OpenClaw 火了之后,围绕它的商业化产品几乎是爆发式涌现。Kimi Claw、MaxClaw、阿里 CoPaw、Manus……国内大小厂商纷纷推出基于 OpenClaw 的云端托管版或深度定制版,把原本需要命令行配置的"极客玩具"包装成了一键部署的 AI Agent 服务。 降门槛是好事。但一个关键问题被很多人忽略了:这些产品在帮你省掉部署麻烦的同时,安全这层到底做了多少?
OpenClaw 自身的安全事故已经够密集了——ClawHub 插件市场被曝出 341 个恶意技能、ClawJacked 核心漏洞允许网页静默劫持本地 Agent、全球超过 13 万实例暴露在公网、Meta AI 安全负责人的邮箱被 OpenClaw 批量清空。而当这些风险从个人电脑搬到了云端集群,问题并不会自动消失,反而可能以新的形态出现。
如果你正在这批 OpenClaw 衍生产品中做选择,这篇文章帮你理清安全维度上该关注什么。
云端托管 ≠ 安全托管
很多人的直觉是:本地部署 OpenClaw 风险大,上云就安全了。这个想法只对了一半。
云端托管确实解决了一部分问题,比如你不用再担心自己的笔记本网关暴露在公网。但"上云"也引入了新的信任关系——你的对话数据、执行指令、API 凭证,现在都跑在别人的服务器上。产品方的沙盒隔离做得好不好、内部服务有没有认证保护、你的对话日志怎么存储,这些你看不见的地方,才是真正决定安全水位的关键。
近期就有安全研究者对一家国内基于 OpenClaw 的云端产品做了实测。仅凭几轮正常对话,Agent 就暴露了自己所在阿里云实例的完整元数据(地域、规格、Pod 名称、VPC ID),拿到了可用的 STS 临时凭证,扫描出同网段 93 个同类节点,还发现了一个完全无认证的大模型 API 代理。最终研究者通过 SSH 隧道把这个代理穿透到了公网,任何人都能免费调用 Claude Sonnet 4.6。整个过程没有用到任何"黑客工具",全靠 Agent 自身的命令执行能力。
这说明什么?"上云"并不自动等于"安全"。如果沙盒环境的隔离和认证没做到位,Agent 本身就是最好的渗透工具。
选产品时,安全方面看哪几点?
目前这批 OpenClaw 衍生产品大致分两类:一类是直接把 OpenClaw 搬上云做托管(比如 Kimi Claw 本质上是云端虚拟机里跑原生 OpenClaw),另一类是在 OpenClaw 基础上做了深度改造和自研(比如 DeskClaw 内置了自己的技能体系和浏览器控制)。不管哪类,以下几个维度值得在选型时留意。
沙盒隔离的颗粒度。 你的 Agent 和其他用户的 Agent 之间,是共享容器还是独立虚拟机?能不能互相扫描到?能不能访问对方的监控端口?前面提到的案例里,93 个 Agent 节点彼此网络互通、Prometheus 监控数据无认证暴露,就是典型的隔离不到位。好的方案(比如基于 Firecracker MicroVM 的沙盒)能做到实例级完全隔离,每个任务运行在独立环境中。选型时可以问一句:你们的沙盒架构是容器级还是虚拟机级?
内部服务的认证机制。 OpenClaw 类产品的后端通常有一个 LLM 代理服务,负责把你的请求转发给底层大模型。如果这个代理没有认证、监听在所有网卡上,那 Agent 自身就能发现并直接调用它——等于把钥匙和锁放在同一个抽屉里。选型时关注产品方是否提到了 API 鉴权、最小权限原则、零信任架构等安全实践。
对话数据的处理方式。 你和 Agent 的每一轮对话(包括你发的消息、系统提示词、工具调用参数、模型完整回复)都会被记录。问题在于:这些日志是明文还是加密?存储权限如何设置?是否会被用于模型训练?保留多久?能否删除?不同产品的处理方式差异很大。Kimi Claw 的数据托管在 Moonshot 云端,MaxClaw 跑在 MiniMax 的基础设施上——选之前,至少看一下它们的隐私政策和数据处理说明。
ClawHub 插件的安全审核。 大部分 OpenClaw 衍生产品都接入了 ClawHub 的 5000+ 社区技能。但这个插件市场的审核机制目前还很薄弱——已被识别的恶意技能超过 341 个,伪装成加密工具或生产力插件,实际窃取系统密码和本地文件。思科安全团队甚至发现排行榜第一的插件就是恶意软件。选型时关注产品方是否对 ClawHub 技能做了二次安全审核或白名单过滤,而不是原封不动地全部开放。
厂商的安全态度和响应能力。 这条没法量化,但可以通过几个信号判断:有没有公开的安全白皮书或安全实践文档?是否通过了等保认证?出了安全问题的响应速度如何?OpenClaw 核心团队的漏洞修复速度值得肯定(ClawJacked 24 小时内修复),但衍生产品厂商的安全投入参差不齐。一个只顾着抢 OpenClaw 热度却不投入安全建设的产品,迟早会出事。
普通用户的自保清单
即使你选了一个相对靠谱的产品,作为日常使用者也有一些简单习惯可以降低风险。
不要在 Agent 对话中输入密码、API Key、客户隐私数据等敏感信息。不管产品方怎么保证安全,这条原则都适用。
谨慎安装 ClawHub 上的第三方插件。优先选择标注为官方或经过验证的技能,遇到要求输入系统密码或执行陌生命令的插件,果断放弃。
不要给 Agent 超出任务需要的权限。写文案的 Agent 不需要访问你的文件系统,做信息汇总的 Agent 不需要操作你的邮箱。按最小权限原则来配置。
设置 API 用量上限。OpenClaw 类产品在执行任务时会大量消耗 Token,有用户实测二三十个回合就烧掉数百美元。如果用的是按量付费的产品,务必在后台设好预算上限。
写在最后
OpenClaw 点燃了 AI Agent 的想象力,而围绕它涌现的这批产品正在把这种能力推向更多普通用户。这个方向本身值得期待,但"能做事"的前提始终是"做得安全"。
当你在 Kimi Claw、MaxClaw、DeskClaw 之间犹豫不决的时候,功能对比和价格对比固然重要,但别忘了多加一个维度:安全这关,它过了吗?