近期，一款名为“龙虾”的开源AI智能体（OpenClaw）在产业界和用户群体中引发广泛关注。这款以红色龙虾为图标的工具凭借其强大的本地任务执行能力，迅速成为热门应用。然而，随着用户规模扩大，其安全风险也引发多方讨论。工业和信息化部网络安全威胁和漏洞信息共享平台此前已发布风险提示，针对如何安全使用该工具成为公众焦点。
中国信息通信研究院副院长魏亮在接受采访时指出，“龙虾”智能体通过整合通信软件与大语言模型，可在用户设备上自主完成文件管理、邮件处理等复杂操作。这种特性虽推动了AI生态发展，但也带来新的安全挑战。他强调，尽管官方持续通过版本更新修复已知漏洞，但因其自主决策、调用系统资源等特性，加之技能包市场审核机制尚不完善，用户仍需警惕多重风险。
具体而言，风险可能源于三个方面：一是大语言模型对指令的误读可能导致误删文件等操作；二是未经审核的技能包可能暗藏恶意代码，引发数据泄露或系统入侵；三是网络配置不当，如暴露实例于公网、使用弱密码或明文存储密钥等，即使更新至最新版本仍可能被攻击。魏亮特别提醒，网络安全环境动态变化，不能依赖单一版本更新作为永久防护。
用户需谨慎对待技能包市场。作为“龙虾”官方社区平台的ClawHub虽提供扩展功能，但部分技能包可能存在恶意代码。建议安装前审查代码逻辑，拒绝任何要求下载压缩包、执行脚本或输入密码的技能包。同时，应防范社会工程学攻击，避免点击不明链接，使用浏览器沙箱隔离可疑脚本，并启用速率限制和日志审计功能。
魏亮进一步强调，建立长效防护机制至关重要。用户应定期检查系统漏洞，结合杀毒软件与网络安全工具进行实时监控，并持续关注官方安全公告及漏洞平台预警信息。他呼吁，党政机关、企事业单位及个人用户均需提高安全意识，将防护措施落实到操作细节中，共同维护网络空间安全。
