工信部的专家这次提醒党政机关、企事业单位还有咱们老百姓，用“龙虾”这类AI智能体得小心点儿，发现问题赶紧给网络安全威胁和漏洞信息共享平台报信。最近开源AI智能体“龙虾”特别火，国内产业界和普通用户都在抢着用它，大伙都挺上心，可大家对它的安全也很操心。之前咱们国家的互联网工业和信息化部那个平台也发过预警，提醒大家注意。 记者问中国信息通信研究院副院长魏亮：“大家伙儿都在琢磨工信部的那个安全风险提示，‘龙虾’更新到最新版了，是不是就没事了？”魏亮解释说：“‘龙虾’其实就是开源AI智能体OpenClaw的一个昵称，因为它图标是红龙虾所以叫这名字。它能把通信软件和大语言模型整合起来，在本地电脑上自动处理文件、收发邮件、处理数据这类复杂活儿。这东西出来后确实让AI智能体生态更热闹了，但你也得知道，它这么能干也给咱们的安全带来了不少难题。” 工业和信息化部那个平台刚发了预警提示，指出存在的风险还给出了防着的招儿。现在“龙虾”迭代快，更新到最新版确实能修补已知的漏洞，“但不代表就没风险了”。魏亮强调：“它是本地运行的代理程序，有权限自己决策、调用系统资源，信任边界不清晰加上技能包市场审核不严，问题不少。比如大模型可能误解你的指令把文件删了；或者装了带恶意代码的技能包泄露数据或者被黑客控制；再比如把实例直接暴露在互联网上、用管理员权限、明码存密钥这些配置问题。” 哪怕你升了级也不保险，“网络安全这事儿是动态的，黑客手段一直在变。别觉得打个补丁、升个版本就万事大吉了”。“我们呼吁党政机关、企事业单位和个人用户用‘龙虾’这些智能体得谨慎。一旦发现漏洞或者攻击的事，马上给工信部那个平台报上去。” 至于怎么用才安全？“最小权限、主动防御、持续审计”这几条是必须坚持的。结合之前的提示魏亮提了几点具体建议：第一，一定要用官方最新版本。“部署时从官方下最新的稳定版，开着自动更新提醒。升级前备份数据，升级后重启验证补丁有没有生效。”千万别用第三方镜像或者老版本。第二，“千万别把实例暴露到公网上。”如果非要用互联网访问就走SSH或者VPN，“限制访问源地址”，“用强密码或者证书、硬件密钥来认证”。定期自己查查有没有露在外面的情况，“有就赶紧下线整改”。第三，“部署时严禁用管理员权限的账号。”只给必需的权限，“对删文件、发数据、改系统配置这种操作要二次确认或人工审批。”“最好放在容器或者虚拟机里隔离运行。”第四，“对ClawHub这个技能市场要小心。”那个平台上的技能包有毒的风险挺大，“下载前得先查代码”，“拒绝那些让你下载ZIP、执行shell脚本或者输入密码的技能包。”第五，“防范社会工程学攻击和浏览器劫持”。别随便点来路不明的网站链接，“可以用浏览器沙箱、网页过滤器挡住可疑脚本”，“启用OpenClaw的速率限制和日志审计”。第六，“建立长效防护机制。”打开详细日志审计功能，“定期检查修补漏洞”。“可以结合安全工具、杀毒软件实时防护。” “最后再唠叨一句”，魏亮说：“用户用‘龙虾’这种AI智能体时，‘安全底线’一定要自己牢牢把握住”，“详细了解落实安全配置要求”，“养成安全使用习惯”。“我们会持续监测安全情况”，“发现问题及时预警”，“给大家提供技术支持。”