文章总结： 文章针对近期流行的AI智能体OpenClaw，指出其存在提示词注入、误操作、插件投毒及已知漏洞四大风险，国家监管部门已发预警且发生真实事故。企业面临影子资产失控、内网横向扩散等严峻风险，默安科技提供了相应的发现与阻断防护产品，并建议企业立即排查、禁止私装及建立准入机制。 综合评分： 75 文章分类： 漏洞预警,AI安全,解决方案,产品介绍,安全建设

「企业安全预警」全员”养虾”热潮下，你的公司数据还安全吗？

值得信赖的 值得信赖的

默安科技

2026年3月12日 16:49 浙江

##

一场席卷全网的”养虾”狂欢

最近，一款名为 OpenClaw（俗称”龙虾”） 的开源AI智能体彻底引爆了科技圈。它能接管电脑、自主执行任务、跨平台协同，被誉为”AI打工人”。这场”养虾”热潮以惊人的速度席卷全网，从程序员到退休老人、从个人用户到政府机构，无人不谈“龙虾”。

然而，就在”养虾”热浪滚滚之际，国家监管部门已连续拉响警报。

（图源 网络）

##

官方连发红色预警，

企业侧已出现真实事故

3月8日，”工信部发布OpenClaw高危风险预警”登上热搜，引发广泛关注。

3月10日，国家互联网应急中心（CNCERT）发布《关于OpenClaw安全应用的风险提示》，明确指出四大核心风险：

🔴 提示词注入风险：攻击者可通过恶意网页构造指令，诱导龙虾泄露系统密钥。

🔴 误操作风险：可能误解指令删除重要文件，且无法中止，已有用户损失数百封核心邮件。

🔴 插件投毒风险：安装恶意技能包后设备被控、数据遭窃，沦为攻击”跳板”。

🔴 已知漏洞风险：高中危漏洞一旦被利用，可导致系统被控、业务系统瘫痪。

3月11日，工信部NVDB进一步发布 “六要六不要”专项建议，覆盖企业办公、个人使用、金融交易等多个典型场景。

与此同时，已有真实事故发生：某程序员安装龙虾后第三天，API密钥被盗，凌晨收到1.2万元高额账单；多名用户遭遇龙虾批量删除邮件，且无法人工中止。据第三方监测平台统计，全球已探测到超过41万例OpenClaw公网暴露实例，其中约15.6万例存在已知数据泄露。

##

企业端风险更为严峻

#

对于企业来说，员工”私养龙虾”产生的风险远超个人层面：

01

影子资产失控

员工在企业网络内自行部署OpenClaw，安全团队往往毫不知情。这些实例普遍使用默认配置，控制端口直接暴露公网，形成大量”影子AI资产”，让企业攻击面大幅扩张。

02

权限过高，内网横向扩散

龙虾被授予系统级高权限，一旦被攻击者劫持，可直接访问本地文件、读取环境变量、调用API，更可在内网横向扩散，威胁对接的业务系统与数据库。

03

供应链攻击隐患

Skill（技能包）市场缺乏有效审核机制，恶意插件可借助合法分发渠道进入企业内网，直接实施数据窃取或部署后门。

04

合规风险

在缺乏审计机制的情况下，企业难以追溯AI的操作行为，极易触发数据安全与合规红线，金融、医疗、政务等敏感行业尤为突出。

正因如此，目前多家头部券商已明确全面禁止在公司资产中安装、运行任何版本的OpenClaw，个人设备若安装该程序亦一律禁止接入公司网络。

##

默安科技：企业级安全防护，即刻可用

#

面对龙虾热潮背后的安全隐患，默安科技已在第一时间完成对应产品能力的更新与验证，为企业客户提供从发现到阻断的全链路防护。

🔍 巡哨 — 全面巡检，快速摸清底数

巡哨作为默安科技的攻击面管理产品，现已支持对企业内外网资产中 OpenClaw产品的自动化巡检排查，帮助安全团队：

• 精准识别内网中私自部署的龙虾实例，告别”影子AI资产”盲区。

• 检测暴露面，发现默认端口对外暴露、未启用认证等高危配置项。

• 持续监测，监测新实例上线后自动触发告警，实现动态管控。

🛡️ 刃甲 — 精准阻断，守住安全边界

刃甲作为默安科技的端点防护产品，现已具备对OpenClaw及其衍生版本的精准识别与全面阻断能力，支持：

• 阻断运行：对已安装实例交互流量实施阻断，防止其持续在线、自主执行。

• 策略管控：支持企业按部门、角色定制化配置管控粒度，兼顾管理灵活性与安全合规需求。

##

我们的建议

#

默安科技建议所有企业在当前”养虾”浪潮下，采取以下紧急措施：

1.立即开展内部排查，明确是否存在未经授权的OpenClaw部署实例。

2.发布企业内部安全通知，禁止在公司设备及公司网络内私自安装运行。

3.借助巡哨和刃甲产品持续监测，防止排查之后的”死灰复燃”。

4.建立AI工具准入机制，将智能体类工具纳入安全评估流程后方可上线。

1. AI智能体时代已经到来，

   但安全不能缺席！

*参考来源：

1.工信部NVDB预警（2026.02 & 2026.03.11）

2.国家互联网应急中心CNCERT风险提示（2026.03.10）

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：默安科技 值得信赖的 值得信赖的《「企业安全预警」全员”养虾”热潮下，你的公司数据还安全吗？》