大家应该都听过“龙虾”，最近OpenClaw挺火的，很多人开始用它来帮忙处理文件、发邮件，觉得挺厉害。但这东西要是不搞好防护，风险也挺大。3月10日，国家互联网应急中心就发了风险提示，说这个AI智能体经常需要很高的系统权限，比如读本地文件、调API这些，默认配置要是不安全，黑客一攻破就能把系统给拿下来。 全国政协委员、360集团的周鸿祎最近也在说这事。他觉得这种AI智能体就像刚入职的“实习生”，需要严格管教。现在的智能体动不动就能调用系统资源和技能包（Skill），如果没审核好来源，很容易被植入恶意代码。他还特别提醒大家“养龙虾要谨慎”。 既然风险这么大，360就干脆自己搞了个《OpenClaw安全部署与实践指南》。这个指南把现在的安全隐患都列出来了，比如公网接口暴露、API Key泄露、Shell调用越权等等。他们把提示词注入和插件供应链攻击列为最容易忽视但危害最大的类型。 针对这种情况，360提出了“先可控、再提效”的原则。给个人开发者和小团队的建议是别直接在本机高权限下跑智能体，最好用容器化技术隔离一下。 中国信息通信研究院的副院长魏亮之前也说过，光升级官方最新版不行，还是得防着点。这种智能体自主决策能力强，技能包来源又杂，很容易泄露数据或者被别人控制。 工业和信息化部那边也发布过预警。古雨写的那篇文章里提到了一个叫OPC的概念，也就是一人公司创业者。对于他们来说，在保障安全的前提下用好AI工具特别重要。 说到底，AI智能体虽然前景好，但安全问题得赶紧跟上。360这次的部署指南算是给大家指了条明路，帮着大家在创新和安全之间找个平衡点。