工信部發(fā)布安全風(fēng)險建議 針對“龍蝦”應(yīng)用提出六要六不要。3月11日，工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺（NVDB）組織智能體提供商、漏洞收集平臺運(yùn)營單位、網(wǎng)絡(luò)安全企業(yè)等，針對“龍蝦”典型應(yīng)用場景下的安全風(fēng)險，提出了“六要六不要”建議。

在智能辦公場景中，主要存在供應(yīng)鏈攻擊和企業(yè)內(nèi)網(wǎng)滲透的風(fēng)險。通過在企業(yè)內(nèi)部部署“龍蝦”，對接企業(yè)已有管理系統(tǒng)，實現(xiàn)智能化數(shù)據(jù)分析、文檔處理、行政管理、財務(wù)輔助和知識管理等功能。引入異常插件、“技能包”等可能引發(fā)供應(yīng)鏈攻擊；網(wǎng)絡(luò)安全風(fēng)險在內(nèi)網(wǎng)橫向擴(kuò)散，可能導(dǎo)致已對接的系統(tǒng)平臺、數(shù)據(jù)庫等敏感信息泄露或丟失；缺乏審計和追溯機(jī)制情況下易引發(fā)合規(guī)風(fēng)險。應(yīng)對策略包括獨(dú)立網(wǎng)段部署，與關(guān)鍵生產(chǎn)環(huán)境隔離運(yùn)行，禁止在內(nèi)部網(wǎng)絡(luò)使用未審批的“龍蝦”智能體終端；部署前進(jìn)行充分安全測試，部署時采取最小化權(quán)限授予，禁止非必要的跨網(wǎng)段、跨設(shè)備、跨系統(tǒng)訪問；留存完整操作和運(yùn)行日志，確保滿足審計等合規(guī)要求。

在開發(fā)運(yùn)維場景中，主要存在系統(tǒng)設(shè)備敏感信息泄露和被劫持控制的風(fēng)險。通過企業(yè)或個人部署“龍蝦”，將自然語言轉(zhuǎn)化為可執(zhí)行指令，輔助進(jìn)行代碼編寫、代碼運(yùn)行、設(shè)備巡檢、配置備份、系統(tǒng)監(jiān)控、管理進(jìn)程等。非授權(quán)執(zhí)行系統(tǒng)命令可能導(dǎo)致設(shè)備遭網(wǎng)絡(luò)攻擊劫持；系統(tǒng)賬號和端口信息暴露，遭受外部攻擊或口令爆破；網(wǎng)絡(luò)拓?fù)?、賬戶口令、API接口等敏感信息泄露。應(yīng)對策略包括避免生產(chǎn)環(huán)境直接部署使用，優(yōu)先在虛擬機(jī)或沙箱中運(yùn)行；部署前進(jìn)行充分安全測試，部署時采取最小化權(quán)限授予，禁止授予管理員權(quán)限；建立高危命令黑名單，重要操作啟用人工審批機(jī)制。

在個人助手場景中，主要存在個人信息被竊和敏感信息泄露的風(fēng)險。通過個人即時通訊軟件等遠(yuǎn)程接入本地化部署的“龍蝦”，提供個人信息管理、日常事務(wù)處理、數(shù)字資產(chǎn)整理等，并可作為知識學(xué)習(xí)和生活娛樂助手。權(quán)限過高可能導(dǎo)致惡意讀寫、刪除任意文件；互聯(lián)網(wǎng)接入情況下可能遭受網(wǎng)絡(luò)攻擊入侵；通過提示詞注入誤執(zhí)行危險命令，甚至接管智能體；明文存儲密鑰等導(dǎo)致個人信息泄露或被竊取。應(yīng)對策略包括加強(qiáng)權(quán)限管理，僅允許訪問必要目錄，禁止訪問敏感目錄；優(yōu)先通過加密通道接入，禁止非必要互聯(lián)網(wǎng)訪問，禁止高危操作指令或增加二次確認(rèn)；嚴(yán)格通過加密方式存儲API密鑰、配置文件、個人重要信息等。

在金融交易場景中，主要存在引發(fā)錯誤交易甚至賬戶被接管的風(fēng)險。通過企業(yè)或個人部署“龍蝦”，調(diào)用金融相關(guān)應(yīng)用接口，進(jìn)行自動化交易與風(fēng)險控制，提高量化交易、智能投研及資產(chǎn)組合管理效率，實現(xiàn)市場數(shù)據(jù)抓取、策略分析、交易指令執(zhí)行等功能。記憶投毒可能導(dǎo)致錯誤交易，身份認(rèn)證繞過導(dǎo)致賬戶被非法接管；引入包含惡意代碼的插件可能導(dǎo)致交易憑證被竊?。粯O端情況下因缺乏熔斷或應(yīng)急機(jī)制，導(dǎo)致智能體失控頻繁下單等風(fēng)險。應(yīng)對策略包括實施網(wǎng)絡(luò)隔離與最小權(quán)限，關(guān)閉非必要互聯(lián)網(wǎng)端口；建立人工復(fù)核和熔斷應(yīng)急機(jī)制，關(guān)鍵操作增加二次確認(rèn)；強(qiáng)化供應(yīng)鏈審核，使用官方組件并定期修復(fù)漏洞；落實全鏈路審計與安全監(jiān)測，及時發(fā)現(xiàn)并處置安全風(fēng)險。

為了安全使用“龍蝦”，建議從官方渠道下載最新穩(wěn)定版本，并開啟自動更新提醒；定期自查是否存在互聯(lián)網(wǎng)暴露情況，一旦發(fā)現(xiàn)立即下線整改；根據(jù)業(yè)務(wù)需要授予完成任務(wù)必需的最小權(quán)限，對重要操作進(jìn)行二次確認(rèn)或人工審批；審慎下載ClawHub“技能包”，并在安裝前審查技能包代碼；使用瀏覽器沙箱、網(wǎng)頁過濾器等擴(kuò)展阻止可疑腳本，啟用日志審計功能；定期檢查并修補(bǔ)漏洞，關(guān)注官方安全公告，結(jié)合網(wǎng)絡(luò)安全防護(hù)工具進(jìn)行實時防護(hù)。

附錄提供了部分安全基線及配置參考，包括創(chuàng)建OpenClaw專有用戶、限制互聯(lián)網(wǎng)訪問、開啟詳細(xì)日志、文件系統(tǒng)訪問控制、第三方技能審查、安全自檢、更新版本和卸載步驟。這些措施有助于提高“龍蝦”的安全性，減少潛在的安全風(fēng)險。