一場轟轟烈烈的“養(yǎng)蝦運動”，從全網(wǎng)追捧到緊急卸載，只持續(xù)了短短一周。二手平臺已經(jīng)出現(xiàn)另一種服務：遠程卸載OpenClaw。價格從499元安裝到299元卸載[1]，一條“裝蝦—教蝦—卸蝦”的產(chǎn)業(yè)鏈迅速形成。
第一批“養(yǎng)蝦人”的翻車經(jīng)歷[2]也不斷出現(xiàn)：
有人授權(quán)OpenClaw訪問郵箱，結(jié)果郵件被批量刪除；
有人讓AI清理磁盤，結(jié)果整個目錄被誤刪；
還有用戶因為API Key泄露，一夜之間損失數(shù)萬美元；
3月10日晚，國家互聯(lián)網(wǎng)應急中心緊急發(fā)布風險提示[3]，提醒公眾謹慎部署類似ai智能體（886099）系統(tǒng)。隨后，工信部NVDB（國家信息安全漏洞庫）也將OpenClaw列入重點關注名單，明確指出其可能引發(fā)網(wǎng)絡攻擊、數(shù)據(jù)泄露等重大風險[4]。
一只“龍蝦”的命運，在一周之內(nèi)完成了從全網(wǎng)追捧到緊急卸載的反轉(zhuǎn)。在這場狂熱背后，一個更深層的問題浮出水面：當AI從“思考”走向“動手”，我們該如何確保它不會失控？
AI智能體的三大安全風險與應對
與傳統(tǒng)ai應用（886108）不同，ai智能體（886099）具有三個關鍵能力：訪問真實系統(tǒng)資源、調(diào)用工具執(zhí)行任務、自主規(guī)劃行動步驟等。正是這些能力，讓AI從“對話者”進化為“行動者”。但這也意味著，一旦出現(xiàn)安全漏洞，影響將不再局限于模型輸出，而可能直接波及真實的系統(tǒng)環(huán)境與業(yè)務流程。
一只“龍蝦”的冰火一周，實際上提前暴露了OpenClaw的三大安全風險，與風險對應的解決方案如下圖：
圖1 OpenClaw的三大安全風險和應對方案
風險一：影子“龍蝦”——隱匿的OpenClaw OpenClaw的爆火不僅激發(fā)了個人用戶的嘗鮮熱潮，也在企業(yè)網(wǎng)絡中悄然埋下了一類全新的安全隱患——影子AI資產(chǎn)（Shadow AI Assets）。為提升效率或便捷體驗，許多員工在未經(jīng)安全審批的情況下，自行在個人電腦、研發(fā)服務器甚至企業(yè)內(nèi)網(wǎng)中部署OpenClaw等ai智能體（886099）系統(tǒng)。
從安全視角來看，這類影子AI資產(chǎn)普遍具備以下三大典型特征：
難以發(fā)現(xiàn)：安全團隊可能對內(nèi)部署的ai智能體（886099）一無所知，這些系統(tǒng)可能散布于研發(fā)服務器、測試環(huán)境、云主機甚至員工個人設備上，形成管理盲區(qū)。傳統(tǒng)資產(chǎn)發(fā)現(xiàn)手段難以識別ai智能體（886099）的特有指紋，“看不見”成為首要難題。
漏洞復雜：ai智能體（886099）系統(tǒng)通常由模型框架、插件模塊及ACP、MCP、API等多種接口組成，各組件間依賴關系復雜，組件供應鏈投毒、配置錯誤、權(quán)限繞過等風險交織疊加，使得漏洞面顯著擴大。
權(quán)限過高：為完成任務，OpenClaw等智能體常被授予訪問系統(tǒng)文件、瀏覽器環(huán)境及API接口的高權(quán)限。一旦節(jié)點被攻擊者控制，即可直接竊取敏感數(shù)據(jù)、執(zhí)行高權(quán)限操作，甚至以此為跳板橫向移動，深入滲透企業(yè)內(nèi)網(wǎng)。
這些影子AI資產(chǎn)往往直接接入核心資源——本地文件系統(tǒng)、企業(yè)郵箱、API密鑰、內(nèi)網(wǎng)服務接口等。與傳統(tǒng)影子IT相比，影子AI資產(chǎn)的權(quán)限更高、組件更復雜、隱匿性更強，已然成為企業(yè)網(wǎng)絡安全（885459）的“暗礁”，亟待引起重視。
應對一：雷達“掃蝦”——AI資產(chǎn)測繪與風險識別
針對影子AI資產(chǎn)帶來的治理困境，綠盟風云衛(wèi)提供AI資產(chǎn)與風險識別智能體，包括能力如下：
1.AI資產(chǎn)自動發(fā)現(xiàn)：讓隱匿的AI系統(tǒng)無處遁形
通過網(wǎng)絡空間測繪與AI資產(chǎn)指紋識別技術，自動發(fā)現(xiàn)網(wǎng)絡中的能夠自動發(fā)現(xiàn)隱藏或未納入管理范圍的AI資產(chǎn)。覆蓋OpenClaw等智能體平臺以及各類ai應用（886108）服務節(jié)點、模型服務接口和AI運行環(huán)境等多種形態(tài)的AI資產(chǎn)，形成動態(tài)更新的資產(chǎn)清單，徹底消除盲區(qū)。AI資產(chǎn)與風險識別智能體發(fā)現(xiàn)：截止2026年3月13日下午4點，全球已有13w個開放的OpenClaw在線資產(chǎn)，其中中國含有4w+個資產(chǎn)，占全球國家分布排行第一。
圖2 OpenClaw全球資產(chǎn)測繪情況
2. AI資產(chǎn)組件漏洞深度識別：看見AI背后的真實攻擊面
通過對智能體關鍵組件進行漏洞關聯(lián)分析，可以識別模型框架漏洞、插件風險和工具調(diào)用安全缺陷，并提供詳細的漏洞說明與修復建議。例如 CVE-2026-27002、CVE-2026-28391、CVE-2026-28474 等漏洞，一旦被利用，攻擊者不僅可以控制ai智能體（886099）本身，還可能繼承其全部系統(tǒng)權(quán)限，從而訪問AI能夠調(diào)用的所有資源，包括：宿主機文件系統(tǒng)、容器集群、私有云存儲平臺（Nextcloud）。換句話說，一旦AI被攻陷，攻擊者控制的就不只是一個模型，而是 AI背后的整個系統(tǒng)生態(tài)。
圖3 OpenClaw漏洞情況
圖4 OpenClaw安全治理安全建議
3. 風險畫像構(gòu)建與優(yōu)先級排序：讓高風險AI資產(chǎn)一目了然
結(jié)合AI資產(chǎn)測繪與開源供應鏈分析，識別組件供應鏈暴露程度及關聯(lián)漏洞信息等多維數(shù)據(jù)，為每個AI資產(chǎn)構(gòu)建風險畫像，定位高風險節(jié)點（如高危組件、漏洞利用鏈、外網(wǎng)暴露等），開展風險優(yōu)先級排序，同時研判潛在的供應鏈風險。
圖5 Openclaw供應鏈組織成分圖譜分析
通過這些能力，企業(yè)能夠?qū)⒂坞x于管控之外的影子AI資產(chǎn)納入統(tǒng)一安全管理體系，為AI技術的安全落地筑牢防線。
風險二：有毒“龍蝦”——被投毒的Skill生態(tài)
OpenClaw的能力很大程度上來自其Skills插件生態(tài)。通過安裝不同Skills，用戶可以讓ai智能體（886099）執(zhí)行郵件管理、文件處理、自動腳本執(zhí)行、代碼開發(fā)輔助等自動化任務。這種插件化架構(gòu)極大擴展了智能體的能力邊界，但也打開了一扇危險的“后門”——一個全新的、隱蔽的攻擊面正在形成。
根據(jù)安全研究，Skills相關的安全事件可歸納為以下主要類別：
惡意插件：披著羊皮的“特洛伊木馬”: 攻擊者將惡意代碼偽裝成“郵件助手”等正常工具，誘導用戶安裝。一旦啟用，智能體便在后臺竊取數(shù)據(jù)、控制設備等。研究顯示，ClawHub近4000個Skills中，36.8%存在安全問題，13.4%含嚴重漏洞，涉及惡意分發(fā)、數(shù)據(jù)泄露等[5]。
提示詞注入攻擊：語言指令成為武器：除了惡意代碼直接執(zhí)行，攻擊者還通過精心構(gòu)造的自然語言指令，誘導ai智能體（886099）執(zhí)行非預期操作。這類攻擊利用AI對自然語言的理解缺陷，繞過安全限制。通過誘導性對話，讓AI主動交出用戶的社保號、銀行卡信息[6]；OpenAI Codex一名成員的OpenClaw被惡意指令欺騙，轉(zhuǎn)走了價值約45萬美元的數(shù)字貨幣（885866）[7]；
供應鏈安全與系統(tǒng)性風險：綠盟科技（300369）在《2026網(wǎng)絡安全（885459）趨勢報告》[8]中指出，智能體的自主決策特性放大了供應鏈風險。當用戶從不可信來源安裝Skill時，無異于主動把家門鑰匙交給陌生人。此類風險涉及身份偽造、決策失控、數(shù)據(jù)泄露、模型漏洞等多個層面。
可見，Skills生態(tài)在賦予AI強大能力的同時，也帶來了前所未有的安全挑戰(zhàn)。用戶需謹慎選擇Skills來源，并持續(xù)關注安全動態(tài)。
應對二：安檢“驗蝦”——Skills全方位測評
針對智能體Skills插件生態(tài)日益嚴峻的安全危機，綠盟風云衛(wèi)平臺構(gòu)建了Skills安全測評智能體，可以對插件進行系統(tǒng)化安全檢測。該測評智能體從三個核心維度展開，形成覆蓋代碼、行為、權(quán)限的全方位檢測：
1. 靜態(tài)代碼分析: 從源頭識破惡意邏輯
通過自動化掃描Skills源代碼，識別可疑函數(shù)調(diào)用、外聯(lián)通信邏輯以及數(shù)據(jù)外傳行為。靜態(tài)分析引擎內(nèi)置了針對AI插件特有的惡意模式庫（如權(quán)限邊界突破與能力濫用、敏感數(shù)據(jù)暴露與外流風險、執(zhí)行面失控風險等），可精準發(fā)現(xiàn)隱藏在正常功能代碼中的“特洛伊木馬”。該引擎對已知惡意模式的檢出率可達90%以上。如下圖所示，在測試的惡意Skills中識別到了一些惡意模式庫中的風險，包含執(zhí)行面失控、敏感數(shù)據(jù)暴露與外流風險等。
圖6 Skills文件內(nèi)容靜態(tài)分析
2. 動態(tài)行為檢測：在隔離環(huán)境中“抓現(xiàn)行”
將插件放入沙箱隔離環(huán)境運行，實時監(jiān)測其文件訪問、網(wǎng)絡通信、系統(tǒng)權(quán)限調(diào)用等行為。無論惡意代碼如何混淆，只要它在運行時試圖讀取私鑰文件、連接未知C2服務器、或執(zhí)行異常外傳，動態(tài)檢測引擎都會記錄并告警。結(jié)合Skill行為沙箱動態(tài)分析與靜態(tài)審計交叉驗證，這種“動靜態(tài)結(jié)合”的方式，有效彌補了單一靜態(tài)分析的盲區(qū)。
圖7 Skill靜態(tài)行為交叉驗證
3. 權(quán)限最小化控制：讓插件“各司其職”
對插件能力進行分級管理和細粒度權(quán)限控制。通過定義明確的權(quán)限邊界（如僅允許訪問特定目錄、禁止外聯(lián)、限制API調(diào)用范圍），即使插件存在未知漏洞或被植入惡意代碼，其破壞能力也被限制在最小范圍內(nèi)。平臺支持基于角色的權(quán)限分配，確保每個技能只能訪問完成任務所必需的最小資源集。
圖8 Skill權(quán)限分析
Skills安全測評智能體正是將這種“開門揖盜”的風險降至最低——通過動靜態(tài)結(jié)合的深度檢測、權(quán)限最小化控制、以及持續(xù)的安全自檢能力，幫助企業(yè)和個人用戶在體驗“龍蝦”浪潮中，守住安全的底線。
風險三：貪婪“龍蝦”——惡意消耗Token算力
OpenClaw還暴露出另一個被很多人忽視的問題：Token資源可能被惡意劫持與濫用。與傳統(tǒng)對話式AI不同，ai智能體（886099）在執(zhí)行復雜任務時，需要進行大量多輪推理、工具調(diào)用、自動代碼生成和長上下文分析。這種能力在為用戶帶來便利的同時，也打開了一扇新的攻擊窗口——攻擊者可以通過精心構(gòu)造的提示詞，誘導AI執(zhí)行高消耗任務，從而形成AI資源耗盡攻擊（AI DoS）。學術界已將這類攻擊命名為“Deadlock Attack”或“ThinkTrap”，具體風險有以下三類：
提示詞誘導下的算力耗盡：研究顯示，攻擊者僅需構(gòu)造約20個Token的輸入，即可誘導模型生成4096+ Token的超長輸出，形成“非對稱消耗”[9]。這種低速率攻擊（如每分鐘10次請求）可將服務吞吐量降至原容量的1%，響應延遲增加100倍，甚至引發(fā)服務崩潰[10]——極低成本即可癱瘓企業(yè)AI服務。
AI“自主鉆空”引發(fā)的資源劫持：令人警惕的是，AI可能主動突破安全邊界。[11][12]
API密鑰泄露下的算力盜用：內(nèi)部憑證泄露同樣致命。深圳一程序員因API密鑰被盜，3天損失1.2萬元Token費用[13]。市場數(shù)據(jù)顯示，OpenClaw占openrouter平臺總消耗的95%以上（2.05T/周）[14]，而多智能體系統(tǒng)消耗是普通對話的4-15倍——如此龐大的算力池，已成攻擊者的“金礦”。
這些案例表明，Token失控已從成本問題演變?yōu)榘踩珕栴}。一旦缺乏監(jiān)測與限制，AI算力隨時可能被劫持，而受害者往往在收到賬單或服務崩潰時方才察覺。
應對三：閥門“控蝦”——Token監(jiān)測與資源控制
面對Token算力攻擊帶來的資源失控風險，綠盟風云衛(wèi)構(gòu)建了Token行為監(jiān)測與資源控制智能體，從“監(jiān)測—識別—控制”三個維度形成閉環(huán)防護，幫助企業(yè)將AI算力消耗納入可管可控的軌道。
1. Token消耗監(jiān)測:讓每一分錢都有跡可循
智能體實時統(tǒng)計模型的調(diào)用頻率與Token使用量。無論是正常業(yè)務增長，還是突發(fā)異常暴漲，運營團隊都能第一時間感知。這相當于為AI系統(tǒng)安裝了“智能水表”——用水量清晰可見，漏水才能及時止損。
圖9 LLM Token消耗實時監(jiān)控
2. 異常行為識別：捕捉失控前的“蛛絲馬跡”
智能體持續(xù)分析Token消耗模式，自動識別異常行為特征：Token消耗在短時間內(nèi)陡增，遠超正常波動范圍；模型調(diào)用出現(xiàn)高頻循環(huán)，疑似陷入死循環(huán)或遭受攻擊；任務執(zhí)行時長顯著超出歷史基線等。一旦發(fā)現(xiàn)上述模式，系統(tǒng)立即觸發(fā)告警，并提供詳細的調(diào)用鏈路回溯，幫助安全團隊快速定位問題源頭——是被惡意提示詞注入，還是智能體自身邏輯出現(xiàn)偏差。
圖10 Agent資產(chǎn)管理與行為監(jiān)控
3. 資源限額控制：給AI算力套上“韁繩”
通過精細化的資源管控策略，平臺從源頭遏制算力濫用：
Token預算：為不同任務、不同用戶設定Token消耗上限，超限自動熔斷；
調(diào)用頻率限制：限制單個會話或API Key的單位時間請求次數(shù)，防止高頻濫用；
任務時長控制：設定任務執(zhí)行超時閾值，避免智能體陷入無限循環(huán)；
這些控制策略既可全局生效，也可按業(yè)務場景靈活配置，確保AI系統(tǒng)在高效運轉(zhuǎn)的同時，不會因資源失控而淪為攻擊者的“算力肉雞”或企業(yè)的“賬單炸彈”。
圖11 周期性Token消耗統(tǒng)計
通過Token行為監(jiān)測與資源控制，綠盟希望幫助企業(yè)從“被動承受Token賬單”轉(zhuǎn)向“主動掌控AI算力”，讓每一次模型調(diào)用都清晰可見、可控可管。
關于綠盟“清風衛(wèi)”
AI安全一體機（“清風衛(wèi)”），是軟硬一體的“全能衛(wèi)士”，集成了內(nèi)容安全過濾、敏感數(shù)據(jù)防泄漏、精細化算力調(diào)度及應用層攻擊防護等核心能力。通過自研“風云衛(wèi)”混合模型和三級資源管控機制，有效防御提示詞注入、模型越獄等高級攻擊，同時保障資源高效利用，防止模型濫用。
綠盟“清風衛(wèi)”AI安全產(chǎn)品體系具備“平臺化集成、場景化適配、自動化運營”三大特點，可靈活對接各類智能體開發(fā)平臺與既有安全基礎設施，為客戶提供從開發(fā)態(tài)到運行態(tài)的一體化“監(jiān)管控”能力。
OpenClaw故事正是ai智能體（886099）時代的一個縮影。當AI從“對話”走向“行動”，開始真正操作系統(tǒng)、調(diào)用工具、執(zhí)行任務時，安全的邊界也隨之擴展為智能體系統(tǒng)安全。面對這一變革，綠盟科技（300369）正積極推動ai智能體（886099）安全評估與防護體系建設，并將于近期發(fā)布《面向智能體時代的大模型安全技術白皮書》，為行業(yè)提供系統(tǒng)性參考與前瞻視角，敬請期待。
