夜雨聆风
OpenClaw（俗称“龙虾”）作为一款开源AI智能体应用，虽具备强大的自主执行能力，但存在以下主要安全风险：
一、提示词注入风险
攻击者可通过在网页、文档中植入隐藏的恶意指令，诱导OpenClaw读取并执行，从而窃取系统密钥或执行高危操作，导致设备被远程控制。
二、误操作风险
受AI模型“幻觉”影响，OpenClaw可能错误理解用户指令，误删重要数据（如教学科研数据、个人文件）、误改文件或丢失信息，此类操作往往难以恢复。
三、第三方插件风险
插件市场（ClawHub）中存在大量第三方技能包，部分可能被植入恶意代码，安装后可能窃取设备密钥、部署木马后门，导致设备沦为“肉鸡”或被远程控制。
四、高权限越权风险
OpenClaw默认运行权限较高，可访问设备内所有文件、执行系统操作。若缺乏权限控制，易被诱导执行越权操作，甚至在用户不知情时安装恶意程序。
五、端口暴露风险
若将OpenClaw默认管理端口暴露在公网，或设备接入内网，可能成为攻击入口，黑客可通过漏洞攻击获取设备控制权，甚至攻击整个内网。
六、数据泄露风险
若在环境变量中明文存储密钥、API等敏感信息，或未在加密环境中处理、存储个人隐私和工作敏感数据，可能导致数据泄露。
七、应用建议
1、若非必要，避免在存储重要数据的设备上安装OpenClaw。
2、若需使用，应单独准备无重要数据的专用设备，做好网络隔离、权限控制、插件审核，并定期更新补丁、监控操作日志。