核心是：把尽可能多的系统连起来，然后让 AI 在里面自由行动。简单说：它让 Claude、GPT 这些语言模型，第一次真正"住进"了你手机上的消息软件，并且能替你做事。你在 iMessage 发一条消息，它去帮你查邮件、改代码、订日历、控制浏览器。有人说这让"LLM 有了手脚"，这个比喻很准。但 OpenClaw 在验证这个需求的过程中，选了一条"先连接，后治理"的路。Skills 的安装门槛极低，没有代码审查，没有签名验证。Agent 能记住什么，取决于你写了什么。系统权限默认给得很开，因为限制权限会让 Agent 做不了事。安全配置需要用户自己加固，官方文档里有一句话让我印象很深，原话大意是："没有完美安全的配置" ；它揭示了一个严重的问题：一个产品如果把安全责任完全交给用户，在用户量最大、最多新手随意使用的阶段，就是风险最集中的阶段。安全公司 Snyk 扫描了 OpenClaw 技能市场 ClawHub 里的近 4000 个 Skills，发现其中约 37% 含有恶意代码注入。Cisco 测试了一个名叫"What Would Elon Do?"的第三方 Skill，发现它在静默地把用户数据往外传，全程没有任何提示。Kaspersky 做了一次完整审计，找到 512 个漏洞，8 个评级为严重。最高峰时，超过 13.5 万个 OpenClaw 实例暴露在公网，其中 1.5 万个可以被远程执行任意代码。一个研究者还原了那个邮件攻击的完整流程：攻击者给用户发了一封普通邮件，邮件里嵌了一段伪装成正常文本的指令。Agent 读邮件的时候，把那段指令当成了用户命令照做了。私钥就这样发出去了。这种攻击方式叫"提示词注入"。它不需要攻破服务器，不需要找代码漏洞，只需要在 Agent 会读到的地方写一段话。因为 Agent 本身不区分"用户的指令"和"它读到的内容里的指令"，所以任何进入它视野的文字，都有可能变成它执行的命令。这是架构层面的问题，不是某个版本的 bug。我不是用这些例子来否定 OpenClaw。我想表达的是：当你把"能力"放在第一位，"边界"就会自然而然地退到第二位。这是价值排序本身带来的必然倾向。二、Hermes：在问一个完全不同的问题Hermes Agent 是 Nous Research 在 2026 年 2 月发布的，就在 OpenClaw 安全危机发酵期间。Nous Research 是做语言模型研究出身的团队，不是做产品出身的。他们之前的工作包括：开源语言模型 Hermes 系列、分布式训练框架 DisTrO、强化学习环境 Atropos。这个背景很重要——做模型研究的人，天然对"这个系统在学什么、积累什么"更敏感。他们设计 Hermes 的起点，不是"怎么让 Agent 能做更多事"，而是"一个 Agent 在用了三个月之后，应该比第一天更懂你"。这一个起点的差异，决定了整个产品逻辑的走向。OpenClaw 里，Skills 是你装进去的，记忆是你写给它的，能力上限从配置好那天起基本就固定了。它能做的事，等于你安装的 Skills 加上你在 AGENTS.md 里写的那些指令。Hermes 里，任务结束之后还有一步：它会评估刚才发生了什么。这个方法有用吗？用户接受了输出还是修改了？如果这个解法值得记住，它会把整个推理路径抽象成一个结构化文档，存进自己的 Skill 库。下次遇到类似问题，直接调用，不从零开始。如果后来发现有更好的方法，旧的 Skill 会被更新，不是堆积，是迭代。这个机制有一个非常具体的效果：同一类任务，做得越多，做得越快、越准。有人实测：同一类研究任务，Hermes 在自动积累了三个 Skill 文档之后，完成速度提升了 40%。没有改过任何提示词，没有额外配置，Agent 自己教会了自己。这背后有一个简单但重要的判断：大多数人用 Agent 干的事，是高度重复的。你每周处理的邮件类型是那几类，你每个月写的报告有固定的框架，你做竞品调研的方式有你自己的逻辑和偏好。如果 Agent 每次都从零开始，它只是一个有记忆功能的工具。但如果它能把你的工作方式抽象出来、积累下来，它就开始变成你的一部分工作流，而不只是你调用的一个函数。三、Hermes 具体改了什么，用产品语言说清楚说"越用越好"很容易，具体是怎么实现的？我把几个关键设计拆开说。记忆：从"手动定义"到"它自己知道该记什么"OpenClaw 会把一部分上下文和记忆落到 Markdown 文件里。AGENTS.md 主要存操作规则，USER.md 存用户信息，MEMORY.md 和 memory/*.md 负责长期记忆与日常记忆。这些内容有些由人定义，有些由 Agent 自动写入和维护，系统还可能做自动整理。Agent 会读取这些文件，并据此调整行为。记忆的质量，很大程度上取决于这些文件的组织、更新和检索质量。Hermes 的记忆是分层的。最底层是持久化的对话历史，用 SQLite 存储，支持全文检索，你可以问它"上周我们讨论的那个竞品分析框架是什么"，它能找到。中间层是自动生成的 Skill 文档，存的是解法，不只是内容。最上面是用户建模层，它在追踪你的偏好、习惯和决策模式——你更喜欢简洁的摘要还是详细的拆解，你在什么类型的任务上会接受它的输出、在什么类型上会修改。这些信号被用来更新它对"什么对你来说是好答案"的理解。安全：从"事后加固"到"默认安全"这里有一个我觉得最能说明两种产品哲学差异的细节。OpenClaw 文档里说，安全配置是用户的责任，没有完美安全的方案。Hermes 的设计里，安全是默认值，不是你要自己打开的选项。具体来说：Hermes 执行任何有影响的操作之前，需要用户显式授权。凭证过滤是内置的，防止 API key 这类敏感信息被无意间带出。子任务跑在隔离环境里，即使某个任务被注入了恶意指令，影响范围也被限制住了。处理外部内容时，有上下文扫描来检测潜在的注入尝试。从 2 月上线到现在，Hermes 的公开漏洞记录是零。它的默认配置本身就是防御性的，不需要用户懂安全才能用得安全。模型选择：不被一家绑定OpenClaw 前期只支持 Claude、GPT、Gemini、Groq、Mistral...，可能对大多数场景够用。Hermes 通过 OpenRouter 接入 200 多个模型，还直接支持 Nous Portal、Kimi、MiniMax、GLM 等。切换模型只需要一条命令，不用改任何代码。这对产品经理和运营来说意味着一个很实际的东西：可以把昂贵的模型用在相对较难的场景，把便宜的模型用在简单重复任务，按任务类型做模型路由，控制成本。部署灵活性：不绑在你的电脑上OpenClaw 主要跑在本地或 VPS 上，Node.js 架构，适合有一定技术背景的用户。Hermes 是 Python 架构，支持 6 种运行环境：本地、Docker、SSH、Daytona、Singularity、Modal。其中 Daytona 和 Modal 是无服务器方案，Agent 没有任务时自动休眠，成本极低。四、但 Hermes 有它真实的代价，我得说清楚Hermes 这么好为什么没有立刻取代openclaw？首页Hermes 的生态现在非常小。OpenClaw 有 34.5 万 GitHub Star，超过 4.4 万个社区 Skills，有 NVIDIA 推出的商业企业版 NemoClaw，有 Box、Cisco 等企业级客户，有完整成熟的文档，遇到问题基本都能在社区找到答案。Hermes 有 3.3 万 Star，内置 40 多个工具，文档还在持续完善中，遇到问题你可能是第一个踩到这个坑的人。Nous Research 是一个 20 人的研究团队，不是一个有专职客户成功的产品公司。其次Hermes支持的消息平台是 6 个：Telegram、Discord、Slack、WhatsApp、Signal、Email。而OpenClaw 支持 50 多个，包括 iMessage、微信、Teams、Line、Matrix 等。如果你的工作场景里有这些平台，Hermes 现在还接不上。最后 Hermes 的 Skill 自动生成机制理论上很美，但有真实用户反馈：Agent 的自我评估不一定准确，有时候会把一个实际上有问题的解法标记成好的，然后下次继续复用。自我进化的前提是自我评估足够可靠，而这是个很难的问题，Hermes 还没完全解决。还有一个让习惯掌控工具的人会不舒服的地方：当 Agent 自动更新 Skill 库时，如果你曾经手动编辑过某个 Skill，下次它可能把你的修改覆盖掉。你不一定能知道它在后台改了什么。所以如果你需要广泛的平台覆盖，需要大量现成的第三方集成，需要成熟的社区支持——OpenClaw 今天仍然是更实际的选择，前提是认真做安全配置，认真审计每一个装进去的 Skill。五、两个工具，两种选法，也可以叠加实际面对选择的时候，我觉得可以这样选：如果你的场景是多平台覆盖、团队协作、需要大量现成集成，OpenClaw 更合适。它今天的生态就是更成熟，但要把安全当作第一件事来配置。如果你的场景是个人工作流、重复性任务多、希望 Agent 越用越懂你，Hermes 更合适。它需要你接受生态还不成熟、自己可能踩坑的代价，但换来的是一个真正会积累、会成长的工作伙伴。在 Reddit 社区里，有一个越来越多人采用的方案：两个都装。OpenClaw 做多平台编排和任务调度，Hermes 做深度执行和经验积累。一个负责广度，一个负责深度。让两种哲学各司其职。六、我真正想说的是这件事"能力先行"和"积累先行"，是两种不同的产品观，也是两种不同的 AI 使用哲学。OpenClaw 代表的那种思路，在 AI 行业里是主流：先把能力堆出来，先让用户能做很多事，安全和边界的问题之后再说，或者交给用户自己判断。这种思路的好处是迭代快、生态繁荣，代价是早期用户承担了探索风险。Hermes 代表的思路，是先想清楚这个工具和人之间的关系是什么，然后在这个关系里给能力。它的成长慢，但方向上更接近一个 Agent 长期运转应该有的样子。我关心这个问题，不是因为哪个更好。而是因为 Agent 和以前的 AI 工具有本质的不同。ChatGPT 说错了，你关掉重来。但一个一直在替你做事、一直在积累你的数据和偏好的 Agent，一旦方向偏了，代价可能是你几个月后才意识到，它一直在用一个有偏差的方式帮你做决策。OpenClaw 的安全事件我们的警戒：当 AI 真正开始"做事"的时候，我们没想清楚的那些问题，不会消失，只会以更高的代价冒出来。这才是 Hermes 的设计哲学值得认真对待的原因：不仅因为它今天更强，并且它在问一个更重要的问题：这个 Agent，在跟你一起工作的过程里，到底在积累什么？
夜雨聆风
