關于防范OpenClaw（“龍蝦”）AI智能體安全風險的緊急提醒
發(fā)布時間： 點擊數：
公司全體職工：
近期，一款名為OpenClaw（因圖標酷似龍蝦而被廣泛稱為“龍蝦”）的開源AI智能體框架在網絡上迅速走紅。該工具能夠自主執(zhí)行電腦操作、處理辦公任務，吸引了大量用戶嘗試。國內主流云平臺均提供了一鍵部署服務，然而，根據工業(yè)和信息化部網絡安全威脅和漏洞信息共享平臺監(jiān)測，以及國家互聯網應急中心發(fā)布關于OpenClaw安全應用的風險提示，此款智能體軟件依據自然語言指令直接操控計算機完成相關操作。為實現“自主執(zhí)行任務”的能力，該應用被授予了較高的系統(tǒng)權限，包括訪問本地文件系統(tǒng)、讀取環(huán)境變量、調用外部服務應用程序編程接口（API）以及安裝擴展功能等。然而，由于其默認的安全配置極為脆弱，攻擊者一旦發(fā)現突破口，便能輕易獲取系統(tǒng)的完全控制權，存在極高的安全風險，極易引發(fā)網絡攻擊、數據泄露、系統(tǒng)受控等嚴重網絡安全事件。
為保障公司網絡與信息安全，守護職工個人信息及集團公司重要數據，現就相關風險及防范要求提醒如下：
一、已經出現的安全風險
前期，由于OpenClaw智能體的不當安裝和使用，已經出現了一些嚴重的安全風險：
1.“提示詞注入”風險。網絡攻擊者通過在網頁中構造隱藏的惡意指令，誘導OpenClaw讀取該網頁，就可能導致其被誘導將用戶系統(tǒng)密鑰泄露。
2. “誤操作”風險。由于錯誤地理解用戶操作指令和意圖，OpenClaw可能會將電子郵件、核心生產數據等重要信息徹底刪除。
3.功能插件（skills）投毒風險。多個適用于OpenClaw的功能插件已被確認為惡意插件或存在潛在的安全風險，安裝后可執(zhí)行竊取密鑰、部署木馬后門軟件等惡意操作，使得設備淪為“肉雞”。
4.安全漏洞風險。截至目前，OpenClaw已經公開曝出多個高中危漏洞，一旦這些漏洞被網絡攻擊者惡意利用，則可能導致系統(tǒng)被控、隱私信息和敏感數據泄露的嚴重后果。對于個人用戶，可導致隱私數據（像照片、文檔、聊天記錄）、支付賬戶、API密鑰等敏感信息遭竊取。對于金融、能源等關鍵行業(yè)，可導致核心業(yè)務數據、商業(yè)機密和代碼倉庫泄露，甚至會使整個業(yè)務系統(tǒng)陷入癱瘓，造成難以估量的損失。
二、主要安全風險
1.隱私泄露風險極高：OpenClaw需獲取電腦高權限運行，用戶的聊天記錄、賬號密碼、郵件內容、文件數據等均以明文形式存儲在本地，若配置不當或被黑客利用，敏感信息可能瞬間被竊取。
2.自主執(zhí)行易失控：該工具存在意圖誤解、指令不精準等問題，曾出現無視用戶限制、批量刪除郵件、誤刪重要文件等失控案例，安全審計通過率極低。
3.權限管理存在漏洞：OpenClaw信任邊界模糊，缺乏有效權限控制和審計機制，易被惡意誘導或接管，導致電腦系統(tǒng)被遠程控制。
4.技術門檻與風險不匹配：該工具本質是面向開發(fā)者的底層框架，普通用戶若通過非官方渠道“代裝”，極易因不懂配置而放大安全風險，甚至遭遇“智商稅”騙局。
三、防范要求
1.切勿盲目跟風安裝：請全體職工理性看待新興AI工具，切勿因好奇或跟風在公司辦公電腦設備上安裝、運行OpenClaw及其衍生版本、插件或腳本。
2.嚴禁在處理敏感數據時使用：任何涉及職工個人信息、公司生產經營數據信息、行政辦公信息的任何場景中，一律禁止使用OpenClaw，嚴防數據泄露。
四、法律責任與監(jiān)督
根據《網絡安全法》《數據安全法》等相關法律法規(guī)，網絡運營者及個人均有義務保護信息安全。尤其需要警惕的是，凡是在存儲有職工個人信息、公司生產經營數據等重要信息的電腦上違規(guī)使用該軟件，將極大增加敏感數據泄露的風險。如因違規(guī)安裝或使用OpenClaw引發(fā)網絡安全事件，導致數據泄露或系統(tǒng)損壞，給公司或職工數據信息安全造成損害的，公司將依法依規(guī)嚴肅追究相關人員責任，情節(jié)嚴重者還將承擔相應法律責任。
網絡安全無小事，防范風險靠大家。請廣大職工切實提高安全意識，不隨意給陌生軟件授予高權限，不輕易在非官方平臺下載軟件，共同維護公司網絡與信息安全。
調度中心
2026年3月13日
上一篇：無
