工信部最近点名警告大伙儿得小心用那个叫OpenClaw的开源AI智能体，因为它在国内特别火，产业界和普通用户都在踊跃试用。特别是工业和信息化部的网络安全威胁平台已经发了风险提示，大家都很关心它到底安不安全，特别是对于自己在家用的人该注意什么。记者去问了中国信息通信研究院的副院长魏亮。大家都想知道，“龙虾”更新到最新版本后，安全隐患是不是就彻底没了？魏亮解释说，“龙虾”其实就是那个图标是红龙虾的OpenClaw的别名，它通过整合通信软件和大语言模型，在本地电脑上自动做文件管理、收发邮件、处理数据这些事儿。虽然这个AI工具让咱们国内的生态繁荣起来了，可它的强执行能力也带来了很大的安全麻烦。那个平台专门出了针对它的预警提示，给出了防范建议。虽然更新最新版本能修复一些已知漏洞，但这不代表就完全没风险了。这是个在本地跑的AI代理，能自主决策、调用系统资源，再加上信任边界不清晰、技能包审核不严格，隐患还是不少。比如调用模型时可能会误解指令，导致误删文件；装上带恶意代码的技能包可能会泄露数据或者被控制；如果实例暴露在公网、用管理员权限、或者明文存密钥这些配置问题，哪怕升级了也不安全。网络安全是个动态过程，黑客手段也在变，光靠打补丁和升级版本解决不了根本问题。所以我们得劝大家谨慎使用这种智能体。如果发现有漏洞或者攻击事件，一定要第一时间给工信部那个共享平台报送。 那么在具体用的时候该注意啥？魏亮说最重要的是坚持“最小权限、主动防御、持续审计”的原则。结合之前发的风险提示，可以从几个方面来保障安全：首先得用官方最新版本，从正规渠道下最新稳定版并开自动更新提醒。升级前先备份数据，升级后重启并验证补丁有没有用。千万别用第三方镜像或者旧版本。其次要控制互联网暴露面，千万别把实例暴露在公网上，实在要用可以走SSH或者VPN路线，还要限制访问源地址和用强密码或证书来认证。定期自己查一下有没有暴露情况。再次要坚持最小权限原则，部署时不能用管理员账号，只给必要的权限。对重要操作像删除文件、发数据这种要二次确认或者人工审批。最好在容器或者虚拟机里隔离运行。然后要防范社会工程学攻击和浏览器劫持，别随便点不明链接和网站建议装浏览器沙箱来阻止可疑脚本，启用速率限制和日志审计功能遇到可疑情况赶紧断开网关重设密码。最后还得建立长效机制开启详细日志审计定期查漏洞结合防护工具和杀毒软件实时防护并且关注官方公告和漏洞库的消息及时处理风险。