文章总结： 近期智能体软件OpenClaw爆火，但员工私装引发严重安全风险，包括公网IP未授权访问、密钥泄露致经济损失、权限过高导致数据泄露及漏洞被利用等。国家互联网应急中心已发布提示，建议企业统一部署管理、强化凭证与插件管理、及时修补漏洞，并加强员工安全意识培训以防范风险。 综合评分： 84 文章分类： 安全意识,漏洞预警,AI安全,安全建设,威胁情报

紧急警示｜员工私装“龙虾”？这些泄密风险正在威胁你的企业！

耶度 耶度

野猪与安全

2026年3月10日 22:10 广东

点击蓝字 关注我们

#

近期，一款名为 OpenClaw（因红色龙虾 Logo，被国内用户亲切称为“龙虾”）的智能体软件爆火，其能依据自然语言指令直接操控计算机完成读邮件、写代码、整理文件等操作，成为不少人眼中的“高效工具”。但热潮之下，安全隐患暗流涌动——尤其当企业员工私自在公司电脑安装使用时，极易引发数据泄密、系统瘫痪、经济损失等严重问题，国家互联网应急中心已正式发布相关安全风险提示，务必引起所有企业和员工的高度警惕！

很多员工或许觉得“装个工具而已，能有什么风险”，但事实远比想象中危险。结合企业场景，员工私装 OpenClaw（龙虾）的四大核心安全隐患，每一个都可能成为企业的“致命漏洞”：

1

私装“龙虾”，四大风险直逼企业安全底线

企业需警惕

不同于个人使用，企业电脑存储着商业机密、客户数据、财务信息等核心资产，员工私装“龙虾”的行为，相当于给企业安全防线开了一道“后门”，每一项风险都可能造成不可挽回的损失：

1. 公网 IP 部署漏洞，引发未授权访问

部分员工为了使用方便，会将“龙虾”以公网 IP 部署，却未做任何安全防护。这就相当于把企业电脑的“大门”敞开，攻击者无需复杂操作，就能通过未加密的端口直接接入系统，查看、窃取甚至篡改公司内部文件，全程无需员工察觉。已有案例显示，暴露公网的 OpenClaw 实例，10 分钟内就可能被黑客接管，导致大量核心数据泄露。

2. 密钥泄露隐患，直接造成经济损失

“龙虾”的正常运行需要密钥授权，而不少员工缺乏安全意识，会将密钥明文存储在环境变量中，或随意分享给他人。一旦密钥泄露，攻击者可直接盗用权限，冒充企业或员工执行操作——小到刷爆 API 账单，大到转移企业资金、窃取加密货币，此前就有开发者因密钥泄露，被攻击者诱导“龙虾”转走 25 万美元资产，教训极为深刻。

3. 权限过高无限制，埋下泄密与系统风险

“龙虾”的核心特性是“强执行力”，为了实现自动操作功能，它会被授予极高的系统权限，可直接访问本地文件、调用企业内部服务、执行终端命令。员工私装后，若未限制其权限，“龙虾”可能因误判指令，删除企业核心生产数据、客户合同等重要信息；更可怕的是，过高的权限会让它成为“数据搬运工”，悄悄将企业机密外传，造成商业秘密泄露，影响企业生存发展。

4. 安全漏洞未修补，易被黑客利用

目前，“龙虾”已被公开曝出多个高中危漏洞，其中编号为“ClawJacked”的高危漏洞，可让黑客通过恶意网站，直接与本地运行的“龙虾”建立连接，暴力破解密码后控制整台电脑。此外，黑客还会伪装“龙虾”安装包、恶意插件，诱导员工下载，一旦安装，设备会被植入木马，沦为黑客操控的“肉鸡”，持续窃取企业敏感信息，甚至瘫痪企业业务系统。

2

企业及个人部署使用必看安全措施

官方紧急提示

针对“龙虾”（OpenClaw）的安全风险，国家互联网应急中心已明确给出安全防护建议，结合企业办公场景，整理出以下可直接落地的措施，建议企业全员落实、严格执行：

1. 强化网络控制，杜绝“裸奔”部署

严禁员工私自在公司电脑部署“龙虾”，若企业因工作需求必须使用，需由 IT 部门统一部署管理：不将“龙虾”默认管理端口直接暴露在公网上，通过身份认证、访问控制等措施，限制访问权限；同时使用容器等技术，对“龙虾”的运行环境进行严格隔离，避免其权限过高，接触企业核心系统和敏感数据，从源头降低未授权访问风险。

2. 加强凭证管理，守住“密钥防线”

企业 IT 部门需建立统一的密钥管理机制，严禁员工在环境变量中明文存储密钥、API 密钥等敏感信息；同时建立完整的操作日志审计机制，对“龙虾”的所有操作进行全程记录，一旦出现密钥泄露、异常操作，可快速追溯源头，及时止损，避免造成更大的经济损失。

3. 严格插件管理，拒绝“带毒”扩展

禁用“龙虾”的自动更新功能，避免其自动下载恶意插件；员工若需安装扩展程序，必须从官方或企业认证的可信渠道获取，且需经过 IT 部门审核，确认插件经过签名验证、无安全隐患后，方可安装。

4. 持续关注更新，及时修补漏洞

企业 IT 部门需安排专人，持续关注“龙虾”官方发布的补丁和安全更新，以及国家互联网应急中心的风险提示，一旦有新的安全补丁发布，立即组织升级，及时修补已知漏洞，不给黑客可乘之机。同时定期对部署“龙虾”的设备进行安全扫描，排查潜在风险，做到防患于未然。

事关“龙虾”，国家互联网应急中心发布风险提示

CNCERT，公众号：等级保护测评事关“龙虾”，国家互联网应急中心发布风险提示

3

员工私装需管控，安全意识要筑牢

企业警示

当前，“龙虾”（OpenClaw）的安全风险已不容忽视，尤其是企业场景中，员工私装行为可能引发的泄密、经济损失、系统瘫痪等问题，不仅影响企业正常运营，还可能违反《网络安全法》等相关法律法规，承担相应责任。

在此提醒各企业：尽快开展内部排查，严禁员工私自在公司电脑安装“龙虾”（OpenClaw）及其他未经审核的第三方应用；加强员工网络安全培训，普及“龙虾”相关安全风险，提升员工安全意识，杜绝因个人操作不当引发企业安全事故。

安全无小事，防范于未然。在 AI 工具快速普及的当下，企业既要善用工具提升效率，更要守住安全底线，让每一项工具使用都有规范、有管控，才能真正守护企业核心资产安全！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：野猪与安全 耶度 耶度《紧急警示｜员工私装“龙虾”？这些泄密风险正在威胁你的企业！》