“養(yǎng)龍蝦”有風(fēng)險(xiǎn)！官方緊急提醒→

你“養(yǎng)蝦”了嗎？

這個(gè)蝦可不是活蹦亂跳的龍蝦

而是最近爆火的開源AI智能體工具

OpenClaw

開源AI智能體工具OpenClaw因圖標(biāo)是一只紅色龍蝦被大家稱為“龍蝦”。

開源AI智能體工具OpenClaw因圖標(biāo)是一只紅色龍蝦，被大家稱為“龍蝦”。它通過整合調(diào)用通信軟件和大語言模型，在用戶電腦上自主執(zhí)行文件管理、郵件收發(fā)、數(shù)據(jù)處理等復(fù)雜任務(wù)。

此前，工業(yè)和信息化部

網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)

發(fā)布了相關(guān)安全風(fēng)險(xiǎn)提示

3月10日

國(guó)家互聯(lián)網(wǎng)應(yīng)急中心也發(fā)布

前期，由于OpenClaw智能體的不當(dāng)安裝和使用， 已經(jīng)出現(xiàn)了一些嚴(yán)重的安全風(fēng)險(xiǎn)：

1.“提示詞注入”風(fēng)險(xiǎn)。網(wǎng)絡(luò)攻擊者通過在網(wǎng)頁中構(gòu)造隱藏的惡意指令，誘導(dǎo)OpenClaw讀取該網(wǎng)頁，就可能導(dǎo)致其被誘導(dǎo)將用戶系統(tǒng)密鑰泄露。

2. “誤操作”風(fēng)險(xiǎn)。由于錯(cuò)誤的理解用戶操作指令和意圖，OpenClaw可能會(huì)將電子郵件、核心生產(chǎn)數(shù)據(jù)等重要信息徹底刪除。

3.功能插件（skills）投毒風(fēng)險(xiǎn)。多個(gè)適用于OpenClaw的功能插件已被確認(rèn)為惡意插件或存在潛在的安全風(fēng)險(xiǎn)，安裝后可執(zhí)行竊取密鑰、部署木馬后門軟件等惡意操作，使得設(shè)備淪為“肉雞”。

4.安全漏洞風(fēng)險(xiǎn)。截至目前，OpenClaw已經(jīng)公開曝出多個(gè)高中危漏洞，一旦這些漏洞被網(wǎng)絡(luò)攻擊者惡意利用，則可能導(dǎo)致系統(tǒng)被控、隱私信息和敏感數(shù)據(jù)泄露的嚴(yán)重后果。對(duì)于個(gè)人用戶，可導(dǎo)致隱私數(shù)據(jù)（像照片、文檔、聊天記錄）、支付賬戶、API密鑰等敏感信息遭竊取。對(duì)于金融、能源等關(guān)鍵行業(yè)，可導(dǎo)致核心業(yè)務(wù)數(shù)據(jù)、商業(yè)機(jī)密和代碼倉(cāng)庫(kù)泄露，甚至?xí)拐麄€(gè)業(yè)務(wù)系統(tǒng)陷入癱瘓，造成難以估量的損失。

同一天（3月10日）

中國(guó)信息通信研究院專家也提示

盡管“龍蝦”智能體

已經(jīng)更新到最新版本

能修復(fù)已知的安全漏洞

但并不意味著完全消除安全風(fēng)險(xiǎn)

“龍蝦”具有自主決策

調(diào)用系統(tǒng)資源等特點(diǎn)

加上信任邊界模糊

技能包市場(chǎng)缺乏嚴(yán)格審核

存在不少風(fēng)險(xiǎn)隱患

網(wǎng)絡(luò)安全是動(dòng)態(tài)變化的

黑客攻擊手法也在不斷迭代

不能把“打補(bǔ)丁”和“升版本”

當(dāng)成“一勞永逸”的安全保障

專家呼吁，黨政機(jī)關(guān)、企事業(yè)單位和個(gè)人用戶要審慎使用“龍蝦”等智能體。在發(fā)現(xiàn)“龍蝦”等智能體的安全漏洞，或者針對(duì)“龍蝦”等智能體的安全威脅和攻擊事件時(shí)，可以第一時(shí)間向工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)報(bào)送，平臺(tái)將按照《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》要求，及時(shí)組織處置。

任何網(wǎng)絡(luò)產(chǎn)品的安全使用

除了及時(shí)進(jìn)行升級(jí)更新外

還必須堅(jiān)持

“最小權(quán)限、主動(dòng)防御、持續(xù)審計(jì)”的原則

專家建議

從以下幾方面來

安全使用“龍蝦”智能體

使用官方最新版本。在部署時(shí)，要優(yōu)先從官方渠道下載最新穩(wěn)定版，并開啟自動(dòng)更新提醒。在升級(jí)前備份數(shù)據(jù)，升級(jí)后重啟服務(wù)并驗(yàn)證補(bǔ)丁是否生效。切勿使用第三方鏡像或舊版。

嚴(yán)格控制互聯(lián)網(wǎng)暴露面。一定不要將“龍蝦”智能體實(shí)例暴露到公網(wǎng)，并且限制訪問源地址，使用強(qiáng)密碼或證書、硬件密鑰等認(rèn)證方式。

堅(jiān)持最小權(quán)限原則。在部署時(shí)，嚴(yán)禁使用管理員權(quán)限的賬號(hào)，只授予完成任務(wù)必需的最小權(quán)限，對(duì)刪除文件、發(fā)送數(shù)據(jù)、修改系統(tǒng)配置等重要操作進(jìn)行二次確認(rèn)或人工審批。

謹(jǐn)慎使用技能市場(chǎng)。ClawHub是專為“龍蝦”智能體用戶提供技能包的社區(qū)平臺(tái)，其中的技能包存在惡意投毒風(fēng)險(xiǎn)，建議審慎下載，并在安裝前審查技能包代碼，拒絕任何要求“下載zip”“執(zhí)行shell腳本”或“輸入密碼”的技能包。

防范社會(huì)工程學(xué)攻擊和瀏覽器劫持。不要隨意瀏覽來歷不明的網(wǎng)站，避免點(diǎn)擊陌生的網(wǎng)頁鏈接。建議使用網(wǎng)頁過濾器等擴(kuò)展阻止可疑腳本，啟用OpenClaw速率限制和日志審計(jì)功能，遇到可疑行為立即斷開網(wǎng)關(guān)并重置密碼。

建立長(zhǎng)效防護(hù)機(jī)制。啟用詳細(xì)日志審計(jì)功能，定期檢查并修補(bǔ)漏洞，黨政機(jī)關(guān)、企事業(yè)單位和個(gè)人用戶可以結(jié)合網(wǎng)絡(luò)安全防護(hù)工具、主流殺毒軟件進(jìn)行實(shí)時(shí)防護(hù)。要定期關(guān)注OpenClaw官方安全公告、工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)等漏洞庫(kù)的風(fēng)險(xiǎn)預(yù)警，及時(shí)處置可能存在的安全風(fēng)險(xiǎn)。

趕緊轉(zhuǎn)發(fā)

提醒身邊的親人朋友！

佛山發(fā)布編輯部

來源：央視新聞、央視財(cái)經(jīng)、國(guó)家互聯(lián)網(wǎng)應(yīng)急中心、中國(guó)信通院

編輯：羅樂瑩

審校：溫愛霞、馮翠萍

圖片版權(quán)歸原作者所有，如有侵權(quán)，請(qǐng)聯(lián)系刪除

分享小伙伴