近期，一款名为OpenClaw的开源AI智能体因图标设计为红色龙虾形象，被用户亲切称为“龙虾”，在技术圈引发广泛关注。这款工具通过整合通信软件与大语言模型，可在用户终端自主完成文件管理、邮件处理、数据分析等复杂任务，其自主决策与系统资源调用能力备受认可。然而，中国网络安全研究机构近日发布警示，指出该工具存在多重安全风险，需谨慎使用。
据技术分析，“龙虾”智能体的风险主要源于三大特性：其一，自主决策机制导致信任边界模糊，用户难以完全掌控其行为轨迹；其二，配套技能包市场缺乏严格审核流程，恶意代码植入风险突出；其三，系统权限管理存在漏洞，可能被利用进行越权操作。尽管开发者已通过版本更新修复部分已知漏洞，但网络安全专家强调，黑客攻击手段持续进化，单纯依赖补丁更新无法构建持久防护体系。
针对安全防护，专家提出六项核心建议：在软件部署环节，必须通过官方渠道获取最新稳定版本，启用自动更新功能并验证补丁有效性，严禁使用非官方镜像或旧版本；网络配置方面，需严格限制公网暴露，采用强密码认证与硬件密钥双重防护，同时控制访问源IP范围；权限管理应遵循最小化原则，禁止使用管理员账户运行，对文件删除、数据外发等敏感操作设置二次确认机制。
技能包使用安全成为关注焦点。作为“龙虾”生态的核心社区平台，ClawHub提供的第三方技能包存在代码污染风险。安全团队建议用户安装前进行代码审查，拒绝执行需要下载压缩包、运行脚本或输入密码的异常请求。对于浏览器劫持与社会工程学攻击，专家推荐启用网页过滤器阻断可疑脚本，配置操作速率限制，并建立异常行为监测机制，发现可疑活动立即切断网络并重置凭证。
长效防护机制构建被视为关键。用户应开启详细日志审计功能，定期进行漏洞扫描与修复，结合专业安全软件形成多层防护。同时需持续关注官方安全公告与工信部漏洞共享平台动态，及时调整防护策略。网络安全研究机构特别提醒，党政机关及企事业单位在部署此类智能工具时，应建立更严格的安全审查流程，防范数据泄露与系统入侵风险。
随着AI工具在办公场景的普及，安全配置规范的重要性日益凸显。专家呼吁用户摒弃“重功能轻安全”的思维定式，在享受技术便利的同时，严格执行权限管控、数据备份与异常监测等基础安全措施，共同维护数字化工作环境的安全稳定。
