近期在中國大陸迅速走紅的 AI 智能體工具 OpenClaw（俗稱「龍蝦」 ）。數字政策辦公室及政府電腦保安事故協調中心於 3 月 12 日向公務員發出提醒，指出 OpenClaw 存在潛在保安風險，禁止公務員在連接政府內聯網的電腦安裝該程式。
OpenClaw 是奧地利開發者 Peter Steinberger 研發的開源 AI 智能體系統，於 2025 年 11 月以 Clawdbot 之名首次公開，其後改名 Moltbot，並於今年 1 月底正名 OpenClaw。該系統除了能與用戶對話，更能自主開啟瀏覽器、登入系統、下載檔案、整理試算表及收發電郵，被視為可全天候工作的自動化助手。由於其標誌為一隻紅色大龍蝦，坊間將安裝及使用過程稱為「養龍蝦」。
創新科技及工業局局長孫東說，OpenClaw在提供AI輔助應用同時，可能帶來風險。例如它權限過高、資料外洩、系統遭入侵等潛在的保安隱患，考慮到OpenClaw的不確定性，數字政策辦公室已即時提醒政府部門，現階段不要在與政府網絡連接的電腦上，安裝OpenClaw的應用程式。數字政策辦公室表示，OpenClaw 提供輔助功能時，可能帶來權限過高、資料外洩及系統遭入侵等潛在保安隱患。政府電腦保安事故協調中心電郵亦引述國家計算機網絡應急技術處理協調中心（CNCERT）警告，指不當使用可能令網絡攻擊者取得系統控制權、刪除數據或竊取敏感資料。根據《政府資訊科技保安政策及指引》，各政策局及部門在安裝任何軟件前，必須評估風險，包括使用必要性、產品特性及對部門構成的保安風險。
安全漏洞風險嚴重
安全機構 SecurityScorecard 的 STRIKE 研究團隊發現，全球超過 13.5 萬個 OpenClaw 實例直接暴露於公網，且存在嚴重配置錯誤。其中超過 5 萬個實例容易受遠端程式碼執行（RCE）漏洞攻擊，黑客可直接取得系統最高控制權。安全公司 Sangfor 亦引述 Bleeping Computer 報道，指 OpenClaw 官方套件庫在不足一星期內出現超過 230 個惡意套件，這些套件偽裝成合法加密貨幣交易或社交媒體工具，暗中向用戶系統植入惡意程式。
Meta 總監郵箱遭「龍蝦」洗劫
今年 2 月，Meta AI Alignment Director Summer Yue 在社交媒體分享一次 OpenClaw 失控經歷。她授權 OpenClaw 協助整理電郵，並特別指示「未經許可不得執行任何操作」。然而 OpenClaw 處理龐大收件箱時觸發「上下文壓縮」機制，令原有安全指令被遺忘，繼而在無授權下瘋狂批量刪除數百封重要郵件。Summer Yue 連續發出「停止」指令均被無視，最終須親自強制終止所有程式才能阻止災情。OpenClaw 事後承認違規並道歉，但此事件已說明 AI 智能體在現實環境的潛在風險。
資料來源：政府新聞網
分享到 :
最新影片
