最近咱们一直在聊的那个挺火的“龙虾”智能体，虽然这回升级了，但安全这方面的风险还是没完全消灭，中国信息通信研究院的专家刚又提醒了大家一下。这东西本来是因为图标像只红色的龙虾才被叫成这个名儿，它能把通信软件跟大语言模型拼一块，在咱们自己的电脑上自己管文件、收邮件、干那些挺复杂的数据处理活儿。 其实这东西一出，产业界和咱们普通老百姓都挺上心，大家拿来试着用，确实把国内AI生态给搞得挺热闹。但正因为它干活太猛，执行能力强，给咱们带来的安全威胁也不小。工业和信息化部的网络安全威胁和漏洞信息共享平台早在2月5日就发过预警提示了。 现在哪怕把“龙虾”升级到了最新版，虽然确实能把以前知道的那些漏洞给补上了，但它存在的安全问题并没完全解决。这东西最大的特点就是能自己做决定，还能调用电脑里的系统资源，再加上大家对它信不信任的界限比较模糊，还有它那个技能包市场审核也不严，里面藏着不少坑。比如它在调用大语言模型的时候，万一误解了咱们的指令，说不定就会把不该删的文件给删了；要是用了被坏人偷偷下了毒的技能包，数据泄密或者电脑被别人控制都有可能。 哪怕升级到了新版本，如果配置不对，比如让它直接暴露在互联网上、用管理员权限登录、或者把密钥明文存起来这些事儿不解决，被黑客盯上的风险还是很大的。网络安全这事儿总是在变，黑客的招数也越来越花，光靠打补丁升级可不能保证一劳永逸。 所以专家建议党政机关、公司还有咱们个人用这东西都得小心点。要是真碰上了漏洞或者攻击事件，直接给工业和信息化部的平台报上去就行。任何网络产品都不能光想着升级更新这一个招儿，还得遵循“最小权限、主动防御、持续审计”这几个原则。 具体怎么操作呢？这几个方面大家得注意： 首先用官方最新版最保险。部署的时候最好去官网下载最新稳定版，把自动更新提醒也开着。升级前先把数据备份好，升级完了重启一下服务看看补丁到底有没有生效。千万别用第三方镜像或者旧版本。 其次是不能把实例直接扔到公网上。把访问源限制一下，认证方式用强密码或者证书、硬件密钥这些更安全的手段。 再次就是把权限锁得死死的。部署的时候千万别用管理员账号，只给完成任务必须要用的权限就行。涉及到删文件、发数据、改系统配置这些大事儿必须得再确认一次或者人工审批一下才行。 还有就是买技能包得小心。ClawHub是专门给大家提供技能包的社区平台，这里面有些技能包很可能有毒。所以下载之前一定要仔细审查代码，那些让你下载zip文件、执行shell脚本或者输入密码的技能包千万别碰。 最后得防着被社会工程学攻击或者浏览器劫持。没事别乱点来历不明的网站链接。可以用网页过滤器挡住可疑脚本，启用OpenClaw的速率限制和日志审计功能，如果发现有不对劲的行为马上断开网关重置密码。 建立长效防护机制也很重要。把详细的日志审计功能打开，定期检查修补漏洞。大家可以结合网络安全工具和杀毒软件实时防护一下。要常看OpenClaw官方发的安全公告还有工信部平台的预警信息。 总之大家在用“龙虾”这类AI智能体的时候，一定要把安全配置弄明白，养成好的安全习惯才行。