出品 | 网易科技《态度》栏目
作者 | 袁宁
编辑 | 丁广胜
起先叫Clawdbot，后来改成 Moltbot，现在又换成 OpenClaw。名字变了几次，但传播速度没有变。过去一周，它被工程师、产品经理、投资人反复转发：有人说“如果你没用过，那你就落后了”，有人说“它改变了游戏规则”，还有人写下“Clawdbot is AGI”。
大厂反应也快。1月28日，腾讯云和阿里云几乎同时宣布上线 OpenClaw 的云端极简部署与配套服务，卖点很一致：一键安装。
与 ChatGPT、Claude 这些被圈养在浏览器或App沙盒里的“聊天机器人”不同，OpenClaw更像是一个拥有三头六臂的“数字员工”。它是一个运行在本地设备或服务器上的“智能体网关”，内置浏览器控制、Canvas 画布、定时任务，能读写文件、跑Shell命令，甚至可以通过 WhatsApp、Slack远程操控你的电脑。
也因此，它的用例很快从“效率工具”滑向“失控实验”。
●有人让它全天候炒股：它制定了几十套交易策略，生成成千上万份分析报告，甚至写了新算法，最后把钱赔光了——但当事人依然评价这个过程“帅炸了”。
●有人把它当成关系维护工具：每天早晚自动给妻子发早安晚安，工作日还会问候“你好吗”，24小时后它竟能在用户几乎不介入的情况下持续对话。
●还有更硬核的玩法：有人创建了一个叫“布莱斯”的特工角色，专门扫描 Minneapolis的实时直播，一旦听到外语就呼叫 ICE（移民执法局）并定位坐标。
●也有人半夜接到它通过飞书打来的电话，通知产品爆单了。
●甚至连作者 Peter Steinberger 自己都被吓了一跳：他明明没编辑语音功能，Clawdbot 却自己完成了设置，处理了他发的语音备忘录。
这就很有意思了。如果说Manus把Agent推到了大众视野，那么OpenClaw这个开源项目带来的，则是一次更野的扩散：开放、平民化，也更不可控。
产品效果已经不需要再多说。真正的问题是：为什么同样是 Agent，它能让行业突然兴奋？它要变成产品，还缺哪些关键环节？把电脑控制权交给 AI，会带来哪些更深层的风险？
总之，围观一个爆款不难，难的是看清它的方向。
不是更强的 Agent，而是24小时托管的新范式
如果把 OpenClaw 的爆火理解成“又一个更强的Agent”，你会错过重点。
它真正改变的不是能力上限，而是任务的归属方式：过去你在“使用工具”，现在你在24小时“托管执行”。你不是打开一个AI产品，然后一步步喂指令；你只是把目标丢进一个对话框里，让它自己跑完——跑不完就继续跑，跑错了就自己修，卡住了就等条件满足再推进。
可以这样理解。过去一年，行业谈Agent，谈的更多是“短任务”：15分钟以内、几十个步骤、有限动作。它能帮你订个票、写个摘要、查个数据。但OpenClaw的出现，则展示了“长任务（Long Task）”的可能性。
OpenClaw之父Peter Steinberger 对此的解释也很朴素。他认为，从技术角度看，他做的的确只是“胶水”工作——把现成组件拼起来。
但OpenClaw的意义恰恰在于：它把技术细节藏起来了，用户感知到的是一种新的交互方式——你不需要关心新会话怎么开、上下文怎么压缩、模型怎么选（最多偶尔想一下 token 成本），这些问题大多数时候会被忽略。你只是在聊天，“像在和一个朋友说话，或者说一个幽灵”。
Peter后来总结：“只要你给这些模型足够的权限，它们真的是非常聪明、足智多谋的野兽”。
快思慢想研究院院长田丰则把OpenClaw放进了更大的语境中，进一步向《网易科技》解释了爆火的原因。他认为，在互联网巨头争夺 AI 超级入口的战场边缘，大众用户真正渴望的，是一种更快捷、更简单、更便宜的“拼装式智能体”——大厂在争夺入口，小用户在绕开入口。
在田丰看来，OpenClaw指向的正是另一种新范式：从“人操作机器”（人为主、AI 为辅），转向“人设定目标，机器负责执行”（人指挥、AI 干活）的智能协作时代。
它像是一个更激进的预告：未来每个人都可能拥有、完全忠诚于你个人利益的数字劳动力。
认知被打穿后，大厂一定会跟
“OpenClaw这种东西一出来，市场对‘Agent做事’的认知，其实又被重新校准了一次。”华映资本董事总经理李岩告诉《网易科技》，“最怕的就是你不知道这事能不能做，现在就是能做了。”
这也是OpenClaw让行业兴奋的核心：不在于它展示了多少新能力，而在于它把“长任务执行”从理论变成了可见的现实。
李岩补了一句更狠的判断：“长任务一出，其实说实话短任务就废了。”这并不是短任务没有价值，而是用户一旦见过“7×24小时无人化执行”的可能性，就很难再回到半自动时代。
范式在切换时可能就是如此残酷。更有投资人评价：“得亏 Manus 卖了”。
而一旦“能做”成立，大厂则一定会跟进。李岩认为，大厂的优势从来都不是“先发”，而是“补短板”：创业公司可能只盯着长板，为的是“能跑起来”；但大厂更擅长把一个“看起来能跑”的系统，补成一个“真的能交付”的产品：补安全、补合规、补稳定性、补工程漏洞、补权限体系、补监控与回滚，最后把它装进云服务的商品化管道里。
这也解释了为什么你看到的现实是：OpenClaw 自己短期未必赚到钱，但腾讯云、阿里云则能第一时间把热度变现。
换句话说，爆款开源项目负责“打穿认知“，但大厂则能“接住需求”。
OpenClaw要产品化，关键在可控
但如果说 OpenClaw 让人看到了“智能体时代”的另一种可能，那它也暴露了智能体落地的真正门槛：不是能力，而是可控。
李岩认为，OpenClaw 要成为真正产品，首先要解决的还是在每一类任务上的准确性——“其实他在执行特定任务或者是每一类任务的准确度上，我觉得还是差点意思。”
其次是“监管可视化”。他提到一个现实问题：Agent 在执行过程中，用户往往不知道它正在做什么，“因为他本身自己是不能监控自己的……你看不到他干嘛。”但他也认为这部分补起来其实并不困难。“我觉得这个其实补得很快。也就是能看到他在干什么，把过程能给你显示出来。”
真正困难的在于“安全”，“需要大量的去做后调，去保证我的绝对安全性。”
田丰给《网易科技》的落地路线几乎就是一个产品化清单：
●安全沙盒与精细权限控制：能力越大，责任越大。在拥有最强权限保证执行畅通无阻时，更需要构建精细可靠、低风险的权限控制系统，让用户能清晰地为Agent授权，比如“只读模式”、“沙盒模式”、“完全访问模式”，确保智能体行为不会造成意外损害。虽然目前仍需要用户阅读文档来控制风险，但Clawdbot的安全治理将追求实现“傻瓜化”。
●稳定性与平台适配：近期Clawdbot每天发布多次新版本，项目迭代极快。稳定性是大众用户的信任基础，还需要覆盖更多平台，包括Windows、Android、iOS、鸿蒙等，并确保跨系统、跨终端体验一致可靠，这需要更多开源社区贡献者的自发投入。
●降低使用门槛：Clawdbot安装过程对非技术用户仍有挑战，后续目标是实现“一键安装”，并为海量小白用户提供清晰的入门指南，辅导用户理解安全设置与核心功能。
●成本与性能优化：让产品能在本地模型与消费电子低配环境上流畅运行是关键，这能彻底解决“家用智能体”的API成本和数据隐私问题。后续需要持续优化对各类领先大模型的支持，让用户拥有更多自由选择。
说到底，智能体的未来不会只由“最强模型”决定，而会由“谁能把权限交出去但不失控”决定。
更难的在安全：攻击面不是扩大，是“穿透”
当你把电脑控制权交给 AI，风险也不再是“隐私泄露”这么简单。
360数字安全集团的专家告诉《网易科技》：本地化自托管 AI 助手型智能体，会让安全风险呈现出多维度的新特性，对防御体系的挑战是结构性的。
也就是说，传统软件的风险，更多来自某个漏洞、某段代码、某个接口。而智能体的风险是“全链路穿透”的：
● LLM 语义理解层：提示词注入
● 工具协议交互层：请求伪造
● Server 执行层：命令注入
● 数据源访问层：数据泄露
更麻烦的是，当你开始引入 MCP 工具、插件、多个智能体互相调用，攻击入口会呈几何级增长。
这也意味着：你以为你在装一个“更聪明的助手”，你实际上是在你的电脑里接入一个“能被劫持的执行器”。
360数字安全集团的专家还提到三类更典型的攻击方式：
第一种是间接提示词注入（Indirect Prompt Injection）。
攻击者不直接和Agent对话，而是把恶意指令藏在邮件、网页、文档里。Agent读取内容后，被覆盖意图，执行流被劫持。也就是说，你以为它在总结一封邮件，它可能在执行邮件里的指令。
第二种是供应链式的 Rug Pull 攻击。
某个MCP工具或插件一开始表现正常，骗取长期授权，后续通过更新或触发器突然变恶，开始窃取数据或破坏系统。
还有更隐蔽的工具投毒（Tool Poisoning）。
不改代码，改描述字段或元数据，诱导模型错误调用工具、以危险参数执行操作。
这些攻击之所以可怕，是因为它们不再依赖传统意义上的“漏洞”，而是利用了智能体的核心能力：理解自然语言、自动规划、自动执行。
一旦它被利用，它不是被黑成一个“受害者”，而是变成攻击者的“傀儡、跳板和执行器”。
Peter 在被质疑安全问题时的态度也很耐人寻味：他认为大多数人早就把邮箱、日历、云盘授权给大厂集成了，模型掌握数据是一种既成事实。区别在于，运行在云端的黑盒你看不见，而运行在本地至少还能看日志，甚至更可控——在他看来，把权限交给大公司，未必比交给自己电脑更安全。
但更现实的问题仍然摆在面前：当智能体能替你点击“确认”、替你执行“删除”、替你发出“转账”，到底谁能被信任？谁能来控制？谁又为结果负责？
