和安全专家聊OpenClaw：一场关于“AI进化”与“安全破局”的对话

9个”关键命题“

说清OpenClaw的安全风险

最近，OpenClaw 在 IT 圈乃至大众视野中热度飙升。这款开源 AI 智能体圈粉无数，却也因频发的安全问题引发担忧。我们特邀山石网科安全专家，以深度问答形式抽丝剥茧，聊聊其背后的风险真相，以及山石网科如何筑牢AI智能体安全防线。

一、迷雾——OpenClaw 安全吗？

问 1：首先请给还没安装 OpenClaw 的人普及下，它到底是什么？

答： 简单说，它是个开源的 AI“超级智能体”。不像传统聊天机器人只“动嘴”，它能“动手”且有“记忆”。你可以把它想象成装在电脑里的“超级助理”，你一句话，它就在后台自动跑任务，还能记住你的工作习惯。

问 2：你是什么时候开始使用的，使用感受如何？

答： 1 月国内刚火就开始测了，记得当时在内部培训中，还特意提醒大家“一定要注意安全，不要在工作主力机上装”，同时也了解到我们的研发团队已经介入研究了。目前陆续养了4只“小龙虾”，客观讲，效率确实有提高，批量处理文件、定时任务、跨平台数据调度，一句话搞定，这可能也是它爆红的核心原因。

问 3：使用过程中发现了哪些问题，触发了哪些安全隐患？

答：测试发现其早期版本重功能轻安全，不少配置为便捷牺牲安全防护，比如默认端口易全网开放、权限管控几乎无门槛，安全隐患被严重低估。

●针对系统有极高权限操作，在无确认机制下多次导致系统故障；

●端口开放后被扫描出漏洞风险，API 密钥、密码等明文存储容易泄露权限；

●第三方Skill技能包的供应链安全风险，下载后存在越权窃取风险。

更有高危漏洞可获取系统控制权，这些也正是工信部、CNNVD 近期预警的全网共性风险。

二、破局——如何构建针对“超级智能体”的防御体系？

问 4：企业侧来看，OpenClaw 最大的安全风险在哪？

答：核心风险是供应链安全、安全漏洞、高权限下的系统控制权失守和核心数据泄露等。

OpenClaw 被设计为近乎“超级管理员”级权限，若在内网部署，一旦被恶意利用，黑客可通过漏洞、提示词攻击或恶意技能包操作核心资产，执行删数据、改配置等操作，甚至反向入侵内网扩大攻击范围；

如在较关键位置部署，网络拓扑、设备密码、业务数据等对其完全透明，加之可调用外部 API，极易造成数据外泄，还可能违反等保等合规要求，引发处罚。

此外，员工私自部署的 “影子OpenClaw”，也让企业陷入 “看不见、管不住” 的治理困境。

问 5：针对这些企业级风险，有哪些整体安全防护方向？

答：其实核心思路很清晰，构建一套“守好边界、管住终端、锁住数据、深化治理”的防御体系，具体来说：

1)守好边界--“看清与阻断”，把针对OpenClaw异常访问和攻击直接拦在门外，筑牢第一道防线；

2)管住终端--“免疫与隔离”，让OpenClaw宿主机具备防御能力，切断风险在内部的扩散路径；

3)锁住数据--“管控与防漏”，紧盯Agent间交互和敏感内容，遏制核心数据的非必要读取与外传；

4)深化治理--“规范与闭环”，统筹制度与响应，实现从源头到处置的体系化安全管控。

这四层防线环环相扣、协同发力。

问6：目前有具体的安全产品、方案可以落地这些思路？

答： 是的，针对OpenClaw快速演进的特性，我们整合现有及即将落地能力，构建四大防护方向。

1. 守好边界，打造立体化的网络防线

为全面掌控内网OpenClaw动态并有效管理暴露面，网络侧以下一代防火墙为核心展开：

●利用 OpenClaw 专属应用特征，实现全流量可视化与应用级访问管控；

●基于 URL/IP/ 应用维度配置最小化外联权限，同时会定时更新专属 IPS 特征库，对各类新型的恶意入侵与非法攻击实现防护；

●自动识别内网 OpenClaw 部署资产并支持按资产维度配置访问策略，提供流量可视化监控、访问与阻断行为的全量日志审计以满足合规需求。

此外，通过 ZTNA 与智铠联动，对安装 OpenClaw 的终端实现精细化网络访问控制；可部署ADC反向代理隐藏OpenClaw访问IP，在收敛暴露面、提供HTTPS加密通道的同时，利用内容改写技术过滤敏感信息；并借助行为管理平台辅助发现影子AI。

上述措施协同联动，共同构筑起“可视、可管、可控”的立体化网络侧防线。

2. 管住终端，实现主机层的深度免疫

针对OpenClaw高权限风险，主机侧防护依托山石智铠EDR构建全链路闭环：

●依托资产自动梳理，并结合 “node.exe 大量调用、cmd 子进程创建”等典型行为特征，可精准定位部署了OpenClaw 的终端。企业能清晰总览所有 OpenClaw终端的部署情况，解决“看不见” 的核心难题，真正实现 OpenClaw 终端的可视化管理。

●通过进程黑名单技术，实现对OpenClaw相关进程（如Node.exe）的精准识别与拦截，从源头彻底阻断风险传播路径及恶意操作行为。

从资产发现到进程拦截，为OpenClaw复杂环境提供主机层深度防御。

3.锁住数据，“三位一体”的内容防护

面对OpenClaw高权限引发的数据泄露风险，可实施三重防护：

●DLP 数据防泄漏做终端数据分类分级管控、全网络传输监控拦截，精准识别敏感数据、匹配文件指纹，全日志审计+智能异常分析，管控数据风险且保障功能正常；

●API安全网关管控Agent交互流量，收敛API端口，精准阻断未授权的数据访问；

●主机文件管控依托细粒度控制，实施最小权限策略，遏制Agent对核心文件的非必要读取。

三者协同形成从数据的“源头收敛”到“通道阻断”再到“文件管控”的闭环防护，适配OpenClaw复杂环境下的数据安全需求。

4.深化治理，形成全链路的安全闭环

需构建一个涵盖“制度规范、过程管控、环境隔离到联动响应”的全链路审计防御体系。

●源头上，夯实组织管理与供应链安全，建立AI（Agent）治理规范与Skill签名校验机制，规避供应链投毒；

●过程中，部署堡垒机收敛运维与使用入口，对高危操作全程录制并严格执行高风险操作人工审批；

●环境上，确保Agent在受限环境或沙箱运行，阻断横向扩散；

●最后，联动Open XDR整合Agent全链路安全日志与威胁情报，实现从异常发现、研判到自动阻断的全流程PPDR闭环，确保持续合规与安全运营。

三、展望——共筑智能时代的安全基石

问 7：结合这些安全风险，难道要劝退大家不安装使用吗？

答：当然不是“一禁了之”,从去年DeepSeek、Manus云端超级智能体到现在爆火的OpenClaw，市场对AI智能体的需求真实且迫切。山石网科在公司的AI战略中同样也坚持“AI赋能安全”与“保护AI安全”并行，让技术在可控范围内发挥价值。

企业侧通过刚聊的分区部署、安全防护、制度规范等构建了坚实防线，个人同样需要建立自我防护机制。只有企业与个人双管齐下，才能在享受技术便利的同时，牢牢守住安全底线。

问 8：员工或个人用户，该如何防护 OpenClaw 的安全风险？

答：个人防护核心是 “控源头风险，守最小权限”。

1)来源可信：严禁在生产/办公主力机随意安装，仅从官方渠道获取最新稳定版；

2)网络隔离：绑定 127.0.0.1 仅限本机访问，修改默认端口并配置强认证令牌；远程访问通过 VPN/SSH 隧道或反向代理，拒绝直接暴露；

3)权限最小化：严禁使用 root/管理员权限部署，运行环境中不存储敏感信息、重要数据；

4)技能谨慎：不安装来源不明的Skill技能包，安装前审查，拒绝需执行 Shell 脚本或索取系统密码的插件；

5)持续监控：定期审计运行日志，发现异常立即停用；保持版本及时更新修补漏洞，定期备份关键数据。

问 9：关于 OpenClaw 和 AI 安全，你还有什么想和大家说的吗？

答： OpenClaw 所暴露的安全问题，实质是“可执行 AI”在进化中面临的“能力与管控"失衡。随着 AI 智能体普及，这种矛盾将愈发尖锐。正如年初培训时所憧憬：

未来，相信山石网科 ASIC 防火墙或将搭载超级运维智能体

●一句“配置 HA”指令，即可自动闭环完成HA相关的检查、配置规划、联动调试和确认执行的全流程任务；

●但若在提示词中暗藏“关闭**端口”的恶意诱导，前置应用防火墙将敏锐识别并即时阻断，同步上报 Open XDR 平台。

我们始终坚持让安全更智能，让智能更安全，以安全底座护航 AI 能力释放。

感谢专家，山石网科会持续跟进 OpenClaw 等 AI Agent 的技术和风险变化，迭代升级防护方案，与行业伙伴共建安全、可信的 AI 应用生态，夯实智能未来的安全底座，赋予技术创新拥有自由而确定的无限可能。

山石网科是中国网络安全行业的技术创新领导厂商，由一批知名网络安全技术骨干于2007年创立，并以首批网络安全企业的身份，于2019年9月登陆科创板（股票简称：山石网科，股票代码：688030）。

现阶段，山石网科掌握30项自主研发核心技术，申请560多项国内外专利。山石网科于2019年起，积极布局信创领域，致力于推动国内信息技术创新，并于2021年正式启动安全芯片战略。2023年进行自研ASIC安全芯片的技术研发，旨在通过自主创新，为用户提供更高效、更安全的网络安全保障。目前，山石网科已形成了具备“全息、量化、智能、协同”四大技术特点的涉及基础设施安全、云安全、数据安全、应用安全、安全运营、工业互联网安全、信息技术应用创新、AI安全、安全服务、安全教育等10大类产品及服务，50余个行业和场景的完整解决方案。