關(guān)于防范OpenClaw（“龍蝦”）AI智能體安全風險的緊急提醒
發(fā)布時間： 點擊數(shù)：
公司全體職工：
近期，一款名為OpenClaw（因圖標酷似龍蝦而被廣泛稱為“龍蝦”）的開源AI智能體框架在網(wǎng)絡上迅速走紅。該工具能夠自主執(zhí)行電腦操作、處理辦公任務，吸引了大量用戶嘗試。國內(nèi)主流云平臺均提供了一鍵部署服務，然而，根據(jù)工業(yè)和信息化部網(wǎng)絡安全威脅和漏洞信息共享平臺監(jiān)測，以及國家互聯(lián)網(wǎng)應急中心發(fā)布關(guān)于OpenClaw安全應用的風險提示，此款智能體軟件依據(jù)自然語言指令直接操控計算機完成相關(guān)操作。為實現(xiàn)“自主執(zhí)行任務”的能力，該應用被授予了較高的系統(tǒng)權(quán)限，包括訪問本地文件系統(tǒng)、讀取環(huán)境變量、調(diào)用外部服務應用程序編程接口（API）以及安裝擴展功能等。然而，由于其默認的安全配置極為脆弱，攻擊者一旦發(fā)現(xiàn)突破口，便能輕易獲取系統(tǒng)的完全控制權(quán)，存在極高的安全風險，極易引發(fā)網(wǎng)絡攻擊、數(shù)據(jù)泄露、系統(tǒng)受控等嚴重網(wǎng)絡安全事件。
為保障公司網(wǎng)絡與信息安全，守護職工個人信息及集團公司重要數(shù)據(jù)，現(xiàn)就相關(guān)風險及防范要求提醒如下：
一、已經(jīng)出現(xiàn)的安全風險
前期，由于OpenClaw智能體的不當安裝和使用，已經(jīng)出現(xiàn)了一些嚴重的安全風險：
1.“提示詞注入”風險。網(wǎng)絡攻擊者通過在網(wǎng)頁中構(gòu)造隱藏的惡意指令，誘導OpenClaw讀取該網(wǎng)頁，就可能導致其被誘導將用戶系統(tǒng)密鑰泄露。
2. “誤操作”風險。由于錯誤地理解用戶操作指令和意圖，OpenClaw可能會將電子郵件、核心生產(chǎn)數(shù)據(jù)等重要信息徹底刪除。
3.功能插件（skills）投毒風險。多個適用于OpenClaw的功能插件已被確認為惡意插件或存在潛在的安全風險，安裝后可執(zhí)行竊取密鑰、部署木馬后門軟件等惡意操作，使得設備淪為“肉雞”。
4.安全漏洞風險。截至目前，OpenClaw已經(jīng)公開曝出多個高中危漏洞，一旦這些漏洞被網(wǎng)絡攻擊者惡意利用，則可能導致系統(tǒng)被控、隱私信息和敏感數(shù)據(jù)泄露的嚴重后果。對于個人用戶，可導致隱私數(shù)據(jù)（像照片、文檔、聊天記錄）、支付賬戶、API密鑰等敏感信息遭竊取。對于金融、能源等關(guān)鍵行業(yè)，可導致核心業(yè)務數(shù)據(jù)、商業(yè)機密和代碼倉庫泄露，甚至會使整個業(yè)務系統(tǒng)陷入癱瘓，造成難以估量的損失。
二、主要安全風險
1.隱私泄露風險極高：OpenClaw需獲取電腦高權(quán)限運行，用戶的聊天記錄、賬號密碼、郵件內(nèi)容、文件數(shù)據(jù)等均以明文形式存儲在本地，若配置不當或被黑客利用，敏感信息可能瞬間被竊取。
2.自主執(zhí)行易失控：該工具存在意圖誤解、指令不精準等問題，曾出現(xiàn)無視用戶限制、批量刪除郵件、誤刪重要文件等失控案例，安全審計通過率極低。
3.權(quán)限管理存在漏洞：OpenClaw信任邊界模糊，缺乏有效權(quán)限控制和審計機制，易被惡意誘導或接管，導致電腦系統(tǒng)被遠程控制。
4.技術(shù)門檻與風險不匹配：該工具本質(zhì)是面向開發(fā)者的底層框架，普通用戶若通過非官方渠道“代裝”，極易因不懂配置而放大安全風險，甚至遭遇“智商稅”騙局。
三、防范要求
1.切勿盲目跟風安裝：請全體職工理性看待新興AI工具，切勿因好奇或跟風在公司辦公電腦設備上安裝、運行OpenClaw及其衍生版本、插件或腳本。
2.嚴禁在處理敏感數(shù)據(jù)時使用：任何涉及職工個人信息、公司生產(chǎn)經(jīng)營數(shù)據(jù)信息、行政辦公信息的任何場景中，一律禁止使用OpenClaw，嚴防數(shù)據(jù)泄露。
四、法律責任與監(jiān)督
根據(jù)《網(wǎng)絡安全法》《數(shù)據(jù)安全法》等相關(guān)法律法規(guī)，網(wǎng)絡運營者及個人均有義務保護信息安全。尤其需要警惕的是，凡是在存儲有職工個人信息、公司生產(chǎn)經(jīng)營數(shù)據(jù)等重要信息的電腦上違規(guī)使用該軟件，將極大增加敏感數(shù)據(jù)泄露的風險。如因違規(guī)安裝或使用OpenClaw引發(fā)網(wǎng)絡安全事件，導致數(shù)據(jù)泄露或系統(tǒng)損壞，給公司或職工數(shù)據(jù)信息安全造成損害的，公司將依法依規(guī)嚴肅追究相關(guān)人員責任，情節(jié)嚴重者還將承擔相應法律責任。
網(wǎng)絡安全無小事，防范風險靠大家。請廣大職工切實提高安全意識，不隨意給陌生軟件授予高權(quán)限，不輕易在非官方平臺下載軟件，共同維護公司網(wǎng)絡與信息安全。
調(diào)度中心
2026年3月13日
上一篇：無
