小龙虾味美，但要注意安全！工信部已点名高风险|小龙虾|开心|插件|服务器|淡水龙虾|高风险|黑客

这段时间，一款名为OpenClaw的开源AI智能体突然爆红全球，因其图标是一只醒目的红色龙虾，被网友亲切称为“小龙虾”，部署和使用它的过程也被戏称为“养龙虾”，GitHub上线4个月就斩获25万星标超越Linux；前几天腾讯宣布现场免费安装，有近千人排队，也上了热搜，这只“小龙虾”以燎原之势席卷极客圈与大众市场，成为AI领域现象级产品！不过在狂欢背后，其暗藏的巨大安全风险也被彻底起底，值得每一位使用者高度警惕。

“小龙虾”由奥地利资深程序员彼得·施泰因贝格尔创建，历经三次更名，于2026年初正式定名OpenClaw并引爆市场，即便后来彼得加入OpenAI，该项目也移交独立基金会持续运营。与传统只能“动口”的AI助手不同，OpenClaw是一款能“动手”的AI智能体，核心定位是“能真正做事的AI”，可直接操作电脑，完成跨应用、跨平台的复杂任务，堪称“数字员工”。

“小龙虾”核心优势在于：视觉驱动能力可模拟鼠标键盘操作，无需API就能操控任何软件；支持微信、钉钉、飞书等工具，聊天中即可下达指令；社区已贡献超1.3万个“技能”，涵盖邮件处理、代码开发、数据整理等多个场景；同时支持本地部署，数据本地存储，兼顾便捷性与隐私性。无论是程序员用它调试代码、运维服务器，还是普通上班族用它整理邮件、生成周报，都能大幅提升效率，这也是它快速走红的核心原因。

然而，就在“养龙虾”的热潮愈演愈烈时，一则令人心惊的消息打破了狂欢：有人扫描全网发现，共有23.49万个“小龙虾”实例直接裸奔在公网上，成为黑客眼中的“肥肉”。这些实例均使用默认配置，监听18789端口，未开启token验证、未设置密码、未开启防火墙，相当于用户把家门钥匙、银行卡密码和电脑管理员权限全贴在大门上，直白地向黑客“敞开大门”。

工信部网络安全威胁和漏洞信息共享平台也发布高危预警，点名OpenClaw在默认或不当配置下存在公网暴露、权限失控、数据泄露等重大风险。

这些风险已经出现大量真实案例：黑客可通过暴露端口一键接入，查看他人Agent的操作记录，窃取API Key、钱包信息等敏感数据；部分服务器被黑客接管，当作肉鸡挖矿、运行后门程序；企业部署的“小龙虾”因配置不当，导致核心机密被无偿窃取，造成不可挽回的损失。而且ClawHub插件市场中还出现了伪装成正常插件的恶意软件，进一步放大了攻击风险。

面对“小龙虾”的安全隐患，无论是普通用户还是企业，都不能心存侥幸，必须立即采取措施加固防护，以下5分钟自救清单可直接套用，简单易操作：

第一步，排查公网暴露情况。在终端输入“netstat / ss -tuln | grep 18789”，查看自己的“小龙虾”是否存在公网监听，这是防范风险的基础；

第二步，关闭不必要的公网访问，立即将实例改绑127.0.0.1，彻底切断外网接入通道，避免被黑客扫描到；

第三步，及时更新版本，将OpenClaw升级至最新版，官方已在新版本中加强了安全默认配置，修复了多项已知漏洞；

第四步，强化身份认证，添加--token强密码，或使用Cloudflare Tunnel、Tailscale等工具，进一步提升防护等级；

第五步，执行自检，输入“openclaw doctor”，排查潜在安全隐患，确保配置合规。

此外，工信部还给出明确安全建议：部署时遵循最小权限原则，不使用管理员权限运行；敏感数据加密存储，开启操作日志审计；拒绝代装、破解版，仅从官方渠道获取安装包；持续关注官方安全补丁，及时完成加固配置。对于普通用户，建议优先选择大厂云端部署服务，降低操作门槛；科技发烧友尝试本地部署时，需做好硬件准备和权限管控，避免因操作不当留下安全漏洞。