“龙虾”这个开源AI智能体最近火得不行，吸引了大批国内产业界和普通用户的目光。大家都在热火朝天地动手实操，网上关于它的安全性讨论也特别热闹。其实之前工业和信息化部的网络安全威胁和漏洞信息共享平台就发布过安全风险提示了，大家伙儿也都很上心。 那“养龙虾”到底安不安全？咱们老百姓又该注意啥？记者专门采访了中国信息通信研究院副院长魏亮。有人问，之前工信部发了安全提示，这回“龙虾”更新到最新版了，是不是就没啥安全隐患了？魏亮解释说，“龙虾”其实是OpenClaw的俗称，因为图标是个红色的大龙虾。它整合了大语言模型，能在你本地电脑上自动处理邮件收发、文件管理这些复杂任务。 这东西出来后确实带动了咱们国产AI智能体的生态发展，不过它的超强执行力也给大家带来了大麻烦。咱们工信部那个平台最近刚发了预警提示，说了存在哪些风险该咋防。“龙虾”现在更新得挺快，刷到官方最新版能修好已知的漏洞，但这并不代表就能彻底没风险。毕竟它是本地运行的AI代理，能自己做决定、调用系统资源，加上现在技能市场管理不严格，还是有不少隐患。 比如它在调用大语言模型的时候可能误解命令，搞出删文件这种坏事；或者你用了带恶意代码的技能包，数据容易泄露系统还可能被别人控制。哪怕你升级到了最新版，如果配置有问题（比如把实例暴露在公网上、用管理员权限、用明文存密钥），黑客还是有办法搞你。网络安全不是一劳永逸的事儿，咱们不能指望光靠打补丁就能万无一失。 所以我们呼吁党政机关、企事业单位和个人用户都要谨慎点用“龙虾”。要是发现它的漏洞或者被攻击的事，赶紧报给工信部那个平台处置。记者还问了具体咋用才安全。魏亮说这事儿特别重要，除了及时升级更新外，还得坚持“最小权限、主动防御、持续审计”的原则。 具体可以从几个方面下手：第一，只用官方最新版，千万别用第三方镜像或者旧版。部署前先从官方渠道下最新稳定版，开启自动更新提醒。第二，严格控制互联网暴露面，千万别让“龙虾”实例连上公网，非得上网的话就走SSH或者VPN这条路。 第三是坚持最小权限原则，部署的时候别用管理员账号，只给它干活必需的权限。像删文件、发数据这些重要操作得二次确认或者人工审批。最好把它放到容器或者虚拟机里隔离运行。第四是谨慎使用技能市场。ClawHub是个技能包社区平台，但里面有恶意软件的风险。下技能包前一定要仔细审查代码，拒绝那种让你下载ZIP、执行脚本或者输入密码的技能包。 第五是防范社会工程学攻击和浏览器劫持。别随便点来路不明的网站链接。用浏览器沙箱、网页过滤器之类的扩展把可疑脚本挡住。启用OpenClaw的速率限制和日志审计功能，发现不对劲就赶紧断网重置密码。第六是建立长效防护机制。多开日志审计功能定期查漏洞修补一下。党政机关和企事业单位个人都可以配合杀毒软件做好实时防护。 最后再次强调，大家用AI智能体的时候一定要把安全底线抓在自己手里。详细了解配置规范养成好习惯。我们也会持续盯着看这方面的事。来源是人民日报客户端 责编是王晨