最近，OpenClaw的创始人Peter给360安全云团队发了封邮件，信里直接确认了360独家发现的那个Gateway的WebSocket无认证升级漏洞。对于360来说，拿到这个确认，就像给全行业的“养虾人”加固了安全防线。其实早在几天前，360就把这个高危漏洞给国家信息安全漏洞共享平台（CNVD）送去了，好让全网快点切断风险源头。 这次的WebSocket漏洞属于零日（0Day），要是有黑客想用它，根本不需要权限认证，直接通过WebSocket就能悄无声息地拿到智能体网关的控制权。这么一来，可能会把目标系统的资源吃光，甚至直接搞崩溃。这事儿也给大伙儿提了个醒：智能体现在不光是个聊天的工具，它变成了干活的“执行系统”，安全风险早就从模型层跑到接口层、技能调用链和系统权限层去了。 大家在公网上暴露接口、恶意Skill投毒、提示词注入，还有行为没人管这些事儿，都成了大家在“养虾”过程中遇到的通病。就像周鸿祎以前说的那样，智能体时代得用“模治模”，得用安全能力管住智能体的一举一动。为了把这些风险给堵住，360定下了“用AI监督AI、以Skill治理Skill”的策略。他们推出了“360安全云·龙虾保”，专门帮企业和开发者查隐患。对个人用户来说，“360安全龙虾”加上“360龙虾卫士”这一套，通过隔离环境和严格的权限控制，能大大降低本地用智能体的不确定性。 行内人士说，这次漏洞能拿到原作者的确认信，说明国内安全团队已经能在智能体执行的最核心那一层发现风险了。这对现在这快速发展的智能体生态来说，是个很重要的安全参考。360那边也说了，以后还会接着盯着OpenClaw的漏洞挖掘和修复，搞实战化的防御。