使用“龙虾”等智能体需谨慎！这六项安全提醒请务必了解

近期，名为OpenClaw的开源AI智能体（因其图标为红色龙虾，被大家称为“龙虾”）备受关注。中国信息通信研究院专家于10日再次发出提示：尽管“龙虾”智能体已更新至最新版本，修复了已知安全漏洞，但这并不代表安全风险已完全消除。此前，工业和信息化部网络安全威胁和漏洞信息共享平台就已发布过相关安全风险提示。

开源AI智能体工具OpenClaw，因图标是一只红色龙虾，被用户亲切地称为“龙虾”。它通过整合调用通信软件与大语言模型，能在用户电脑上自主完成文件管理、邮件收发、数据处理等一系列复杂任务。

“龙虾”具备自主决策、调用系统资源等特性，再加上信任边界模糊、技能包市场缺乏严格审核等问题，存在不少安全风险隐患。网络安全形势是动态变化的，黑客的攻击手法也在不断更新迭代，不能将“打补丁”和“版本升级”当作一劳永逸的安全保障手段。

专家呼吁，党政机关、企事业单位以及个人用户都要审慎使用“龙虾”等智能体。若发现“龙虾”等智能体存在安全漏洞，或者遭遇针对它们的安全威胁与攻击事件，可第一时间向工业和信息化部网络安全威胁和漏洞信息共享平台报送，该平台会依据《网络产品安全漏洞管理规定》的要求，及时组织进行处置。

对于任何网络产品的安全使用，除了要及时进行升级更新外，还必须遵循“最小权限、主动防御、持续审计”的原则。专家建议，可从以下几个方面来安全使用“龙虾”智能体：

首先，使用官方最新版本。在部署时，应优先从官方渠道下载最新的稳定版本，并开启自动更新提醒功能。在进行版本升级前，要做好数据备份工作，升级完成后重启服务，并验证补丁是否生效。切记不要使用第三方镜像或者旧版本。

其次，严格控制互联网暴露面。绝对不能将“龙虾”智能体实例暴露在公网上，同时要限制访问源地址，采用强密码、证书或者硬件密钥等认证方式。

第三，坚持最小权限原则。在部署过程中，严禁使用管理员权限的账号，只授予完成任务所必需的最小权限，对于删除文件、发送数据、修改系统配置等重要操作，要进行二次确认或者人工审批。

第四，谨慎使用技能市场。ClawHub是专门为“龙虾”智能体用户提供技能包的社区平台，其中的技能包存在恶意投毒的风险，建议用户审慎下载，并且在安装前仔细审查技能包代码，拒绝任何要求“下载zip”“执行shell脚本”或者“输入密码”的技能包。

第五，防范社会工程学攻击和浏览器劫持。不要随意浏览来历不明的网站，避免点击陌生的网页链接。建议使用网页过滤器等扩展程序来阻止可疑脚本，启用OpenClaw的速率限制和日志审计功能，一旦遇到可疑行为，要立即断开网关并重置密码。

第六，建立长效防护机制。启用详细的日志审计功能，定期检查并修补漏洞，党政机关、企事业单位和个人用户可以结合网络安全防护工具、主流杀毒软件来进行实时防护。同时，要定期关注OpenClaw官方安全公告、工业和信息化部网络安全威胁和漏洞信息共享平台等漏洞库发布的风险预警，及时处置可能存在的安全风险。

用户在使用“龙虾”等AI智能体的过程中，一定要详细了解并落实安全配置规范要求，养成安全使用的习惯。

原标题：《审慎使用“龙虾”等智能体！这六项提醒务必知悉→》

阅读原文