大家别再随意用“龙虾”了！这个开源AI智能体最近可火了，国内产业界和用户都在积极应用，同时安全讨论也非常热烈。工业和信息化部网络安全威胁和漏洞信息共享平台还发布过安全风险提示，用户们也都很关注。“龙虾”智能体叫OpenClaw，图标是红色龙虾，能通过整合通信软件和大语言模型，在本地电脑执行文件管理、邮件收发等复杂任务。不过大家也要注意，“龙虾”虽然推动了我国AI智能体生态繁荣，但也带来了安全挑战。 工业和信息化部发布过相关预警提示，把存在的风险给提出来了。现在“龙虾”更新快，更新到最新版本确实能修复已知漏洞，但并不意味着完全安全。“龙虾”是本地运行的AI代理，有自主决策能力，信任边界模糊，技能包市场审核也不严。比如调用大语言模型可能误解指令执行有害操作，使用恶意技能包可能导致数据泄露或系统受控。还有公网暴露、管理员权限等问题。网络安全是动态的，“龙虾”等智能体的安全需要持续关注。 我采访了中国信息通信研究院副院长魏亮，他给大家提了一些建议。要坚持“最小权限、主动防御、持续审计”的原则。第一是使用官方最新版本，一定要从官方渠道下载并开启自动更新提醒。第二是严格控制互联网暴露面，不要把实例暴露到公网，确需访问可以用SSH或VPN限制源地址认证方式。第三是最小权限原则，部署时不要用管理员账号只给必要权限。 第四是谨慎使用ClawHub这个技能包社区平台，不要随便下载技能包要看代码审查技能包内容，拒绝要求下载ZIP、执行shell脚本或输入密码的技能包。第五是防范社会工程学攻击和浏览器劫持等问题要定期检查修补漏洞并关注安全公告及时处置风险。 最后建议大家启用详细日志审计功能定期检查修补漏洞和关注工业和信息化部等平台的风险预警给党政机关、企事业单位和个人用户提供一些帮助让网络更安全保障大家的权益。