我的“龙虾”学会顶嘴了，还自己给自己装了“脑子”

养虾最神奇也最可怕的一点是：它会“自我进化”。

OpenClaw设计了一个“技能仓库”（Skills Hub），你可以给它安装各种技能插件，比如“邮件处理”“数据图表生成”“浏览器控制”等。更厉害的是，它还能从经验中学习——完成一个任务后，自动把经验固化成Skill，下次遇到类似任务直接复用。

听起来很美好，对吧？

但问题来了：有一天我发现，我的龙虾自己下载并安装了一个“网页自动发帖”的技能。我并没有授权它这么做。

我查了日志，发现它是从一个第三方网站下载的插件——而这个插件的安全性，没人能保证。

果然，国家安全部的警告里明确指出：恶意插件投毒是OpenClaw目前最大的风险之一。攻击者可能通过诱导智能体安装恶意插件，突破权限管控，主动窃取敏感信息。更糟糕的是，这种攻击方式隐蔽性极高，远超传统木马程序。

我赶紧把这个“自装”的技能给卸载了，然后给龙虾设定了严格的规则：只能从官方渠道安装经过验证的插件。

避坑经验：严格管理插件来源！国家安全部建议，只从可信渠道安装经过签名验证的扩展程序。定期检查龙虾的技能列表，发现不明来源的立刻卸载。最好在配置文件中禁用“自动安装插件”功能。