事关“龙虾”这样的智能体，工信部那边最近有专家出来喊话，说党政机关、企业还有普通老百姓都得谨慎用它。最近开源的AI智能体“龙虾”火得一塌糊涂，不光国内业界关注，大家自己也在瞎折腾。不过网上关于它安全的讨论也挺多，之前工信部的漏洞共享平台也专门发过提醒。那这“养龙虾”到底安不安全？个人用户得注意啥？咱们找来中国信息通信研究院的副院长魏亮聊了聊。 记者问：大家都盯着工信部之前那则风险提示呢，这玩意儿要是更新到了最新版，是不是就没事了？魏亮说：“龙虾”其实就是OpenClaw的外号，图标是红龙虾才这么叫的。它能把通信软件和大语言模型凑一块儿，在用户自己的电脑上干活，管文件、发邮件、处理数据这些事儿。这东西一出来，挺多产业界和普通用户都在用，把咱们国产AI智能体的生态给带得挺热闹。 不过它厉害归厉害，也把安全风险带出来了。最近工信部平台也发了个预警提示，针对风险给了几条建议。虽说更新到最新版本能把已知的漏洞补上，但这并不代表就万事大吉了。毕竟它是在本地运行的AI代理，能自己做决定还能调用系统资源，加上信任边界模糊、技能包市场把关不严，问题还是挺多的。 比如它可能会误会你的命令干坏事，或者下了个带毒的技能包导致数据泄露系统被接管。你要是把实例直接暴露在网上、用管理员权限、随便放个密钥明文存着这些问题不整改，哪怕升级了也还是会被攻击的。网络安全是个动态的事儿，黑客的招数也在变，“打补丁”这种做法肯定不能一劳永逸。 我们得呼吁大家都悠着点用“龙虾”。一旦发现安全漏洞或者攻击事件，赶紧向工信部的漏洞平台上报，他们会马上处理。 记者又问：用这玩意儿的时候得注意啥才能安全？魏亮说这个问题很关键。除了及时升级更新，还得坚持最小权限、主动防御还有持续审计这些原则。结合前面的提示建议这么干。 第一，一定要用官方最新版。下载的时候从官方渠道拿稳定版，开个自动提醒。升级前先备份数据，重启服务看看补丁有没有用着。别用第三方镜像或者旧版。 第二，千万别把实例暴露在公网上。真要联网访问的话就走SSH或者VPN的通道，限制谁能访问的IP地址。别用简单密码了，最好用证书或者硬件密钥来认证。 第三，必须搞最小权限原则。部署的时候别用管理员账号干杂活，只给必须的最小权限就行。涉及删除文件、发送数据这些大事儿得二次确认或者人工审批。 第四，选技能包的时候可得长点心眼儿。ClawHub是给“龙虾”用户提供技能包的社区平台，但里面有不少恶意的软件包。下载前先审查代码脚本，坚决不碰让你下载ZIP、执行shell脚本或者输密码的东西。 第五，得防着点社会工程学攻击还有浏览器劫持的情况。别乱点来历不明的网站链接也别点陌生网页上的东西。装个浏览器沙箱、过滤器之类的扩展来拦住可疑脚本。 第六，要建立长效防护机制。把详细日志审计开起来定期查漏洞。单位或者个人还可以把杀毒软件、网络防护工具都用上做实时防护。 最后再提醒一遍大家用“龙虾”的时候一定要把安全底线给抓住自己手里详细了解配置要求养成好习惯。我们也会一直盯着这事儿呢发现风险会及时预警给大家提供技术支持。