AI电脑操控工具OpenClaw爆红的同时，也成了骇客的提款机——恶意安装包植入木马、VNC埠裸奔、Skills商店暗藏后门，已有使用者惨遭信用卡盗刷与资料外泄。本文源自JackCui所著文章《第一批OpenClaw受害者出现了！安装前必须了解的4个安全底线》，由 编辑、翻译。（前情提要：Nvidia推开源AIAgent平台“NemoClaw”，不绑辉达芯片是真开放还是新战略？）（背景补充：OpenClaw爆火之后：一只开源小龙虾，撬动了哪些美股？）最近，有人因沉迷OpenClaw，完全没有注意安全问题。导致信用卡被盗刷，损失惨重。VNC裸奔，谁都能登入，直接操控浏览器，登谷歌账号，登系结的信用卡，这都不算是被骇客攻击，简直就是自助餐。还有人惨遭病毒植入，苹果装置被劫持，手机、电脑、平板里的各种云备份资讯，直接被偷走：OpenClaw火了，骇客们在狂欢，这下总算是有活靶子了。所以我们究竟要怎样才能安全地使用OpenClaw呢？今天，在这里给大家盘点一下注意事项。OpenClaw恶意安装包警惕假冒网站，没错，现在从源头就有冒牌货出现了。这些类似网站的UI做得跟官网很相似，但安装什么东西就没有保障了：所以，一定要认准OpenClaw官方网站。差一个字都不行！差一个字都不行！差一个字都不行！那可能会有小伙伴问了，差一个字会怎样？举个例子，这是OpenClaw官网的npm安装命令：安装OpenClaw的命令列程式码是这样的：npmi-gopenclaw。如果，你不知道从哪里，看到了一个这样的安装指令（千万不要执行，千万不要执行）：npmi-gopenclawai你还感觉没啥问题，openclaw+ai，放在一起很合理啊。那么你就上当了，结果就是，安装了openclawai，就是部署了一个远端访问木马（RAT）。它能把你macOS上能偷的东西全部偷走，一毛不剩。这个就是安全研究机构JFrog最近发现的一个名为@openclaw-ai/openclawai的恶意npm包。这个包伪装成OpenClaw的安装器，直接给你植入病毒，并且现在已经有178人上当受骗了。而且更魔幻的是，除了上门安装OpenClaw，居然连“U盘安装器”都冒出来了。号称只要把U盘往电脑上一插，它就能自动帮你装好OpenClaw。我就想问一句：你真的敢网购一个来路不明的陌生U盘，再把它插进自己那台存满资料、账号、工作档案，甚至还绑著银行卡和各种隐私资讯的电脑里吗？你以为你买的是“安装器”，可谁也不知道，里面装的到底是OpenClaw，还是木马、后门、远控，甚至是一整套把你电脑直接打包交出去的未知风险。要知道早年，U盘可是电脑病毒传播的主要途径之一。所以，如何安全使用OpenClaw呢？我的建议是：要么纯手动自己安装。前提是你需要懂一些基础的技术，可以找一个懂技术的博主，先跟着他的教程来。判断标准就是，你得知道怎么执行命令列，怎么检视netstat状态，知道自己执行的一行命令，会不会把自己的服务暴露到公网上。要么就直接用现成的。例如智谱的AutoClaw、Kimi的KimiClaw，直接用咱们国内厂商提供的傻瓜式一键启动方法。AutoClaw是在本地安装和部署，底层用的模型是自家的GLM-5：官网地址：https://autoglm.zhipuai.cn/autoclaw/KimiClaw是在云端部署，底层用的模型是自家的Kimi-k2.5：官网地址：https://www.kimi.com/bot大家根据自己的喜好选择就行，但安装还只是第一关，下面四点一定要提前做好预警。OpenClaw安全用法第一条建议：坚决，不要用自己的私人电脑。先说一件昨天的事，3.7刚发布了没多久，开发团队昨天下午直接推出了3.8稳定版。而这次3.8更新日志里，其中竟然有12+项安全修复。这个软体发布还不到一年，必然存在不少需要修复的漏洞，而且是比较高危的漏洞。咱们可以等它再最佳化最佳化，毕竟它的许可权实在是太高了。毕竟它能读你的邮件，翻你的浏览器，随时控制你的鼠标键盘。第二条建议：千万千万不要开放你的公网埠。我朋友做了一个公网暴露自查工具，可以直接搜你部署的小龙虾是否暴露到公网了。https://openclaw.allegro.earth/大家现在就可以查一查。旧版OpenClaw有一个很多人装完就忽略的预设配置：预设监听0.0.0.0:18789这就会导致，你的电脑在区域网下能够被其他装置访问，如果还有公网IP的话，资讯甚至会直接暴露到公网上。这也是很多公司严厉禁止部署OpenClaw的原因之一，因为一般公司都是有公网IP的。假如部署了Openclaw，还用的是预设配置，跟把自家大门敞开，让所有人随意进来没什么区别。说实话，我第一次看到这么多预设配置，也是楞了一下，去网站上翻几页，国内IP像什么腾讯云，百度云，阿里云，埠清一色的18789。所以劝诫大家，一定要启用认证，不要裸奔，不要开放你的公网埠！第三条建议：千万千万不要安装陌生skills。很多人装好龙虾之后，发现光靠它本身能干的事还不够多，想让它干活，就得装上对应的Skill。大多数人还知道去官方网站找。有一部分人，会直接让龙虾自己去网上搜寻Skill。可龙虾在网上搜到的Skill资讯。来源大多不受控制，哪里来的都有，Skill里面具体有什么，也没人给你把关。甚至说，就算你认认真真去官方的Skill商店Clawhub，也不见得安全。要知道，截至目前Clawhub上现在有18931个Skill。哪怕你一天看100个，不吃不喝连续看，也要半年才能看完。官方团队...
