听说了没，3月10日国家互联网应急中心给大伙提了个醒，360集团也赶紧发了份叫OpenClaw的安全部署指南，专门给咱们讲讲怎么在让机器干活的同时守住家里的大门。 雷强最近在采访里说了，那个叫“赛博龙虾”的开源AI工具火得一塌糊涂，现在好多地方政府都把它当成香饽饽。虽然它挺能干，能自己在电脑上帮咱们收发邮件、处理数据，看着很省事，但这事儿也挺让人头疼。 就像周鸿祎说的，这玩意儿就跟刚入职的实习生差不多，脑子里有的是想法，可手里的活儿还不一定稳当。要是不管不顾让它瞎跑，搞不好密码、API密钥这些重要东西就会被坏人给骗走了。 还有一个大问题是技能包。OpenClaw能通过外部的技能包来扩展能力，这本来是好事儿，可有些技能包来历不明，要是没有好好把关，就很容易被人塞进去恶意代码。 光说这些风险没用，360这次直接给出了具体的做法。他们总结了一堆可能出现的安全漏洞，比如公网接口露出来了、API Key被偷了、底层Shell工具用得越权了等等。特别是提示词注入和插件供应链攻击这两种新型招数，很容易让人在眼皮子底下就中招了。 为了让大家伙儿在不耽误工作的情况下用上这些新玩意，《指南》里提出了一个“先可控、再提效”的原则。建议个人开发者别直接在高权限的地方跑程序，而是用容器把环境隔离出来；对于政企单位的多智能体协同场景，他们建议用零信任的理念来搭建框架。 就在这次发布的《指南》里，中国信息通信研究院的魏亮副院长也专门提醒过大家：哪怕是升级到了最新版本修了漏洞，也不意味着完全安全。智能体这东西太能折腾了，要是没看管严一点，数据泄露或者系统被人家彻底控制的风险可不小。 工业和信息化部的网络安全威胁和漏洞信息共享平台早就发布过预警了。因为OpenClaw在运行的时候通常需要被授予很高的系统权限——比如说随便读本地文件、调用外部API或者安装插件什么的——如果默认设置太宽松了，一旦被黑客钻了空子拿到了完全控制权，后果会很严重。 不管是个人创业的OPC（一人公司）还是正规的企业单位，现在都特别需要这份指南来教大家怎么做安全部署。毕竟这东西太强大了，要是不小心被坏人利用了威力不亚于当年的云计算变革。 只有在刚开始部署的时候就把安全机制建立好，以后大规模用起来才能少花钱、少受罪。随着各地政府越来越重视支持AI智能体产业的发展，360发布的这份文件无疑给行业提供了一个重要的参考路标。 360集团创始人周鸿祎在接受采访时也说得很形象：养这只“赛博龙虾”可得小心点，就跟伺候个刚入行的实习生似的，既得让它多干活儿锻炼技能包的本事（Skill），还得给它立规矩建立严格的规则约束才行。 （注：文中“周鸿祎”出现多次已合并处理，“雷强”为记者名出现多次已合并处理，“中国信息通信研究院”“国家互联网应急中心”“工业和信息化部”均保留完整）