OpenAI花3年挖來1人：他的AI管家能訂機票

2023年GPT-4剛發布那會兒，AutoGPT和BabyAGI把科技圈嚇得夠嗆。人人都在傳"自主代理要搶飯碗了"，會議室里一張張緊繃的臉，活像末日片開場。結果幾周后，話題涼得比外賣還快——那些早期代理幻覺嚴重，連訂個披薩都能把地址填成火星。

整整三年過去，同樣的對話卷土重來。這次主角叫OpenClaw，內核換成了Claude Opus 4.5。模型確實脫胎換骨，幻覺少了，生態成熟了，它能實打實地干活：讀本地文件、操控終端、發郵件、調智能家居。最夸張的是，這波熱度已經燒了近一個月，Twitter上還在吵。

吵到OpenAI直接出手，把創始人Peter Steinberger給acqhire了（收購式招聘）。一個人撐起一家獨角獸的神話，差點成真。

但每份禮物都標好了價碼。OpenClaw的能力是真的，貴是真的，漏洞也是真的。

那個叫Navi的精靈，知道你所有秘密

MacStories主編Federico Viticci的描述像科幻片：他的數字助手Navi知道他名字、晨間偏好、Notion和Todoist的使用習慣，能控制Spotify、Sonos音箱、Philips Hue燈光，還能收發電報語音消息。Navi跑在M4 Mac mini上，用ElevenLabs生成語音回復，甚至能給自己寫新功能。

用戶視角的爽感是直觀的。想象一下：睡醒開機，收件箱已清空，會議帶好了預習筆記，周末機票訂妥，Alexa正放《Every Breath You Take》——而你只跟bot聊了幾句，甚至只是隨口一說。

這種自動化沖動刻在人類基因里。齒輪、流水線、編程語言，一路走到今天的數字超級助手。OpenClaw的承諾就是"活在未來的感覺"。

但Viticci那句"如果你讀到這里已經頭暈，想想我第一次啟動它時的反應"，暗示了問題。

權限即攻擊面：你的電腦成了公共廁所

OpenClaw的架構決定了它必須擁有極高權限。本地文件系統、終端、瀏覽器、Gmail、Slack、HomeKit——每一個連接都是一扇門。傳統軟件遵循最小權限原則，能少開一扇窗就少開一扇。OpenClaw反著來：為了"懂你"，它要鑰匙串的全套備份。

安全研究者的噩夢清單在這里一一兌現。提示注入攻擊（prompt injection）可以讓AI把看到的敏感信息外泄；間接提示注入通過惡意網頁、郵件附件觸發；工具調用鏈的每一環都可能被劫持。當你讓OpenClaw"查一下銀行余額然后郵件發給會計"，中間哪個環節被篡改，錢就可能轉到索馬里。

更隱蔽的是持久化風險。Navi能"給自己寫新功能"，意味著它具備代碼執行和自我修改能力。一旦初始提示被污染，惡意行為可以潛伏、擴散、進化，像數字版的特洛伊木馬——只不過木馬還會自己加固城墻。

原文作者的安全評估毫不客氣："security nightmare dressed up as a daydream"（偽裝成白日夢的安全噩夢）。這個評價針對的不是某個實現細節，而是整個產品類別的結構性缺陷。

為什么這次可能不一樣，又為什么可能更糟

2023年的失敗給這次狂歡加了濾鏡。當時模型太蠢，現在Opus 4.5的可靠性確實跨越了可用閾值。生態也成熟了：MCP（Model Context Protocol，模型上下文協議）讓工具集成標準化，ElevenLabs的語音合成以假亂真，Telegram Bot API降低了交互門檻。

但安全模型沒有同步進化。我們仍在用2020年代的權限架構，支撐2025年代的自主代理。就像給F1賽車裝馬車夫的剎車片——速度上去了，停下來需要的時間也更長。

OpenAI的收購動作耐人尋味。Steinberger一個人能做出OpenClaw級別的產品，說明技術門檻在降低；OpenAI需要收購而非自研，說明時間窗口在收窄。這背后是代理賽道的軍備競賽：誰能讓AI真正"動手做事"，誰就握住了下一個平臺入口。

代價是用戶被迫做一道沒有標準答案的選擇題。用，就是把數字生活的鑰匙交給一個會犯錯的黑箱；不用，看著別人用Navi省下的時間，又像是主動選擇落后。

原文作者的態度很微妙：他承認技術趨勢，但拒絕加入。"Personally didn't like it, neither saw its promise, or maybe I am employed"——最后半句是自嘲，也是警示。有正經工作的人，經不起賬戶被清空、代碼庫被刪、隱私被直播的風險。

那些真正需要OpenClaw的人——自由職業者、小團隊創始人、數字游民——恰恰是最經不起安全事件的群體。沒有IT部門兜底，一次入侵就是滅頂之災。

如果OpenClaw這類工具成為默認選項，企業安全邊界會徹底改寫。傳統的"內外網隔離""零信任架構"在自主代理面前像紙糊的：AI需要同時訪問內部Wiki和外部API，它的"大腦"在云端，"手腳"在本地，身份認證怎么做？行為審計怎么做？出事了誰負責？

這些問題沒有現成答案。OpenClaw的流行，本質是技術社區用肉身探路——用真實的賬戶被盜、數據泄露、釣魚事件，來訓練下一代安全范式。

Steinberger加入OpenAI后，OpenClaw的開源版本命運未卜。是成為類似Android的開放生態，還是像GPTs一樣被收編進圍墻花園？這關系到普通用戶能否繼續自建Navi，還是只能訂閱官方托管版本。

托管能解決一部分安全問題，又制造了新的：你的數據離開本地，住進OpenAI的服務器。2023年人們害怕AI搶工作，2025年可能更害怕AI太了解你。

當Navi知道你喜歡什么歌、幾點起床、郵件里提過哪些焦慮，它到底是助手，還是24小時在線的觀察員？