國家互聯網應急中心緊急提醒：OpenClaw默認配置極為脆弱

今天你刷手機的時候，有沒有看到那條消息？

國家互聯網應急中心，正式發預警了。

不是某個自媒體，不是某個博主，是國家級的網絡安全機構。

標題寫得很清楚：關于OpenClaw（就是最近火得不得了的“小龍蝦”）安全應用的風險提示。

圖片來源國家互聯網應急中心CENTER截圖

我認真看完了全文，給你劃幾個重點：

• 這東西為了實現“自主執行任務”，被授予了極高的系統權限——能訪問你的文件，能讀你的環境變量，能調用外部API。
• 但它的默認安全配置，原文用了四個字：“極為脆弱”
• 后果是什么？攻擊者一旦找到突破口，就能“輕易獲取系統的完全控制權”。
• 官方建議：別把管理端口直接暴露在公網上，用容器技術把它的權限關起來。

簡單來說就是：你養的那只“小龍蝦”，可能正開著門睡覺。誰路過，都能進去搬東西。

一、那條預警發出來的時候，我在想什么

看到這條消息，我第一反應不是“好可怕”，而是想起了前幾天刷到的另一個新聞：

騰訊大廈樓下，幾百人排長隊領“小龍蝦”。

二手平臺上，“代裝龍蝦”的生意一天賺上千塊。

某書某站上，鋪天蓋地的“保姆級教程”，標題清一色是“再不養就晚了”。

那時候我就有種說不上來的感覺。

不是覺得這東西不好，是那種“所有人都在追”的氛圍，讓我本能地想往后退一步。

現在預警出來了，我再回頭看那些排隊的畫面，心里有點復雜。

那些排隊的人，有幾個知道“默認配置極為脆弱”是什么意思？
那些找人代裝的，有幾個問過“你幫我裝的時候，交出去了什么權限”？
那些熬夜研究教程的，有幾個想過“萬一這東西被人盯上了怎么辦”？

他們只是聽說“大家都裝了”，就跟著裝了。

這不是傻，這是人性。

二、為什么預警發出來之前，沒人想過風險？

這事兒有意思的地方在這兒：

其實早在預警之前，網上就已經有人在提醒了。說這東西權限太大，說默認配置不安全，說已經有人被掃描了。但那時候，這些話沒人聽。大家忙著排隊，忙著曬圖，忙著研究怎么讓“小龍蝦”干活。

為什么？

心理學里有個詞，叫“樂觀偏差”。

就是人們普遍覺得：壞事會發生在別人身上，不會發生在我身上。

你看到新聞說有人被騙了，你想的是“他怎么這么不小心”。你看到有人電腦中毒了，你想的是“我肯定不會點那種鏈接”。你看到有人說“小龍蝦會偷東西”，你想的是“那是別人沒裝好，我小心點就行”。

這種偏差，不是因為你蠢，是因為大腦需要這么想才能活下去。如果天天擔心壞事發生在自己身上，人早就焦慮死了。

但在某些時候，這種偏差會害了你。

還有一個概念，叫“從眾壓力”。

當身邊所有人都在做一件事，你不做，你就會覺得不舒服。你會懷疑自己：是不是我太保守了？是不是我落伍了？是不是我錯過了什么？

這種壓力，有時候比風險本身更難抵抗。

所以你會看到：哪怕有人提醒風險，哪怕心里有點打鼓，很多人還是點了那個安裝鍵。不是因為他不怕，是因為他更怕“被落下”。

三、預警出來之后，那些養蝦的人在想什么

預警出來的當天晚上，我去幾個“養蝦群”里逛了逛。

畫風挺有意思的。

有的人在問：什么意思？是說我的電腦不安全嗎？那我現在該怎么辦？

有的人在安慰自己：沒事吧，我用了好幾天了，啥也沒發生。

有的人在甩鍋：肯定是有人亂搞才出問題，我嚴格按照教程來的，肯定沒事。

還有的人，已經沉默了。不知道是沒看到消息，還是看到了不想說話。

讓我印象最深的是一個群友發的：“我就想知道，我交出去的那些權限，還能要回來嗎？”

沒人回答他。

因為答案大家心里都清楚：給出去的東西，想收回來，沒那么容易。你給了它訪問文件的權限，它已經把文件看過了。你給了它讀取環境變量的權限，它已經把信息拿走了。你給了它調用API的權限，它可能已經用你的身份干了別的事。

這些東西，不是你說“我不養了”就能收回來的。

這讓我想起一句話：數字世界沒有撤回鍵。你點下去的那一刻，結果已經發生了。

四、那現在到底該怎么辦

預警發出來了，恐慌也開始了。但恐慌沒用，得知道怎么辦。

我問了幾個做網絡安全的朋友，也查了官方的建議，給你整理了幾條實在的，你參考下。

第一條：如果你還沒養，先別養。

這是最簡單的辦法。

不是說這東西不能用，是說現在不是你進去的時候。等一等，等真正懂行的人把它研究透了，等安全方案出來了，等那些跟風的人幫你踩完坑了，你再決定要不要碰。

那些第一批沖進去的人，往往是最后一批哭著出來的人。這個規律，在互聯網上演過無數次了。

第二條：如果你已經養了，先斷網。

這是應急辦法。

把網線拔了，把WiFi關了，讓“小龍蝦”暫時沒法往外傳東西。然后，找懂行的人幫你看看，你到底交出去了多少權限，你的電腦有沒有被入侵的痕跡。

別自己瞎折騰，越折騰越亂。

第三條：對照官方的建議，做這三件事。

官方給了三條建議，我用大白話給你翻譯一下：

• “強化網絡控制，不將OpenClaw默認管理端口直接暴露在公網上”：別讓你的“小龍蝦”在互聯網上裸奔。那些端口就像門窗，你得關好。
• “通過身份認證、訪問控制等安全控制措施對訪問服務進行安全管理”：就算要訪問，也得設個密碼，別誰敲門都讓進。
• “對運行環境進行嚴格隔離，使用容器等技術限制OpenClaw權限過高問題”：把它關在籠子里，別讓它滿屋跑。給它該有的權限，別給多余的。

這三條如果你看不懂，就找懂行的人幫你弄?；c錢也值，總比東西丟了強。

第四條：接受一個事實——有些東西，給出去就收不回來了。

這是最難受的，但也是最需要面對的。

如果你已經養了一段時間，可能有些信息已經被拿走了。這時候別慌，也別自我安慰“應該沒事”。能做的是：改密碼，換密鑰，關注有沒有異常。然后，記住這次教訓。

五、比技術更重要的，是心態

寫這么多，其實不只是想說“小龍蝦”的事。

我想說的是另一件事：我們怎么面對“大家都沖了，我要不要沖”這種時刻？

互聯網這些年，類似的場面太多了。

從最早的比特幣，到后來的NFT，再到各種AI工具。每一次都是“再不上車就晚了”，每一次都是“你錯過了這個風口就會被淘汰”。每一次都有人沖進去，每一次都有人后悔。

而那些一直沒沖的人呢？

他們沒發財，但也沒虧錢。他們沒趕上風口，但也沒被風刮倒。他們看著別人起高樓、宴賓客、樓塌了，然后繼續過自己的日子。

哪種活法更好？我不知道。但我知道一件事：

你的人生，不是非得每一波浪都趕上。

有些浪，可以等一等再看。有些風口，可以讓別人先飛。有些熱鬧，可以遠遠地看著就好。

慢一點，穩一點，比什么都強。

等你看清了，想好了，準備好了，再往前走。那時候，你走出的每一步，都是自己的路。

而不是被推著走的路。

周二安好！

感謝你讀到最后！