---
title: "OpenClaw安全漏洞堪称史上最大，养虾人怎么办？"
id: "20260330A07T3K00"
publicationAccount: "非凡产研"
originalPublishedAt: "2026-03-30T18:09:47+08:00"
canonical: "https://ffcap.cn/research/20260330a07t3k00"
source: "https://view.inews.qq.com/a/20260330A07T3K00"
sourceAccount: "https://news.qq.com/omn/author/21759984"
language: "zh-CN"
tags: ["OpenClaw","工作流","办公协作"]
---

# OpenClaw安全漏洞堪称史上最大，养虾人怎么办？

文章中的“非凡产研”是原始发布账号署名，不代表已核实个人执笔作者。引用访谈或圆桌观点时，应按正文标明具体发言人及当时身份；无法确认时不要推断。日期为原始发表日期，历史信息以发布时点为准。

**非凡产研·养虾夜话**

## **OpenClaw 最大的风险，****不是它会胡说，而是它真的会动手**

  

"AI 一旦开始执行，安全就不再是外围问题，而是产品能不能进入真实世界的门槛。"

**嘉宾**：司红星｜万径安全 创始人

**主持**：Abner｜非凡资本、兰序｜财经媒体人

这几个月，很多人第一次对 AI 产生了同一种复杂情绪：**一边兴奋，一边发毛。**

兴奋是因为，AI 终于不只是陪你聊天了。

它开始真的替你做事。整理文件、调用权限、跑任务、写邮件、安插件、接工作流，它不再只是给建议，而是直接下场执行。

发毛也是因为这个。

过去我们担心 AI，主要是担心它"说错"。现在真正让人紧张的，是它做错。

说错一句话，最多误导你。

删错一批文件、暴露一个端口、接管一个权限、装进一个被投毒的 skill，后果就完全不是一个量级了。

这也是为什么，围绕 OpenClaw 的争议，表面上看是在讨论安全，实际上讨论的是另一件事：

**当 AI 开始接管电脑，****风险就从内容层，****第一次升级到了执行层。**

这场访谈里，坐着三个人。

非凡资本的 Abner 负责把问题抛出来，财经媒体人兰序负责把问题追深，真正把这件事讲透的，是万径安全创始人司红星。访谈一开场，三个人的身份就已经摆明了，讨论也很快进入核心：OpenClaw 到底是一次生产力革命，还是一次被低估的安全预警。

我听完整场访谈后，想到的不是"OpenClaw 很危险"，也不是"大家赶紧去养虾"。

而是：

**OpenClaw 第一次把 AI 的风险，****从"答错题"变成了"做错事"。**

这才是这场访谈真正有价值的地方。

![OpenClaw安全漏洞堪称史上最大，养虾人怎么办？ · 原文图片 1](https://inews.gtimg.com/om_bt/OR4xGJuAqfbWmlEaatmthvOII3E_5zia1afxOtEK-_Ou0AA/1000)

## **这次监管为什么反应这么快**

很多人对这波监管有点意外。

但司红星的解释其实很直接：

这不是普通的漏洞预警，也不是传统意义上的一次软件安全事件。它对应的是一种新型风险——**AI 自主执行带来的系统性风险**。3 月 8 日到 3 月 11 日连续预警，在他看来非常罕见，但也非常合理。因为这次不只是"一个工具有漏洞"，而是"一个能直接执行任务的 AI，正在被大量普通人交出权限"。

这两件事的区别，决定了监管逻辑也完全不一样。

聊天型 AI 出错，通常是内容风险。

它可能事实说错，判断偏掉，甚至一本正经地胡说八道，但大多数时候，问题还停留在"生成层"。

OpenClaw 不一样。

它一旦出错，可能就是删文件、泄露信息、误调用系统权限，甚至把操作系统暴露给不该暴露的人。司红星在访谈里说得很清楚：**这已经不是原来的内容风险，而是执行风险。**

**这就是这轮监管最核心的背景。****不是在打压 AI。****而是在提醒所有人：****当 AI 能替你操作系统，****安全就不再是附加题，而是必答题。**

  

## **OpenClaw 为什么会让人又兴奋又紧张**

我很喜欢司红星讲的一句话。

他说，自己第一次接触 OpenClaw 时，第一感觉就是**"兴奋又紧张"**。

兴奋在于，终于有人把 AI 从聊天框里拽了出来。

过去大家讲智能体，很多时候还停留在 workflow、自动化、演示视频、PPT 和概念层。OpenClaw 不一样，它直接把 AI 推到了执行层。不是帮你想，而是帮你做。它甚至改变了人和电脑交互的方式，也让更多普通人第一次真正感受到 Agent 带来的冲击。

因为一旦 AI 不只是回答问题，而是接管权限、读写文件、调用接口、跑系统流程，它获得的就不只是上下文，而是行动能力。司红星在访谈里提到，过去连他们自己做产品时，也从来没想过"把所有权限默认交给 AI"。OpenClaw 最让安全从业者警觉的，不是它聪明，而是**它在便捷和安全之间，明显先选了便捷**。

这也是 OpenClaw 爆火的真正原因。

不是因为它最稳。

而是因为它最先把"AI 员工"这件事做得足够直观。

你只要一句话，它就去动。

这很爽。

但也正因为这样，它第一次把风险从"模型幻觉"升级成了"执行事故"。

  

## **真正麻烦的，不只是这只虾，而是它背后整条供应链**

这场访谈里，Abner 提了一个很关键的问题：

今天大家最容易忽视的，不是 OpenClaw 本身，而是它背后的**skill 市场、第三方插件、依赖包、组件链路**。

司红星的回答也很硬。

他的意思大概可以浓缩成一句话：

**只要是人能输入、能上传、能修改的地方，****就都可能成为攻击入口。**

很多普通用户天然会有一种错觉：

• 平台上的 skill 看起来像官方生态；

• 热门开源组件看起来像成熟方案；

• 知名开发者发布的东西看起来也像可信内容。

但安全世界的原则恰恰相反。

**默认不可信，才是起点。**

司红星在访谈里明确说，他们自己对社区插件的处理原则，就是**"所有上传内容默认不可信"**，先 AI 审核，再人工复核，最后白名单放行。

问题就在这里。

OpenClaw 的很多用户，不具备这样的判断力。

他们会默认 ClawHub 上的 skills 是可信的，会默认社区生态已经替他们做过筛选。但如果平台审核机制弱、发布者账号被劫持、依赖链路被投毒，最终出事的时候，普通用户几乎没有能力提前识别。

而且这还不是全部。

司红星还提到一个更底层的问题：

你今天安装 OpenClaw，风险不一定来自某个 skill，也可能来自它依赖的第三方组件。因为它本身就建立在一大堆开源依赖之上，只要其中某个组件升级时被埋了后门，安装过程本身就可能已经不安全。

这就是为什么供应链问题比很多人想得更麻烦。

**你以为你装的是一个工具。****实际上你装进去的，****是一整串你未必看得懂、也未必能审计的外部代码。**

  

## **关键行业为什么会特别谨慎**

谈到这里，兰序追问了一个很重要的问题：

金融、能源、运营商这些行业，现在到底怎么看 OpenClaw？

司红星给出的回答，其实特别现实。

这些行业不是不想用。

恰恰相反，**他们非常想用**。因为他们也知道，这不是一个小功能升级，而是一轮真实的生产力变化。谁先适应，谁就可能在下一轮组织效率竞争里抢到位置。

但他们也不敢乱用。

原因很简单：

一线员工一旦把权限随手交出去，泄露的可能不是普通资料，而是 API、业务数据、敏感流程，甚至是关键基础设施相关的信息。对这些行业来说，问题从来不是"好不好玩"，而是**"出了事谁来承担后果"**。

所以现在更常见的状态不是全面拥抱，也不是全面封死，而是：

"

**让少数有安全意识的人，在有限范围内先试。**不是为了立刻把它大规模塞进生产系统，而是先让组织感受到这场变化，理解这种新工具会怎么改写工作方式。

司红星在访谈里明确说，他感受到很多管理层已经认了这件事：**生态必须接入，只是权限必须先管控**。

这个判断很重要。

因为它意味着，真正成熟的组织反应，不是一刀切，也不是立刻全员上马。

而是先做一件更难但更对的事：

**把注定会进入组织的能力，先纳入治理。**

  

## **大厂下场，能不能把问题一次性解决**

很多人现在很容易抱一个希望：

既然大厂已经开始下场做"安全版龙虾"，那是不是很快就能把这件事解决掉？

司红星的答案很明确：**不会**。

他的逻辑也很清楚。

如果你只是做应用层的管控，比如给 skill 市场加审核、给权限加围栏、给部署流程加一层安全壳，那当然有帮助。但问题在于，**只在上层做管控，并不能替代底层风险的解决**。

因为你今天拦住了某个被投毒的 skill，明天可能暴露的是底层依赖；你今天限制了某些调用权限，明天可能被挖出来的是框架本身的漏洞；你今天做了一个"安全部署助手"，明天部署进去的依然还是那只原始龙虾。

司红星在访谈里打了个很形象的比方：

"

**如果底层不是自主可控的，只在上层补漏洞，就像打地鼠。你按下去一个，另一个还会冒出来。**

这句话其实把下一轮竞争的关键说透了。

以后大家拼的，未必是谁最像 OpenClaw。

而是**谁能把底层真正做到可控**。

  

## **"中国版 OpenClaw"到底应该看什么**

这一段我觉得是整场访谈最有判断力的部分之一。

Abner 提到，国内已经有厂商在做"中国版 OpenClaw"，问题是：这种替代到底靠不靠谱？

司红星给出的标准非常明确：

**别先看长得像不像，****先看底层是不是自己写的。**

他讲得很细。

所谓底层，不只是界面，不只是一个控制面板，也不只是接了几个国产模型。真正要看的，是**规划执行、反思、记忆、知识管理、执行沙箱、依赖组件、调用链和权限机制**，到底是不是自主可控。

这套标准很残酷，但也很现实。

因为只要你底层还是套国外开源框架，就仍然可能引入第三方组件风险，仍然可能被逆向，仍然可能在关键环节被投毒。

所以问题不是"能不能做一个看起来像 OpenClaw 的产品"。

问题是：**你做的是壳，还是底座**。

这也是为什么司红星反复强调**"自主可控"**这四个字。

在关键行业里，大家真正关心的从来不是功能演示，而是**可观测、可追溯、可审计、可管控**。

AI 执行了什么，为什么执行，哪一步经过了授权，哪一步是自主完成，事后能不能回溯，出问题能不能定位，这些才决定它能不能进组织。

说白了，大家买的不是一个会干活的 AI。

**大家买的是一个****出了事也讲得清楚的 AI。**

  

## **普通人到底要不要养虾**

这场访谈最有意思的一点，是它没有把结论推到极端。

不是"别碰"。

也不是"闭眼冲"。

司红星给普通用户的建议，反而很开放：

"

**普通人可以大胆体验，但前提是别在工作电脑上乱来，别碰敏感数据，别把默认设置当安全设置。**

他说得很实在。

如果你只是想让它帮你排日程、写邮件、整理文档、做旅行计划，这些场景完全可以试。因为这类使用带来的后果通常有限，更重要的是，它能帮助普通人尽快理解这场范式变化。

但如果你非要在生产电脑里玩，那最起码要守住三条底线：

• **先开启认证，不要裸奔**；

• **不要暴露公网端口**；

• **坚持最小权限原则**，不要给它管理员级别的访问能力。

这三条不是高级建议。

这是最低门槛。

因为当一个 AI 已经开始真的执行操作时，安全不再是给专家准备的附加知识，而是每个使用者的基础常识。

  

## **企业最不该做的，是假装这事不存在**

我很同意司红星对企业负责人的那段建议。

他说，**不建议一刀切封禁**。更合理的做法，是建立管控机制：先盘点谁在用，再明确哪些场景禁止使用，再提供替代方案。涉密场景、生产环境、核心系统，应该明确禁用；普通办公和体验性场景，则可以在可控范围内试行。

这套建议的高明之处在于，它没有装作"所有问题都解决了"，也没有逃避"这件事迟早会来"。

因为 OpenClaw 代表的，不只是一个产品。

它更像一个提前到来的信号。

它告诉所有组织一件事：

AI 不会永远停留在聊天框里。

它迟早会进入流程、进入系统、进入权限、进入组织分工。

所以企业现在最不该做的，不是"要不要接入"，而是**"有没有准备好在接入之前先管起来"**。

  

## **写在最后**

我觉得这场由非凡资本Abner、财经媒体人兰序和万径安全创始人司红星完成的访谈，最后最有价值的，不是一堆安全术语，也不是一串风险清单。

它真正说透了一件事：

**Agent 时代已经开始了。**

但能不能进产业、进组织、进真实业务，不取决于它会不会干活，而取决于它能不能被管住。

OpenClaw 这波最大的意义，可能不是让更多人开始"养虾"。

而是让所有人第一次看清，下一轮竞争不只是"谁更聪明"，而是**"谁更可控"**。

谁先把这件事想明白，谁才算真的看懂了这只小龙虾。

**AI 一旦开始执行，****安全就不再是外围问题，****而是产品能不能进入真实世界的门槛。**

  

## **访谈精选 Q&A**

**Q1：为什么这次监管反应这么快？**

因为这次不是普通聊天型 AI 的问题，而是 Agent 自主执行带来的系统性风险。司红星在访谈里明确提到，3 月 8 日到 3 月 11 日连续预警非常罕见，但合理，因为 OpenClaw 带来的不是一次普通漏洞，而是一种新形态安全威胁。

**Q2：监管真正担心的是什么？**

不是 AI 会不会说错，而是 AI 会不会做错。聊天机器人顶多误导人，OpenClaw 这类工具一旦出错，可能直接删文件、泄露数据、暴露权限，所以风险已经从内容层升级到执行层。

**Q3：金融、能源、运营商这些行业，现在到底敢不敢用？**

想用，但不会放开用。司红星提到，这些行业很多管理层已经意识到这是一场真实的生产力变化，但当前更常见的做法，是让有限的、有安全意识的人在可控范围内先试，而不是直接让一线员工大规模接入。

**Q4：OpenClaw 最大的安全隐患是什么？**

不是某一个单点漏洞，而是权限失控和供应链风险叠加。包括 skill 投毒、提示词注入、第三方组件风险、开发者账号被攻击、依赖升级后埋后门，这些都可能让"安装一个工具"变成"引入一整条不受控代码链"。

**Q5：大厂下场做"安全版龙虾"，能彻底解决问题吗？**

不能只靠上层补丁解决底层问题。司红星的判断是，如果底层还是原来的框架和依赖，只在应用层做权限管控和 skill 审核，风险不会消失，只会变成"打地鼠"。

**Q6：判断一个"中国版 OpenClaw"靠不靠谱，标准是什么？**

最核心的标准不是功能，而是底层是不是自研、是不是自主可控。包括规划执行、记忆、反思、执行沙箱、调用链、依赖组件，这些关键环节如果仍然只是套壳，风险就不会真的消失。

**Q7：普通用户该不该养虾？**

可以，但别拿工作电脑试错。司红星的建议很明确：非工作电脑、非敏感数据场景可以大胆体验，用它排日程、写邮件、整理行程都没问题。

**Q8：如果真要用 OpenClaw，最低限度该怎么做？**

至少做到三件事：开启认证，不用默认设置；不要暴露公网端口；坚持最小权限原则，不用管理员权限运行，不让它接触不该接触的文件和网络范围。

**Q9：企业安全负责人最该做什么？**

不是一刀切封禁，而是先盘点谁在用，再划清禁区，再提供替代方案。尤其是涉密场景、生产环境、核心系统，必须限制；普通体验和低风险场景，则可以在管控下试行。

**Q10：这场访谈最后真正的结论是什么？**

不是"别用"，也不是"冲就完了"。而是：AI 一旦开始执行，安全就不再是外围问题，而是产品能不能进入真实世界的门槛。这也是整场访谈最核心的判断。

本文基于非凡资本 Abner、财经媒体人兰序与万径安全创始人司红星的深度访谈整理

---

原始发布版本：https://view.inews.qq.com/a/20260330A07T3K00

本站阅读页：https://ffcap.cn/research/20260330a07t3k00