AI 代理正迅速从令人印象深刻的演示走向能代表你实际操作的工具，而 OpenClaw 是引发这波关注的项目之一。你可能还看到过 Clawdbot 和 Moltbot 这些名字——它们是奥地利开发者 Peter Steinberger 在开发过程中使用的不同称呼。
作为一款宣称可以无需人工干预操作的软件个人助手，OpenClaw 也带来了关于访问权限与安全性的重大问题。
- AI 代理是具备执行能力的 AI 系统，而不仅仅是会对话的工具。
- 像 OpenClaw 这样的工具展示了自托管 AI 代理能有多强大。
- 当代理处理不受信任的输入时，这种能力会引入新的安全风险。
- 对 AI 代理而言，提示注入是一个关键威胁，甚至比对话型机器人更危险。
- 持久记忆会放大错误并延长攻击影响。
- AI 代理很强大，但对大多数普通消费者来说并非默认安全的选择。
为什么 OpenClaw 会引起热议？
OpenClaw 之所以受到关注，是因为它代表了从只会回答问题的 AI 向能够在真实系统上主动执行任务、甚至操作软件的 AI 的转变。这些潜在的安全问题也促使更多安全圈的人开始讨论 OpenClaw。OpenClaw 对开发者和高级用户有什么吸引力？
OpenClaw 的特点在于它能执行真实操作，而不只是生成文字或建议。它不再只是告诉你该做什么，而是可以自己去做。该技术可以为你打开应用、发送消息、移动文件、运行命令，并直接与系统交互。
正是这种级别的自动化吸引了关注。开发者和高级用户把系统级控制视为减少重复工作或自动化流程的方式。能“替你去做事”的 AI 代理这一概念非常有吸引力。
正因如此，OpenClaw 从小众项目快速进入了更广泛的讨论领域。
这件事为何超越了 OpenClaw 本身
OpenClaw 为广泛转向能实际执行动作的 AI 代理提供了一个直观示例，而不再仅仅是回应或提供建议。
当这类技术发展时，如何被滥用的问题就无法回避。OpenClaw 展示了 AI 的发展方向。这使得它的影响远不止一个项目本身，并为围绕如何管控这些代理的持续讨论奠定了基础。我们能信任它们吗？
什么是 AI 代理？它与其他 AI 工具有什么不同？
AI 代理不是仅仅对你的问题给出文本或语音回答的系统。它们可以主动规划步骤并执行行动以达成目标。它们不会止步于提供建议，而是决定下一步并执行。
一个 AI 代理可以观察情境并采取行动。这不同于大多数只响应提示、等待下一次指令的 AI 工具。早期的例子包括像 Manus（现为 Meta 所有）的任务执行型代理。Manus 展示了代理如何从对话走向执行：它可以做数据分析，甚至主动编写代码来解决问题，而不需要人在每一步明确指示。
OpenClaw 延续了这种具备执行能力的 AI 思路，但应用方式更直接、权限更广。
OpenClaw 是典型的 AI 代理，还是更先进的东西？
OpenClaw 属于 AI 代理范畴，但它比很多人现在熟悉的工具实现得更强大。
该 AI 工具可以在无需持续输入的情况下规划任务并采取行动。OpenClaw 能直接与软件和操作系统交互，而不仅限于使用 API 或受限工具。更广的访问权限提高了实用性，也提高了风险并凸显了安全的重要性。
自托管 AI 代理为何不同
自托管 AI 代理在你自己的系统上运行，而不是在远程服务上。这让用户对配置和行为有更多控制，但同时也把责任转移给了用户。
当代理拥有本地访问权限时，安全性取决于如何配置、授予了哪些权限以及如何监控。更多控制意味着更多风险。
近期的一些项目显示，“自托管”代理的概念正在演变。例如，Moltbot（前身为 Clawdbot）现在可以通过 Cloudflare 的开源 Moltworker 运行，将代理部署到受管平台上，从而完全免去了专门本地硬件的需求。
这降低了入门门槛并简化了设置，但也改变了控制权所在。代理在云端运行时，安全性不仅取决于代理本身，还取决于平台的访问控制以及平台如何处理数据和权限。
举例来说，用户可能希望把 AI 代理只连接到邮箱以便读取邮件，但云端设置如果没有明确禁止，可能同样允许代理发送邮件。
AI 代理与像 ChatGPT 这样的聊天机器人有何不同？
聊天机器人如 ChatGPT 是用来回应的，而 AI 代理是用来行动的。
聊天机器人可以给你建议或解释。AI 代理可以主动打开程序或执行工作流程。
举例来说，有些人已经使用 OpenClaw 自动化交易。他们制定规则并要求 AI 不仅给出建议（这是 ChatGPT 能做到的），而是实际去执行交易。
为什么 AI 代理会带来新的安全风险？
如前所述，AI 代理会采取行动，而不仅仅是给出建议。通常这意味着它们会被授予访问文件、应用或系统功能的权限。
赋予 OpenClaw 的系统访问和自主性改变了潜在影响与风险。OpenClaw 会请求与软件交互或执行某些操作的权限，例如发送邮件或填写表单，而无需你全程监督。这使得它成为一个不确定因素。
错误或被操控可能产生真实后果。风险不仅来自代理被指示去做什么，也来自代理在执行任务时如何解读遇到的信息。
为什么不受信任的输入是核心问题
AI 代理为决定下一步会消费大量外部内容（如网页和文档）。这些内容并不总是可信的。
指令不必是直接的。它们可以隐藏在代理在执行任务时所读取的文本或数据中。这就让攻击者可能在从未与代理直接交互的情况下影响其行为。
这个问题为提示注入开辟了明显路径。攻击者利用不受信任的输入来引导代理执行原本不应执行的操作。
功能强大的 AI 工具需要更强的防护
AI 代理可能访问文件、电子邮件和系统功能。Kaspersky Premium 可以帮助检测可疑活动、阻止恶意脚本，并保护你的设备免受真实世界的网络威胁。
立即免费试用 Premium什么是针对 AI 代理的提示注入？
提示注入是通过向 AI 代理提供不受信任的内容来操控其行为的一种方式，这些内容会改变代理的决策或行动方式。
这类风险并非源于代码中的技术漏洞，而在于代理可能把外部输入（如即时消息或评论）当成指令来处理。当这种情况发生时，代理可能被引导去执行本不应执行的动作。
提示注入在真实场景中的运作方式
提示注入可以是直接的，也可以是间接的。
- 直接——攻击者在代理会读取的内容中故意包含指令。
- 间接——代理在执行常规任务时，从网站或消息中拾取到隐藏或意外的指令。
关键问题在于行为。代理可能会遵循其所“理解”为指导的信息，即便该信息来自不受信任的来源。发生这种情况并不需要存在经典的软件缺陷。
为什么对代理而言提示注入比对聊天机器人更危险
对聊天机器人而言，被注入的指令通常影响输出的文本或建议。对于 AI 代理，它们可以影响实际的操作。
如果代理有访问文件或系统控制权限，被操控的指令可能导致真实世界的变化。这就是为什么提示注入对代理构成更大风险。原本会改变聊天机器人文本输出的同一技术，在代理参与时可能触发意外的实际操作。
什么是 AI 代理的持久记忆？
持久记忆允许 AI 代理保留跨时间段的信息。这意味着它可以利用过去的输入来指导未来的决策，而不是每次任务都从头开始。
持久记忆对 AI 代理意味着什么
一个 AI 代理可以在会话之间存储上下文和指令，并形成偏好的“行为”。这能让代理通过记住以往的经验或操作来更高效地工作。
但这也意味着早期的输入可能影响以后的行为。之前任务中获得的指令或假设，可能在不同情境下继续塑造代理的行为，即使用户已不再注意这些影响。
为什么持久记忆会增加安全风险
持久记忆可能引入延迟效应。有害指令可能不会立即造成问题，但在条件成熟时重新显现。
这会让清理工作变得更困难。被存储的行为可能在多次任务中重复出现。要彻底恢复代理，通常需要清除记忆或重建配置，以确保移除不良影响。
当 AI 代理配置错误或暴露时会发生什么？
一个 AI 代理可能会以所有者从未预期的方式被访问或影响，从而把有用的工具变成潜在的安全隐患。
这既可能由意外或误解引发，也可能由第三方试图操纵代理而导致。
AI 代理如何在无意中被暴露
暴露往往源于简单的错误。诸如弱认证或过于宽泛的权限设置，都会让代理从本应受限的环境中被外部访问到。
在本地运行代理并不意味着自动安全。如果代理连接到互联网或与其他系统交互，就可能被影响。虽然本地控制能降低部分风险，但不能完全消除。
为什么被暴露的 AI 代理会成为攻击面
一旦被暴露，AI 代理就会成为攻击者可以探测、测试和操控的对象。他们可能尝试向代理提供特制输入、触发行为或长期观察其响应模式。
因为代理可以执行真实操作，滥用行为不必像传统入侵那样明显。滥用可能包括引导行为、窃取数据或造成系统意外更改，而无需利用传统的软件漏洞。
什么是 AI 代理安全中的“致命三角”？
“致命三角”指的是三种条件共同存在时，会对 AI 代理构成严重安全风险。
导致严重攻击的三个条件
- 第一种条件是对敏感数据的访问，例如文件、凭证或内部信息。
- 第二种是来自不受信任来源的输入，意味着代理会消费它无法完全验证的内容。
- 第三种是执行外部动作的能力，例如发送请求、修改系统或执行命令。
单独看，这些因素可以被管理。但当它们形成这个三角时，就会变得危险。一个能读取不受信任输入并能据此采取行动的代理，为操控创造了明显路径。控制代理可执行的动作至关重要。
普通用户今天应不应该运行 AI 代理？
对大多数人而言，AI 代理仍属于实验性工具。在合适的设置下它们可能有用，但缺点是它们也会引入并不总是显而易见的新风险。
何时运行 AI 代理是合理的
在受控且低风险的场景下运行 AI 代理是合理的，包括在单独的设备上进行试验。有些人会运行只处理非敏感任务的代理，比如整理文件或测试工作流程。
例如，你想让代理为即将到来的旅行生成行程安排。此时它可以访问所需信息，但应被限制无法直接联系他人或执行可能造成严重后果的操作。
如果你能熟练管理设置，且出现的错误不会造成重大损失，那么代理可以作为学习工具使用。关键是把范围缩小并严格限制访问权限。
何时不应该使用 AI 代理
当代理被授予访问敏感数据或重要账号时，通常不适合使用。不了解权限设置或外部输入危险就运行代理，会迅速提升风险。
选择不运行 AI 代理也是合理的。如果便利性以牺牲安全或心安为代价，那么现在选择不使用是一项明智决定。
使用 AI 代理时哪些基本防护措施是必要的？
基本防护能帮助降低风险，避免小错误演变为严重问题。
Kaspersky 的软件可以通过标记可疑行为并帮助保护账户免受入侵，为你增加一层防护。我们的产品方案可阻挡从恶意软件、病毒到勒索软件和间谍应用等多种威胁。
哪些安全措施最重要
隔离是关键。尽可能在独立的设备和账号上运行代理，避免其影响重要数据或系统。将权限限制为代理确实需要的最小范围。我们建议不要默认赋予完整系统或账户访问权。
审批步骤也很重要。在敏感操作前要求确认可以增加一个缓冲，从而阻止像替你消费资金之类的无意行为。这些简单的控制代价低、效果大。
AI 代理对消费级 AI 的未来意味着什么？
AI 代理预示着这样一个未来：AI 工具不仅仅提供辅助，而是会采取行动。但这种转变伴随着权衡，消费者才刚开始应对这些问题。
当前阶段说明了代理成熟度的什么情况
AI 代理功能强大但尚不成熟。它们能自动化任务，但在判断力和安全性方面仍存在不足。这并不意味着代理不会变得更安全或更可靠，只是提醒我们应保持合理预期。
AI 代理展示了未来趋势，但要实现广泛的日常应用，还需要更好的防护措施和从一开始就以安全为设计前提的工具。
延伸阅读：
推荐产品：
FAQs
OpenClaw 可以免费下载吗？
OpenClaw 可在 GitHub 上免费获取。它是开源软件，这意味着任何人都有更大的空间去修改和再发布该软件。
OpenClaw 容易搭建吗？
有教程可以帮助快速启动机器人，但要搭建一个成熟且复杂的环境仍需时间和专业知识。这也意味着运行可能未被正确配置的软件存在风险。
