更魔幻的是——閑魚(yú)上“上門卸載OpenClaw”的服務(wù)已經(jīng)上架，價(jià)格從20元到299元不等，生意比安裝還火。今天，我們整理了一份《小龍蝦安全使用手冊(cè)最新版）》，包含官方排查清單、惡意插件黑名單、應(yīng)急處理指南。不管你是已經(jīng)養(yǎng)了，還是正準(zhǔn)備養(yǎng)，花5分鐘看完，也許能保住你的電腦和錢包。

01 為什么官方緊急預(yù)警？OpenClaw 默認(rèn)配置 = 數(shù)字裸奔

OpenClaw（小龍蝦）雖然功能強(qiáng)大，但它的默認(rèn)配置極度脆弱——相當(dāng)于你把家門大敞開(kāi)，還貼了張紙條：“鑰匙在門口墊子下”。國(guó)家互聯(lián)網(wǎng)應(yīng)急中心、工信部密集預(yù)警，明確其四大致命風(fēng)險(xiǎn)，絕非危言聳聽(tīng)。

• 提示詞注入：點(diǎn)開(kāi)一個(gè)惡意網(wǎng)頁(yè)，你的API密鑰就可能被偷，黑客用你的錢包替你“買單”。
• 誤操作風(fēng)險(xiǎn)：AI可能誤解指令，一鍵刪光你的重要文件，已有用戶工作成果被徹底清空。
• 插件投毒：裝的插件可能是木馬，電腦淪為“肉雞”，被遠(yuǎn)程控制、挖礦、攻擊他人。
• 高危漏洞：超82個(gè)公開(kāi)漏洞，含12個(gè)超危漏洞，攻擊者可遠(yuǎn)程代碼執(zhí)行，完全控制你的系統(tǒng)。

Meta研究員親述，其“龍蝦”曾批量刪除郵件，直至物理關(guān)機(jī)才停下；有網(wǎng)友安裝3天，電腦網(wǎng)絡(luò)配置被篡改，無(wú)法聯(lián)網(wǎng)；更有人花800元找人安裝，結(jié)果銀行卡被盜刷5000元。截至2026年3月，全球超41萬(wàn)OpenClaw實(shí)例暴露公網(wǎng)，15.6萬(wàn)例存在數(shù)據(jù)泄露風(fēng)險(xiǎn)，相當(dāng)于十幾萬(wàn)臺(tái)電腦在“裸奔”。

02 快速自檢：你的小龍蝦安全嗎？30 秒對(duì)照排查

花30秒，對(duì)照下面清單檢查，只要有一項(xiàng)是“危險(xiǎn)”，請(qǐng)立即加固！

• 端口暴露：安全做法（僅監(jiān)聽(tīng)本地127.0.0.1）；危險(xiǎn)做法（暴露在公網(wǎng)0.0.0.0）。
• 身份認(rèn)證：安全做法（啟用32位以上隨機(jī)Token）；危險(xiǎn)做法（無(wú)認(rèn)證，任何人可訪問(wèn)）。
• 運(yùn)行權(quán)限：安全做法（使用低權(quán)限專用賬戶）；危險(xiǎn)做法（用root/管理員身份運(yùn)行）。
• API密鑰：安全做法（加密存儲(chǔ)+環(huán)境變量）；危險(xiǎn)做法（明文寫(xiě)在配置文件里）。
• 插件來(lái)源：安全做法（僅裝安全評(píng)分≥90分的插件）；危險(xiǎn)做法（網(wǎng)盤/群聊分享的未知插件）。

03 安全操作指南（傻瓜版）：三步加固，拒絕裸奔

按照以下步驟操作，快速修復(fù)安全漏洞，從源頭阻斷攻擊。

第一步：檢查端口是否暴露

打開(kāi)電腦的“命令提示符”（Windows）或“終端”（Mac/Linux），輸入對(duì)應(yīng)命令：

• Windows用戶：netstat -ano | findstr :18789
• Mac/Linux用戶：lsof -i :18789

如果顯示0.0.0.0:18789或*:18789，說(shuō)明你的小龍蝦正在向整個(gè)互聯(lián)網(wǎng)敞開(kāi)大門——危險(xiǎn)！

 第二步：修改配置文件，鎖死公網(wǎng)訪問(wèn)

找到小龍蝦的配置文件openclaw.json（通常在安裝目錄下），修改為以下安全配置：

{"gateway":{"mode":"local","port":18789,"bind":"loopback","auth":{"token":"這里填32位以上隨機(jī)字符串"}}}

Token生成建議：輸入隨機(jī)亂碼，如M7xg!kq9#Lp2@zR5wYt4*Nq8&Jc3，確保復(fù)雜度足夠。

第三步：API 密鑰絕不明文存儲(chǔ)，用環(huán)境變量隔離

錯(cuò)誤示范：在配置文件里寫(xiě)"api_key": "sk-xxx..."，黑客一秒就能偷走。

正確做法：

• Mac/Linux用戶：export ANTHROPIC_API_KEY="你的密鑰"
• Windows用戶：set ANTHROPIC_API_KEY=你的密鑰

然后在配置文件里改為："api_key": "env://ANTHROPIC_API_KEY"，實(shí)現(xiàn)密鑰與配置文件隔離。

04 惡意插件黑名單（裝了趕緊刪）：這些插件是 “數(shù)字病毒”

以下插件已被確認(rèn)有惡意行為，若已安裝，立即卸載并更換所有密碼、密鑰！

• crypto-wallet-tracker：偽裝加密錢包追蹤器，實(shí)際竊取API密鑰、植入后門。
• video-downloader-pro：偽裝視頻下載工具，實(shí)際是鍵盤記錄器、竊取憑據(jù)。
• email-organizer：偽裝郵件整理工具，實(shí)際讀取所有郵件并外傳。
• system-cleaner：偽裝系統(tǒng)清理工具，實(shí)際可刪除系統(tǒng)核心文件。

插件安全判斷標(biāo)準(zhǔn)：要求root權(quán)限的插件→直接拒絕；要求訪問(wèn)~/.ssh、~/.env的插件→高度警惕；來(lái)源是網(wǎng)盤/社交群分享的插件→堅(jiān)決不裝。

05 應(yīng)急處理：懷疑被入侵？按順序操作，止損第一

如果感覺(jué)電腦異常（如文件莫名刪除、網(wǎng)絡(luò)異常、Token消耗暴增），立即按以下步驟處理：

• 立即斷網(wǎng)：拔掉網(wǎng)線或關(guān)閉Wi-Fi，切斷黑客遠(yuǎn)程控制通道。
• 停止小龍蝦服務(wù)：在任務(wù)管理器里結(jié)束OpenClaw進(jìn)程，終止惡意操作。
• 更換所有密鑰：所有AI服務(wù)API密鑰（Anthropic/OpenAI等）、云服務(wù)密鑰（阿里云/騰訊云）、重要網(wǎng)站密碼全部重置。
• 全盤殺毒：用360、火絨等安全軟件全盤掃描，清除木馬、后門。
• 報(bào)告異常：工作電腦通知公司IT；個(gè)人用戶向工信部威脅平臺(tái)報(bào)送，協(xié)助溯源。

06 還沒(méi)養(yǎng)但想養(yǎng)？三個(gè)安全方案（從易到難）

想體驗(yàn)OpenClaw，優(yōu)先選擇安全部署方式，避免踩坑。

• 新手方案：等360安全版“龍蝦”（周鴻祎透露正在開(kāi)發(fā)），內(nèi)置安全防護(hù)，零門檻使用。
• 穩(wěn)妥方案：用Docker容器隔離，命令：docker run -d --name openclaw-safe --read-only --cap-drop=ALL -p 127.0.0.1:18789:18789 openclaw/openclaw:latest，實(shí)現(xiàn)進(jìn)程與文件系統(tǒng)隔離。
• 終極方案：租VPS + Tailscale VPN（每月5-10美元），數(shù)據(jù)與本地隔離，遠(yuǎn)程訪問(wèn)加密，最安全。

總結(jié)

從“排隊(duì)安裝”到“排隊(duì)卸載”，小龍蝦只用了3天。技術(shù)本身沒(méi)有對(duì)錯(cuò)，但跟風(fēng)之前，先問(wèn)問(wèn)自己：我真的了解風(fēng)險(xiǎn)嗎？OpenClaw默認(rèn)配置極度脆弱，端口暴露、無(wú)認(rèn)證、高權(quán)限運(yùn)行、插件投毒等問(wèn)題，隨時(shí)可能讓你的電腦淪為黑客“肉雞”，數(shù)據(jù)與資產(chǎn)面臨巨大風(fēng)險(xiǎn)。

BestClaw 是由天下數(shù)據(jù)打造的 OpenClaw 專屬云主機(jī)解決方案，集服務(wù)器 + API + 部署 + 售后于一體。

詳情：http://m.51huadong.com/2026/bestclaw.asp

不管是已養(yǎng)還是準(zhǔn)備養(yǎng)，務(wù)必做好安全加固：鎖死公網(wǎng)端口、啟用強(qiáng)認(rèn)證、用環(huán)境變量存密鑰、只裝安全插件、優(yōu)先選擇隔離部署。理性看待AI熱潮，安全永遠(yuǎn)是第一位的。如果你覺(jué)得這份手冊(cè)有用，轉(zhuǎn)發(fā)給身邊養(yǎng)“蝦”的朋友，也許能幫他們保住電腦和數(shù)據(jù)。

FAQ

1. Q：本地部署OpenClaw，必須用閑置電腦嗎？

A：強(qiáng)烈建議用閑置電腦。主力電腦存儲(chǔ)重要數(shù)據(jù)、密碼，OpenClaw需高系統(tǒng)權(quán)限，一旦被入侵，數(shù)據(jù)將徹底泄露；閑置電腦部署可實(shí)現(xiàn)環(huán)境隔離，降低風(fēng)險(xiǎn)。

2. Q：安裝第三方插件前，如何快速審查安全性？

A：優(yōu)先安裝Skill-vetter安全審查插件，安裝前自動(dòng)掃描惡意代碼；也可通過(guò)ClawHub查看VirusTotal安全報(bào)告，綠色（Clean）可安裝，紅色（Malicious）立即放棄。

3. Q：云端部署OpenClaw，比本地部署更安全嗎？

A：是的。云端部署（如騰訊云、阿里云OpenClaw專屬版）運(yùn)行在大廠服務(wù)器，默認(rèn)配置安全，端口不暴露公網(wǎng)，有專業(yè)安全防護(hù)，無(wú)需擔(dān)心本地?cái)?shù)據(jù)泄露，適合新手與普通用戶。

4. Q：Token消耗異常，是不是被黑客盜刷了？

A：大概率是。若Token費(fèi)用從日均20元飆升至300元以上，立即斷網(wǎng)、停止服務(wù)、更換API密鑰，排查是否安裝惡意插件，必要時(shí)全盤殺毒。

本文鏈接：http://m.51huadong.com/cloundnews/11016951.html