3月12日，江苏省工信厅发布《关于OpenClaw开源AI智能体的安全风险预警提示》，全文如下：

　　最近，国外开源AI智能体OpenClaw（俗称“龙虾”）风靡全球，2025年11月推出后，最初只在硅谷开发者和极客圈层流行，随后发展进入我国。国内一些科技企业出于商业考量，推出免费安装活动，吸引大量群众到场排队。

　　针对OpenClaw大量部署的情况，近期，工信部网络安全威胁和漏洞信息共享平台（NVDB）和国家互联网应急中心接连发布风险提醒，提示OpenClaw存在系列高危安全漏洞和衍生风险。经研判，该智能体具备本地数据主动采集能力，可在未经用户明确授权的情况下自动读取终端敏感信息，并结合系统级权限实现远程控制、数据外传等恶意行为，相关风险波及范围广、利用门槛低、潜在危害大。现就有关情况预警提示如下：

　　OpenClaw（曾用名Clawdbot、Moltbot）由奥地利软件工程师斯坦伯格开发的开源AI智能体，其通过整合多渠道通信能力和大语言模型，构建具备长久记忆，主动执行能力的定制化AI助手，支持本地私有化部署，其核心能力包括24小时自动化任务处理、本地文件读写、终端命令执行、代码自动修复及多工具联动调用，可接管个人电脑，自主处理收发邮件、运营社媒、剪辑视频等工作的人工智能助手，广泛应用于办公、开发、运维等场景。

　　与传统云端AI模型需用户上传数据至服务器处理不同，OpenClaw在运行过程中可主动扫描、采集用户终端本地数据，包括文档、配置文件、密钥凭证、操作记录等，无需用户主动提供数据即可实现数据获取和系统操作。同时，OpenClaw默认被赋予操作系统级权限，能够直接调用本地软硬件资源、执行终端命令、读写本地任意文件。这种主动采集和系统操作的能力，在提升自动化效率的同时，也带来突出的数据安全和系统控制风险。

　　OpenClaw存在核心设计漏洞“ClawJacked”（CVE-2026-25253），攻击者可利用该漏洞实现无交互远程接管：一方面，可对OpenClaw网关口令进行高速暴力破解，且破解过程无日志记录；另一方面，结合权限设计缺陷，攻击者可构造恶意攻击链，突破实例防护，实现对本地部署实例的完全控制。

　　基于上述风险，攻击者可实施以下恶意行为：一是主动采集并窃取本地敏感数据，包括企业商业机密、用户个人信息、财务数据、密钥凭证等；二是远程控制终端，执行任意命令，创建管理员账户、植入挖矿程序、开启远控端口等；三是破坏文件与系统，删除、篡改核心文件，格式化磁盘，破坏系统引导，造成业务中断和数据永久丢失；四是利用被控终端作为跳板，实现内网横向渗透，扩大攻击范围；五是通过恶意插件实现持久化驻留，持续窃取数据并外传，难以被常规安全工具检测。

　　除以上风险外，OpenClaw在默认配置和生态管理方面存在以下安全隐患：一是生态审核缺失，ClawHub等第三方插件平台缺乏严格安全审核，攻击者可上传伪装插件，诱导用户安装后植入后门；二是默认配置不安全，初始部署为弱口令、默认端口开放，未开启身份验证和操作日志，易被直接攻击；三是权限配置过于宽松，OpenClaw在部署时“信任边界模糊”，默认具备全系统操作权限，缺乏细粒度管控，一旦被接管，可访问全量本地资源；四是数据存储不规范，操作指令、敏感配置信息未加密存储，部分版本明文缓存数据，存在泄露风险。

　　核心设计漏洞风险影响OpenClaw全版本，尤其对未进行安全配置、公网暴露及安装非官方插件的实例威胁最大。据OpenClaw Exposure Watchboard防御性监控网站统计，截至3月上旬，全球公网暴露的OpenClaw网关实例超27万个，其中国内暴露约9万个，技术、信息服务、电信等行业使用最多。此外，ClawHub技能市场、Moltbook平台及集成OpenClaw能力的各类办公、开发辅助工具均存在关联风险。

　　为有效防范化解风险，建议党政机关、企事业单位和个人用户审慎使用“龙虾”等智能体，已部署OpenClaw的用户应及时开展全面自查，遵循“版本升级为基础、权限管控为核心、生态防护为关键、日常监控为保障”的原则，落实以下措施：

　　（一）升级修复与源头管控。立即将OpenClaw升级至官方最新安全版本，关闭或卸载非必要组件。仅从官方仓库或官网下载安装包，下载后使用杀毒软件扫描，确保无恶意代码植入。

　　（二）权限收紧与网络隔离。禁止将默认端口（18789）暴露于公网，确需远程访问应通过VPN、SSH隧道等安全通道。修改默认弱口令，配置强口令并开启多因素认证。遵循最小权限原则，限制OpenClaw对核心目录、敏感数据的访问权限。开启操作日志，记录命令执行、插件安装等关键行为。

　　（三）插件使用与生态管控雷光vpn怎么连接脸书。严禁安装来源不明、无开发者信息、下载量异常的插件。安装前应审查插件源码，排查可疑执行命令。启用沙箱或容器隔离运行插件，定期清理闲置插件，降低供应链投毒风险。

　　（四）日常监测与应急响应。关闭跨平台同步功能，定期清理对话记录和缓存数据。实时监控操作日志，重点关注异常命令执行、文件读写和网络连接行为。部署终端安全防护工具，定期扫描查杀。制定应急处置预案，发现异常立即断网、关停服务、排查清理并恢复数据。

　　（五）专项管理要求。不在涉密及处理核心商业秘密的设备上部署OpenClaw。单位用户应完善使用规范，禁止私自安装非官方版本或对接内网资源，要及时跟踪安全公告，落实加固措施，做到风险早发现、早处置。

　　本文部分图片来源于网络。如果分享内容侵犯您的版权或者所标来源非第一原创，请后台私信，我们会及时审核处理。

　　突发！韩国军方称朝鲜发射10余枚弹道导弹，日本：目前没收到受损报告；此前韩美举行联合演习，朝方定性为“侵朝演习”

　　据韩国联合参谋本部当地时间14日消息，朝鲜于当天13时20分左右在平壤顺安一带向半岛东部海域发射10余枚弹道导弹。日本防卫大臣小泉进次郎称，朝鲜当天发射的物体落入日本专属经济海域之外，目前没有收到相关的受损报告。朝鲜方面目前对此暂无回应。

　　憋没招了的欧盟，只能转头再找俄罗斯买气。到底是什么原因，导致了欧洲的天然气短缺?但俄乌冲突一爆发，欧洲不少国家有要对俄罗斯制裁，结果搬起石头打自己的脚，搞得自己不好从俄罗斯进口天然气了。

　　夜间尿频，频繁头疼，记录中医针刀/埋线调理 #头疼 #尿频 #中医针刀 #中医针灸 #门诊日常

　　臀凹陷黄金动作，屈髋+骨盆内旋内收是关键！ #真实生活分享计划 #居家力量训练 #臀腿训练 #臀凹陷必练动作

　　2026年3月，中东战火胶着，特朗普在中东犯下致命战略错误，局势彻底脱离其掌控。就在全球目光聚焦中东之际，日本高市早苗政府却连夜出手，悄悄部署射程千公里的远程导弹，直指中国。

　　港口被抢，合同说作废就作废，钱也要赔！3月9日，中国对巴拿马的第六波反制来了。巴拿马强行赶走长和港口的人，控制住港口，把关于长和的电脑文件全部抢走。如今中方动怒，巴拿马开始慌了，呼吁中方冷静，希望能给个活路，减少赔款。中方哪能任你随意欺负，巴拿马政府想要的，中方根本给不了。

　　两家刚接手巴拿马运河港口的欧洲航运巨头，被中方连续约谈了。交通运输部先谈，国家发改委外资司随后又谈，对象都是马士基和地中海航运。眼下最硬的一笔后果也已经摆上桌面，长和集团旗下公司已在3月6日提起国际仲裁，向巴拿马政府索赔至少20亿美元。这不是一条孤立消息。

　　“王仁三郎预言2030”，查了资料，南海海槽未来30年八成可能甩个8级以上大地震，官方报告写得清清楚楚：最惨可能死近30万人，经济损失比整个日本一年税收还高。富士山底下岩浆比三百年前多四成，火山口去年多了二十多个，这不是玄学APP推送，是地质所2025年报第17页附的图。

　　2025年，泰国政坛最大的事件莫过于“通话录音门”，直接断送了为泰党的执政之路，也让佩通坦失去了总理宝座。

　　2026年2月20日，美国最高法院裁定特朗普政府某些关税征收方式违规，这直接推翻了对多个国家的额外税率。