近期，一款名为OpenClaw的开源AI智能体因图标形似红色龙虾，被用户亲切地称为“龙虾”，在网络上引发广泛关注。这款工具通过整合通信软件与大语言模型，能够在用户设备上自主完成文件管理、邮件处理、数据分析等复杂任务，其自主决策和资源调用能力吸引了众多用户。然而，中国信息通信研究院专家近日发出警示，尽管“龙虾”已更新至最新版本并修复了部分已知漏洞，但其安全风险并未完全消除。
专家指出，“龙虾”的自主特性与模糊的信任边界，叠加技能包市场审核机制缺失的现状，使其面临多重安全隐患。网络安全领域具有动态性，黑客攻击手段持续升级，单纯依赖版本更新或补丁修复难以形成长期有效的防护。此前，工业和信息化部网络安全威胁和漏洞信息共享平台已针对该工具发布过风险提示，提醒用户保持警惕。
针对安全使用问题，专家提出“最小权限、主动防御、持续审计”三大核心原则，并给出具体操作建议：用户应通过官方渠道获取最新稳定版本，开启自动更新提醒，并在升级前备份数据、验证补丁效果；部署时需避免将实例暴露于公网，采用强密码、硬件密钥等认证方式，同时限制访问源地址；权限分配应遵循“最小化”原则，仅授予任务必需权限，并对敏感操作设置二次确认或人工审批流程。
技能包市场是另一大风险点。作为“龙虾”用户专属社区平台，ClawHub中的技能包可能存在恶意代码注入风险。专家建议用户审慎下载，安装前审查代码逻辑，拒绝任何要求执行脚本、输入密码或下载压缩包的技能包。用户需防范社会工程学攻击，避免点击可疑链接、访问不明网站，并启用网页过滤器、速率限制等功能，遇到异常行为立即重置密码并断开网络连接。
为构建长效防护机制，用户应启用详细日志审计功能，定期检查系统漏洞，结合杀毒软件与网络安全工具进行实时监控。同时，需持续关注OpenClaw官方安全公告及工业和信息化部漏洞库预警信息，及时响应潜在风险。专家强调，安全使用AI智能体不仅依赖技术更新，更需用户主动落实配置规范，培养良好的操作习惯。
