最近OpenClaw这款俗称“龙虾”的开源AI智能体特别火，2月5日中国信息通信研究院就给大伙儿提了个醒，虽然它已经更新到了最新版，能修好那些已知的安全漏洞，但并不代表就能彻底把风险给消了。以前工业和信息化部的网络安全威胁和漏洞信息共享平台就出过预警，让大家提防它。这东西就是因为图标像只红色龙虾才叫这个名的，它能把通信软件和大语言模型整合起来，在电脑上自己动手处理文件、发邮件或者搞数据处理这类复杂活儿。专家说，这玩意儿一出就吸引了很多产业界人士和用户来用，推动了国内AI智能体生态的发展，不过大家也得留个心眼，因为它太能干也给咱们带来了不少安全难题。那平台当时还专门发了个通知，说这东西有不少坑。“龙虾”虽说更新了版本能修补问题，但光靠升级肯定不够。它能自己做决定、动用系统资源，再加上信任边界不明确、技能包里的东西审核不严，风险隐患其实不少。比如用大语言模型的时候可能误解你的指令，干出删掉重要文件这种事；要是下载了带恶意代码的技能包，可能把数据泄露出去或者让电脑被人家控制了。因为把实例放在公网上、用管理员权限登录、把密钥明文存着这些配置不对头的毛病，哪怕升了级要是没做好防护措施，还是会被人盯上的。网络安全这东西是动态变化的，黑客那套手段也在变着花样来搞破坏，光想着打个补丁升个版本想一劳永逸是不可能的。专家建议不管是单位还是个人都得小心用“龙虾”这类智能体。如果发现有什么漏洞或者遭到了攻击，最好第一时间把情况报给工业和信息化部那个平台去处置。使用任何网络产品不光要及时更新版本，还得把“最小权限”、“主动防御”、“持续审计”这三条原则给守好。专家特意提了以下六点建议来保证安全使用： 第一，先去官方那里下最新的稳定版。部署的时候别用第三方的镜像或者旧版本，打开自动更新提醒，升级前记得备份数据。装完了重启一下服务，看看补丁有没有真起作用。 第二，别让这东西随便暴露在公网上。限制一下能访问它的源地址，用强密码或者证书、硬件密钥之类的方式来认证身份。 第三，权限给够就行。千万别用管理员账号来干活，只给那些干任务必需的最小权限就行。对于删文件、发数据、改系统配置这些大事得进行二次确认或者得人亲自过目审核一下。 第四，买技能包得小心点。ClawHub是个专门给“龙虾”提供技能包的社区平台，里头有些可能有病毒风险。别盲目下载那些要求“下载zip文件”、“执行shell脚本”或者让你输入密码的技能包。 第五，防范人家骗你和浏览器被劫持。别随便点来路不明的链接和网站。可以装个网页过滤器挡住可疑脚本，把“龙虾”的速度限制和日志审计功能都打开遇到不对头的行为马上断开网关并把密码改了。 第六，建立一套长期的防护机制。详细日志得开着定期检查漏洞补一下党政机关还有企事业单位和个人都可以结合主流杀毒软件一起搞实时防护要常看看官方发布的安全公告还有那个漏洞平台的预警信息好及时处理可能有的风险隐患。 大家伙儿在玩“龙虾”这些AI智能体的时候得把安全配置要求给吃透了把安全用的习惯养起来才行。