爆火的AI“龙虾”OpenClaw，为什么我劝你别乱用？

文章总结： OpenClaw是一款开源AI智能体，因具备操作系统高权限交互能力而存在严重安全风险。截至2026年3月，已披露82个漏洞，其中超危12个、高危21个，且85%的资产公网暴露，插件生态中超过10%含恶意代码。文章从漏洞现状、架构缺陷等方面分析了风险根源，并提供了包含版本管理、网络控制、权限隔离、环境加固等七个方面的实操安全指南，建议用户在隔离环境中谨慎使用。
综合评分： 88
文章分类： 漏洞预警,AI安全,安全建设,解决方案,安全工具

原创

网络安全研究站

2026年3月15日 10:01
浙江

1

OpenClaw到底有多不安全？

OpenClaw作为一个开源的AI智能体，因其能通过微信等平台自动执行文件管理、邮件收发等任务而迅速走红，被网友戏称为“龙虾”。然而，正是这种与操作系统直接交互的高权限能力，使其成为了网络攻击的“香饽饽”。（OpenClaw 保姆级部署与初始化配置指南）

1

漏洞爆发式增长，利用难度极低

根据国家网络与信息安全信息通报中心的数据，目前全球活跃的OpenClaw互联网资产已超20万个，其中境内约2.3万个。但随之而来的是严峻的安全挑战：仅在2026年1月至3月9日期间，国家信息安全漏洞库（CNNVD）就采集到OpenClaw漏洞82个，其中超危12个，高危21个。更令人担忧的是，已有部分金融机构和高校明确发文禁止在办公设备上安装此类软件。

• 最新漏洞案例：在2026年3月13日披露的一个超危漏洞（GHSA-4jpw-hj22-2xmc）中，攻击者只需持有最低权限的配对令牌，就能通过特定API调用（）生成管理员令牌，最终在节点上实现远程代码执行。该漏洞影响  及之前的所有版本，版本已修复。

2

默认配置“裸奔”，公网大面积暴露

OpenClaw默认绑定  地址，允许所有外部IP访问，且远程访问无需账号认证。API密钥和聊天记录等敏感数据默认明文存储。

数据显示，OpenClaw资产的公网暴露比例高达85% 。这意味着绝大多数用户安装后未修改配置，直接将其暴露在公网扫描器下。

3

插件生态投毒，供应链攻击泛滥

OpenClaw的插件中心（ClawHub）已成为重灾区。针对3016个技能插件的分析发现：

• 10.8% 的插件包含恶意代码。
• 17.7% 的插件会拉取不可信的第三方内容。
• 2.9% 的插件支持从外部动态获取执行内容，攻击者可借此远程修改AI的执行逻辑。

4

架构设计缺陷，层层可破

OpenClaw采用多层架构，但每一层都存在设计缺陷：

• IM集成网关层：可被伪造消息绕过身份认证。
• 智能体层：可通过多轮对话诱导修改AI行为模式。
• 执行层：直接与操作系统交互，一旦被控，后果严重。

5

AI行为不可控

OpenClaw在执行指令时易发生“权限失控”，可能出现无视用户指令、删除数据、盗取信息等情况。且由于迭代极快，即便更新到最新版本，也不意味着风险彻底消除，因为其核心的自主决策特性依然存在被恶意指令诱导的风险。

2

个人用户安全加固实操指南

根据OpenClaw官方文档、工信部“六要六不要”建议及国家互联网应急中心提示，我们整理出了以下七条OpenClaw安全使用指南。

1

版本管理

✅ 从官方渠道下载最新稳定版本，开启自动更新提醒

❌ 不要使用第三方镜像版本或历史版本

操作要点：

1. 下载渠道：仅从OpenClaw官网（https://openclaw.ai）或官方GitHub仓库下载
2. 版本检查：运行  查看当前版本，确保不低于 （该版本修复了近期多个高危漏洞）
3. 升级流程：

• 升级前备份数据（配置文件  目录）
• 升级后重启服务
• 运行  验证补丁生效

2

网络控制

✅ 定期自查互联网暴露情况，不要将OpenClaw暴露到公网

✅ OpenClaw官方安全指南明确要求设置  和强认证

操作步骤：

1. 自查暴露面：

• Windows：运行 
• Linux/macOS：运行 
• 如果显示  或 ，说明已暴露，必须立即修复

2. 修改配置：
编辑 ：

3. 如需远程访问：

不要直接暴露端口，应使用SSH隧道或Tailscale VPN

4. 终极验证：

运行 ，官方审计工具会直接指出网络暴露和认证缺失问题

3

权限控制

✅ 为OpenClaw使用专用的低权限系统账户运行，不要以管理员身份运行

操作步骤（Windows）：

1. 创建标准用户（非管理员）：

• 设置 → 账户 → 家庭和其他用户 → 将其他人添加到这台电脑
• 选择“我没有这个人的登录信息” → 添加一个没有Microsoft账户的用户
• 设置复杂密码

1. 安装和运行：

• 右键点击OpenClaw启动脚本，选择“以其他用户身份运行”
• 或直接切换到该用户登录Windows后再运行

操作步骤（Linux/macOS）：

4

凭证管理

❌ 避免在环境变量中明文存储密钥

✅ 使用环境变量而非配置文件存储密钥，定期轮换

操作步骤：

1. 禁止硬编码：不要将API密钥写在  中

2. 使用环境变量：

3. 加密存储（可选高级方案）：

4. 定期轮换：

• 每90天更换一次API密钥
• 为OpenClaw创建专用密钥，并设置消费限额
• 每周检查API用量仪表板，发现异常立即撤销

5

环境隔离

✅ 优先考虑在容器或虚拟机中隔离运行

✅ 在Windows上推荐通过WSL2运行，以获得最佳兼容性和一致性

方案A：WSL2 + Ubuntu（官方推荐）
这是OpenClaw官方钦定的Windows最佳实践，兼顾性能与隔离。

运行容器时添加安全选项：

6

插件管理

❌ 不要使用要求“下载ZIP”、“执行shell脚本”或“输入密码”的技能包

操作原则：

1. 来源审查：只安装官方认证或自己完全审查过代码的开源插件
2. 高危特征识别：任何要求您手动下载ZIP、执行不明Shell脚本或在插件中输入密码的技能包，直接视为恶意，立即拒绝并卸载
3. 定期清理：不用的插件就是风险敞口，立即卸载
4. 禁用自动更新：国家互联网应急中心建议禁用自动更新功能，仅从可信渠道安装经过签名验证的扩展程序

7

数据边界

✅ OpenClaw安全指南中的“强化基线”配置明确要求 

✅ 仅允许访问必要目录，禁止访问敏感目录

操作步骤：

1. 创建专用工作文件夹，如 
2. 在配置文件中启用工作区限制：

3. 将需要处理的文件复制到该工作区内操作
4. 配置文件夹权限：只允许  访问该目录，禁止访问其他个人目录

3

应急处置预案

如果您发现OpenClaw出现异常（如CPU飙升、异常外联、文件被篡改），请立openclaw 安装即执行以下操作：

1. 立即断网：拔掉网线或关闭WiFi，切断攻击者控制通道
2. 停止进程：通过任务管理器结束OpenClaw相关进程
3. 痕迹排查：

• 检查聊天记录和日志，寻找可疑指令
• 检查插件目录，查找最近安装的未知插件
• 检查系统定时任务（cron/jobs）是否被写入恶意持久化任务

1. 重置凭证：立即更换所有相关API密钥和密码
2. 上报与重装：

• 彻底卸载OpenClaw，删除配置目录
• 从官方渠道重新下载最新版本，严格按本指南加固

结语

“养龙虾，需谨慎。”

在官方生态安全审核机制完善之前，任何将其暴露在公网的行为都无异于开门揖盗。请务必遵循工信部“六要六不要”建议，在隔离环境中使用，并严格执行本指南的各项措施，做到“先可控、再提效”。

安全不是一次性配置，而是持续的习惯。

#OpenClaw #信息安全 #指南 #龙虾

本指南编写于2026年3月14日，基于截至当日的公开漏洞信息、工信部及国家互联网应急中心最新提示、OpenClaw官方文档核对。由于漏洞和版本迭代极快，请在使用前再次确认本文时效性。

本站致力于做最深度、专业、前沿的网络安全知识分享平台，欢迎点赞、关注、推荐，为您持续更新深度好文。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。