工信部专家提醒：养龙虾务必要注意这6个安全要点

3月10日，开源AI智能体OpenClaw（别称“龙蜥”）引发广泛关注，吸引了国内产业界的高度重视，众多用户已开始部署体验。

“养龙蜥”是否足够安全？个人用户在实际使用中应该关注哪些关键点？

根据“工信微报”公众号消息，中国信息通信研究院副院长魏亮指出，作为本地运行的AI代理，“龙蜥”具备自主决策、调用系统资源等特点。然而，由于信任边界模糊、技能包市场目前仍缺乏严格审核，存在不少风险隐患。

例如，在调用大语言模型时，AI可能误解用户指令内容，导致执行删除等有害操作；如果使用被植入恶意代码的技能包，还可能造成数据泄露或系统被控制。

结合前期发布的风险提示，建议从以下六个方面安全使用“龙蜥”智能体。

第一、使用官方版本

部署时应优先从官方渠道下载最新稳定版，并开启自动更新提醒。升级前务必做好数据备份，升级后重启服务并验证补丁是否生效。切勿使用第三方镜像或旧版本。

第二、严格控制互联网暴露面

切勿将“龙蜥”智能体实例暴露至公网。确需互联网访问的，建议通过SSH隧道等方式，并限制访问来源IP，配合强密码、证书或硬件密钥等认证方式。同时，定期自查是否存在互联网暴露情况，一旦发现立即下线整改。

第三、坚持最小权限原则

部署时严禁使用管理员权限账户，仅授予完成任务所需的最小权限。对删除文件、发送数据、修改系统配置等重要操作，应进行二次确认或人工审批。建议在容器或虚拟机中隔离运行，以形成独立的权限区域。

第四、谨慎使用技能市场

ClawHub是专为“龙蜥”智能体用户提供技能包的社区平台，其中的技能包存在恶意投毒风险，建议审慎下载，并在安装前审查技能包代码，拒绝任何要求“下载ZIP”、“执行shell脚本”或“输入密码”的技能包。

第五、防范社会工程学攻击和浏览器劫持

不要随意浏览来源不明的网页，避免点击陌生的网页链接。建议使用浏览器沙箱、网页过滤器等扩展阻止可疑脚本，启用OpenClaw速率限制和日志审计功能，遇到可疑行为立即断开网关并重置密码。

第六、建立长效防护机制

启用详细日志审计功能，定期检查并修补漏洞。党政机关、企事业单位和个人用户可结合网络安全防护工具、主流杀毒软件进行实时防护。要定期关注OpenClaw最新安全公告、工信部和信息化部网络安全威胁和漏洞信息共享平台等漏洞库的风险预警，及时处置可能存在的安全风险。