为了给大家一个安心的数字生活环境，工信部针对“龙虾”这种智能应用在六个方面提出了“六要六不要”的建议。ClawHub上的资料显示，这次建议的背景是工业和信息化部的网络安全威胁和漏洞信息共享平台NVDB找来了智能体的提供商、漏洞收集平台的运营方还有网络安全公司一起做的研究。接下来我就给大家详细讲讲这六个需要注意的地方。 先说一下“龙虾”可能出问题的典型场景。第一是企业里的智能办公场景。这类系统通常是在企业内部部署“龙虾”，让它跟已有的管理系统连起来，用来做数据分析、文档处理这些事。风险主要在于引入了有问题的插件或“技能包”，容易引发供应链攻击；还有就是风险在内网扩散，让已对接的系统、数据库里的敏感信息泄露。所以建议给这类系统单独划个网段，不能跟关键的生产环境放在一起运行；另外，部署前要好好做安全测试，部署时只给必要的最小权限，不要随意跨网段、跨设备、跨系统访问；最后要留好操作日志，满足审计要求。 第二个场景是开发运维这块。大家平时在代码编写、设备巡检或者系统监控时可能会用到“龙虾”。它把自然语言变成指令来用。这里的风险在于非授权执行系统命令，设备可能被控制；还有账号、端口这些信息容易被盯上，甚至网络拓扑和API接口也会泄露。解决办法就是别在生产环境直接用，最好先在虚拟机或沙箱里试试；同样要给最小权限，别给管理员权限；还要把高危命令列成黑名单，重要操作让人审一下。 第三个场景是个人用助手。通过即时通讯软件远程接入家里部署的“龙虾”，帮着整理个人信息、处理日常事务。风险主要是权限太大导致恶意操作；或者连上了互联网被黑客入侵；或者因为提示词设置不当被劫持。防护措施就是权限只给必要的目录，加密通信避免不必要的互联网访问；禁止高危操作指令或者增加确认步骤；密钥这些敏感信息要加密存储。 第四个场景是金融交易。企业或个人可能会调用金融相关的API接口来做自动化交易和风险控制。这里最怕的是记忆投毒导致交易出错、身份被绕过账户被接管；还有插件里可能藏着恶意代码偷走交易凭证；或者因为没有熔断机制导致智能体失控疯狂下单。对策就是网络隔离和最小权限管理；建立人工复核和熔断机制；加强供应链审核用官方组件；还要做全链路审计。 说完了这些场景，再说说具体该怎么用。一是要从官方渠道下载最新稳定版，开启自动更新提醒；升级前备份数据，升级后重启验证补丁是否生效。千万别用第三方镜像或旧版本。二是定期检查有没有暴露到互联网上的情况，一旦发现立马整改下线。除非必须对外暴露，不然千万别这么干；确实要用的话可以用SSH这种加密通道访问，限制来源地址用强密码或证书认证。三是坚持最小权限原则：只给完成任务必需的权限；对删除文件、发送数据这种重要操作要二次确认或人工审批；最好在容器或虚拟机里隔离运行。四是谨慎使用技能市场：下载ClawHub上的“技能包”前先审查代码；千万别点那种要求下载ZIP文件、执行shell脚本或者输入密码的包。五是防社会工程学攻击和浏览器劫持：用浏览器沙箱和网页过滤器阻止可疑脚本；启用日志审计遇到可疑行为立马断网重置密码；别去看不明来历的网站点奇怪链接或读不可信文档。六是建立长效机制：定期检查修补漏洞关注OpenClaw官方公告和工信部NVDB漏洞库的预警；党政机关企事业单位和个人可以结合网络安全工具和主流杀毒软件实时防护；千万别禁用详细的日志审计功能。 这些建议的信息来源就是工业和信息化部的网络安全威胁和漏洞信息共享平台NVDB。