国家互联网应急中心发出了一则关于OpenClaw应用的风险提示，还把具体日期给锁定在3月10日。就在最近这段时间，那款被叫做“小龙虾”的OpenClaw应用（曾被命名为Clawdbot和Moltbot），下载量和使用量猛增，国内几个主要的云平台都提供了一键部署的服务。这种智能体软件的本事不小，能听懂自然语言指令直接操纵电脑干活。为了能真正做到“自主完成任务”，它被给了不少权限，比如读取本地文件、看环境变量、调用外部API，还有装扩展插件等。不过它原本的安全设置非常脆弱，只要给坏人找到一个小缺口，他们就能很轻易地把整个系统的控制权给夺走。 早些时候，因为安装和使用不当，已经出现了不少严重的问题：第一种是“提示词注入”，就是那些黑客在网页里藏恶意命令，骗OpenClaw去点开，结果它就可能泄露你系统的密码。第二种是“误操作”，要是它理解错了你的意思，就有可能把你的邮件、重要的数据给删了。第三种是功能插件中毒，已经发现有不少插件是坏的或者有危险，装了之后会偷偷偷密钥或者放后门软件。第四种是安全漏洞。目前为止OpenClaw已经爆了不少高中危漏洞了。如果被坏人利用起来，不光个人会丢隐私数据和支付密码，像金融、能源这种关键行业的核心业务、机密代码甚至整个系统都可能瘫痪。 针对这些问题，应急中心给相关单位和个人提了个醒：第一得把网络控制严点，别把那个默认管理端口直接露在公网外面；要加身份认证和访问控制来管人。第二是保管好凭证别把密钥明晃晃地写在环境变量里；还要弄个日志审计机制查个清楚。第四是要盯着补丁更新的事儿赶紧升级补丁。