朋友们，最近有个叫OpenClaw的AI智能体特别火，好多人给它起了个外号叫“龙虾”。2月5日，中国信息通信研究院专家给我们提了个醒，虽说“龙虾”已经更新到了最新版本，把以前知道的那些安全漏洞补上了，但这并不代表就能高枕无忧了。大家记得不，工业和信息化部那个网络安全平台早就发过预警，说了一堆危险。 这个“龙虾”图标看着挺红火，它把通信软件和大语言模型串到了一起，能自己动手在咱们电脑上管理文件、收发邮件、处理数据，挺能干的。有专家说了，“龙虾”出来后，咱们国家的产业界和老百姓都挺捧场，推动了AI智能体的发展。不过呢，这东西能力大了，带来的安全问题也大了。 为啥这么说？因为“龙虾”自己能做决定，还能调用系统资源，再加上大家信任它边界不明显，还有它那个技能市场审核不严的问题。比如说，它可能会误解咱们的指令内容，干出删除文件这种坏事儿。还有那些技能包，要是里面藏着恶意代码，数据泄露或者系统被人家控制就麻烦了。 另外啊，要是把这个实例放到了公网上用管理员权限跑起来，或者把密钥直接明文存着这些问题不解决的话，就算你升级到了最新版本也还是会被黑客盯上。网络安全这事儿是动态变化的，黑客的招数也一直在变。所以“打补丁”、“升版本”可不能当成是一劳永逸的办法。 所以大家在用“龙虾”这类智能体的时候可得长点心。万一发现了漏洞或者遇到了攻击事件，赶紧告诉工业和信息化部那个网络安全平台。平台那边会按规定及时处理的。 除了及时升级更新外，咱们得坚持“最小权限、主动防御、持续审计”这几个原则才行。专家给了咱们几点具体的建议： 第一点是用官方最新版本。下载的时候一定要从官方渠道拿最新稳定版的，还得把自动更新提醒给开上。升级前记得备份数据，升级完了重启服务看看补丁有没有生效。千万别用第三方的镜像或者旧版。 第二点是把暴露在公网上的东西给管住。千万别把“龙虾”的实例直接暴露在互联网上访问源地址限制一下用强密码或者证书认证。 第三点是遵循最小权限原则。部署的时候绝对不能用管理员权限的账号，只给它完成任务必须的那点权限就行重要操作像删除文件、发送数据这些都要二次确认或者人工审批一下。 第四点是对技能市场小心点。ClawHub是专门给“龙虾”用户提供技能包的平台里面的东西存在恶意投毒的风险最好先审查一下代码遇到要求“下载zip”、“执行shell脚本”或者“输入密码”的技能包都不要下。 第五点要防范社会工程学攻击和浏览器劫持。不要乱点来路不明的网站链接建议用网页过滤器扩展阻止可疑脚本启用OpenClaw的速率限制和日志审计功能遇到可疑行为马上断开网关重置密码。 第六点是建立长效防护机制启用详细日志审计功能定期检查修补漏洞大家可以结合网络安全工具杀毒软件实时防护多看看OpenClaw官方公告和工业和信息化部那个平台的漏洞库预警及时处理风险。 最后提醒大家在使用“龙虾”等AI智能体的时候一定要把安全配置规范落实到位养成安全使用的好习惯。