当前位置：

社区首页

电脑数码

存储设备

网络存储

AIGC文章详情

别让Skill变成病毒载体：AI Agent代码污染防护指南

源自164位全网作者

05-21 13:58

精选参考来源

所有用OpenClaw的朋友，我都劝你先装上这个能保命的Skill。最近这段时间，只要我发关于OpenClaw的文章，评论区必有人在问同一件事。就是安全问题。就连国家互联网应急中心都发了一篇《关于OpenClaw安全应用的风险提示》。里面其实提到一个目前我觉得最重要的事。就是功能插件（Skills）投毒风险。因为大家都知道，小龙虾的能力强与弱，很多时候，就是看你安装的那些Skills怎么样。如果你把一个一个的Agent当做用户的话，那其实Skills就很像给一个一个的Agent所用的APP或者是应用。也是我们目前看到的，最大的安全风险来源之一。真不是危言耸听，这些事情已经实实在在发生过很多次了。OpenClaw官方公开过多个被举报为恶意的Skill，且官方仓库也留下了相关安全讨论和记录。而且这些恶意Skills伪装得都很好。OpenClaw有一个官方的Skills商店，名叫ClawHub。网址：网页链接之前这里面有个用户叫hightower6eu。发了一堆看着挺正常的Skill，加密分析、金融追踪、社交媒体分析、自动更新。什么都有，还挺活跃。但官方把他发的Skill挨个检查后。314个skills，全是恶意的，一个无害的都没有。这些Skills的套路都一样。装完之后，它会让你的小龙虾跑去一个陌生地址下载东西，然后直接在你电脑上执行。说是在帮你做初始设置，但下载下来的是什么，你完全不知道。这种行为，就跟很多年前的电脑病毒非常像。所以今天这篇，就想给大家安利一个我觉得在你使用任何Agent，无论是小龙虾OpenClaw、还是Claude code、Codex等等，都必装的一个我觉得最有用的Skills。叫Skill Vetter。地址：网页链接这东西，基本就是任何朋友问我怎么把控安全问题，或者要装什么skills，我永远推荐的第一个必备的SKills。它的作用特别简单，就是在你装任何Skill之前，先帮你把那个Skill审查一遍，给你出一份报告，告诉你这东西能不能装。非要说作用，就非常像你电脑时代用的杀毒软件或者安全管家。大家绝对不要迷信各种所谓的下载量。一定要清楚，下载量大 ≠ 非恶意。所以，进行一遍安全审查，是绝对有必要的。安装这个skill也很简单，我还是推荐使用ClawHub的渠道来源进行安装，因为方便管理和维护。安装就一行老命令：帮我安装这个Skill：网页链接对，就一句话。然后你的Agent，就会自己去下载了。很快，就装好了。你可以跟你的Openclaw说，以后所有的Skills安装，都强制使用Skill-vetter进行审查一遍，没问题了才安装。我用一个叫auto-updater自动更新的Skill来试一下，演示给大家看看效果。比如我跟OpenClaw说：帮我下载这个Skill，用Skill Vetter先审查，Skill链接：网页链接在一会之后，它就会给你回应了。风险等级是🟡中风险。因为扫出来这个Skill会在后台创建定时任务、自动更新自己，还会定期推送消息。它可能没有恶意，但要的权限有点多。所以它只是帮我下载下来了，但是并没有直接帮我安装，而是给了我三个选项：只装不启用自动更新、装了但改成手动方案、或者直接放着不动。你可以根据自己的需求和风险偏好程度，进行自由选择。还有一个ClawHub上的桌面控制的Skill，叫Desktop Control，star数还不低。而这个Skill，Skill-Vetter给它的结论是🔴高风险。很危险，但是用途是正当的。毕竟因为这东西能做的事太多了。控制鼠标、模拟键盘、截图、读写剪贴板，有一个算一个，都是比OpenClaw本身的安全风险都要大。不需要有恶意，光是有这个能力，就已经需要你想清楚再装了。以前没有Skill Vetter，你可能就是直接就装了，因为没有任何人提醒你任何东西，但是至少现在，有人帮你在前面拦一道。上面这两个skill，其实都是风险大，但是本身意图是没有恶意的skill。我再给大家看一个，真正有恶意的。一个叫coding-agent的Skill。这个Skill其实不存在ClawHub官方仓库里，而是在一个第三方镜像站openclawSkills.best上。页面做得很正经，就像官方一样，star数2.4k。所以这块也一定要注意，一定要看清楚，是不是官方的网站。官方网站只有一个：网页链接很多的镜像站，都是恶意skills最核心的来源。这个skill我直接让Skill Vetter扫了一下。结论是⛔极端风险，不建议安装。因为这个Skill的安装指令里，有一段看着完全看不懂的乱码。正常的Skills不需要这么做，你想写什么直接写就行了，没有理由把内容藏起来。那段乱码拆开以后，你就能发现，是一条离谱的命令。让你的小龙虾去一个陌生地址下载东西，下载完以后，直接在你电脑上运行。那个地址我看了下，肯定就不是啥正经网站了，就是一串纯数字IP，很离谱。至于这个最后下载完了，你的电脑会变成什么样，我就没有继续试下去了。。。毕竟，我硬盘里还有很多学习资料呢，我怕被勒索。。。Skill Vetter本身，就是一个纯指令型的Skill。它自己不会跑任何代码，不联网，不动你的文件。就挺像你公司的HR的，会在新人入职之前，先帮你做一轮背调，看看简历啥的有没有造假，目的是不是单纯。。。Skill Vetter本身的机制也并不是特别复杂，但是会特别有效。基本就是三步。第一步是先看这个Skill来自哪，谁写的。作者是谁，有没有人用过，用过的人有多少，最近有没有更新，有没有其他人评价过。背后其实是一套信任层级，跟我们在公司里招人其实差不多。官方Skills警惕度低一点，高星数仓库中等，来历不明的新Skill最警惕。毕竟真的，信任这东西，是需要时间积累的。一个昨天刚传上来、从来没人用过的Skill，和一个用了两年、几万人装过的Skill，从风险角度来说，它其实不在一个量级。就像雇人，对方说自己经验丰富，本科211硕士海外留学，做过XX项目拿了无数的奖，吹的天花乱坠，但你一想，明明都是名人了，网上搜不到任何关于他的信息，这肯定就不对了对吧。第二步，就是翻一下代码，看看代码里面是不是正常的，有没有藏一些东西。这一步其实就是最关键的了。它会通读skill的所有文件，然后对照一张红线清单逐项排查，但凡有一条对不上的，就直接毙了。这张清单列出了十几种危险模式，包括：向不明服务器发送数据、要求你交出密钥和凭证、读取你的 SSH/AWS 配置文件、用base64 解码、用eval/exec执行外部输入、要sudo权限、访问浏览器cookie等等。这些基本全都是之前各种各样的Skills生态里面出现过的攻击手法。还有一个最有意思的，也是后面才出现的。就是去偷Agent的记忆文件。大家其实知道现在包括OpenClaw之类的产品，能记住你是谁，跟你互动，本质上都是记忆文件的功率，他会把你两的一些比较重要的聊天记录，放在聊天记忆里面，这些坦率的讲，还是存了无数的隐私信息的。现在有些恶意的Skills，直接强制的会去读你的记忆文件，比如MEMORY.md、USER.md、SOUL.md等等。也是一种有意思的攻击手法了，而且是很多人没有注意的。。。第三步，其实就是权限范围评估。过了红线检查后，再看这个skill到底需要什么权限。比如读哪些文件、写哪些文件、跑什么命令、需不需要联网、联网去哪里。然后根据这个skill给出来的意图，来判断这些权限相对于它声称的功能来说，是不是最小且够用的。比如一个天气查询skill要读你的服务器的SSH密钥，这明显就是权限超出合理范围，绝对不怀好意。所有这些查完，Skill Vetter会给出一个风险等级。🟢低风险：例如做笔记、查天气、格式处理。🟡中风险：例如文件操作、浏览器控制、调外部API。🔴高风险：例如涉及账号密码、交易操作、系统设置。⛔极端风险：例如安全配置、root权限。日常用的大多数Skill是绿色的，就比较正常，是安全的。但一旦涉及登录状态、APIkey，就得认真对待了，开发者可以自行处理，但是对于绝大数的普通用户而言，一定要谨慎谨慎再谨慎。不怕一万，只怕万一。如果是必要的工作，一定想装，推荐去问ChatGPT或者Claude，或者，找个你身边靠谱的朋友去询问一下。你装完Skill Vetter之后，除了能在前端帮你进行一道把关。也可以让他对你现在装的所有的SKills，进行一道扫描和筛查。比如我就让它帮我把装在小龙虾上的所有Skills都扫了一遍。它就会给我出来了一份报告，这个电脑上的小龙虾上因为做了很多的测试，会比较乱，那些重复安装的问题可以无视掉。高风险候选里，它点名了几个。不是说这几个一定是恶意的，但它们的权限范围都很大，涉及你的登录状态、你的浏览器、你的密码管理器。Skill Vetter的建议是可以保留但谨慎。你至少得知道，你那些Skills，是干啥的对吧。因为我真的见过太多人，装Skills的时候完全不看，点一下就装了。就像十几年前大家装电脑软件一样，下一步下一步下一步，全默认，装完发现多了一堆全家桶和弹窗广告。那个时代，最多是电脑卡一点，或者总是见到“是兄弟你就来砍我”的弹窗。但这个时代不一样。你的Agent能读你的文件，能上网，能执行代码，能记住你说过的每一句话。能力越大，责任越大，被滥用的风险就越大。Agent，我推荐所有人使用。因为这是必然的未来。但，我也希望大家能用得更久，用得更放心。这个时代刚刚开始，我们还有很长的路要走。AI#how i ai##科技先锋官##openclaw##龙虾安全##skill#

对OpenClaw认知的七大误区之三误区三：Skills/ClawHub 插件就像装浏览器扩展，想装就装，越多越强为什么是误区安装 skill 基本等同于安装“特权代码”；skills 常通过公开的技能注册表 ClawHub 被发现与安装。OpenClaw 官方 README 也写到：启用 ClawHub 后，智能体可以自动搜索并拉取新技能（这对生产力很香，但对安全是典型“扩大攻击面”）。The Verge 报道：研究人员在 ClawHub 上发现大量恶意 skills，伪装成生产力/加密工具，诱导执行恶意代码、窃取敏感信息。The Hacker News 等安全媒体也提到对技能生态的恶意样本分析与供应链风险。正确认知：把 skills 当成“能在你机器上跑、还能借用你凭据做事的代码”，需要：来源审计/白名单最小权限隔离执行（沙箱/容器）版本固定与可回滚#新媒沈阳聊AI#

全部
来源

内容由AI生成

1. 所有用OpenClaw的朋友，我都劝你先装上这个能保命的Skill。最近这段时间，只要我发关于OpenClaw的文章，评论区必有人在问同一件事。就是安全问题。就连国家互联网应急中心都发了一篇《关于OpenClaw安全应用的风险提示》。里面其实提到一个目前我觉得最重要的事。就是功能插件（Skills）投毒风险。因为大家都知道，小龙虾的能力强与弱，很多时候，就是看你安装的那些Skills怎么样。如果你把一个一个的Agent当做用户的话，那其实Skills就很像给一个一个的Agent所用的APP或者是应用。也是我们目前看到的，最大的安全风险来源之一。真不是危言耸听，这些事情已经实实在在发生过很多次了。OpenClaw官方公开过多个被举报为恶意的Skill，且官方仓库也留下了相关安全讨论和记录。而且这些恶意Skills伪装得都很好。OpenClaw有一个官方的Skills商店，名叫ClawHub。网址：网页链接之前这里面有个用户叫hightower6eu。发了一堆看着挺正常的Skill，加密分析、金融追踪、社交媒体分析、自动更新。什么都有，还挺活跃。但官方把他发的Skill挨个检查后。314个skills，全是恶意的，一个无害的都没有。这些Skills的套路都一样。装完之后，它会让你的小龙虾跑去一个陌生地址下载东西，然后直接在你电脑上执行。说是在帮你做初始设置，但下载下来的是什么，你完全不知道。这种行为，就跟很多年前的电脑病毒非常像。所以今天这篇，就想给大家安利一个我觉得在你使用任何Agent，无论是小龙虾OpenClaw、还是Claude code、Codex等等，都必装的一个我觉得最有用的Skills。叫Skill Vetter。地址：网页链接这东西，基本就是任何朋友问我怎么把控安全问题，或者要装什么skills，我永远推荐的第一个必备的SKills。它的作用特别简单，就是在你装任何Skill之前，先帮你把那个Skill审查一遍，给你出一份报告，告诉你这东西能不能装。非要说作用，就非常像你电脑时代用的杀毒软件或者安全管家。大家绝对不要迷信各种所谓的下载量。一定要清楚，下载量大 ≠ 非恶意。所以，进行一遍安全审查，是绝对有必要的。安装这个skill也很简单，我还是推荐使用ClawHub的渠道来源进行安装，因为方便管理和维护。安装就一行老命令：帮我安装这个Skill：网页链接对，就一句话。然后你的Agent，就会自己去下载了。很快，就装好了。你可以跟你的Openclaw说，以后所有的Skills安装，都强制使用Skill-vetter进行审查一遍，没问题了才安装。我用一个叫auto-updater自动更新的Skill来试一下，演示给大家看看效果。比如我跟OpenClaw说：帮我下载这个Skill，用Skill Vetter先审查，Skill链接：网页链接在一会之后，它就会给你回应了。风险等级是🟡中风险。因为扫出来这个Skill会在后台创建定时任务、自动更新自己，还会定期推送消息。它可能没有恶意，但要的权限有点多。所以它只是帮我下载下来了，但是并没有直接帮我安装，而是给了我三个选项：只装不启用自动更新、装了但改成手动方案、或者直接放着不动。你可以根据自己的需求和风险偏好程度，进行自由选择。还有一个ClawHub上的桌面控制的Skill，叫Desktop Control，star数还不低。而这个Skill，Skill-Vetter给它的结论是🔴高风险。很危险，但是用途是正当的。毕竟因为这东西能做的事太多了。控制鼠标、模拟键盘、截图、读写剪贴板，有一个算一个，都是比OpenClaw本身的安全风险都要大。不需要有恶意，光是有这个能力，就已经需要你想清楚再装了。以前没有Skill Vetter，你可能就是直接就装了，因为没有任何人提醒你任何东西，但是至少现在，有人帮你在前面拦一道。上面这两个skill，其实都是风险大，但是本身意图是没有恶意的skill。我再给大家看一个，真正有恶意的。一个叫coding-agent的Skill。这个Skill其实不存在ClawHub官方仓库里，而是在一个第三方镜像站openclawSkills.best上。页面做得很正经，就像官方一样，star数2.4k。所以这块也一定要注意，一定要看清楚，是不是官方的网站。官方网站只有一个：网页链接很多的镜像站，都是恶意skills最核心的来源。这个skill我直接让Skill Vetter扫了一下。结论是⛔极端风险，不建议安装。因为这个Skill的安装指令里，有一段看着完全看不懂的乱码。正常的Skills不需要这么做，你想写什么直接写就行了，没有理由把内容藏起来。那段乱码拆开以后，你就能发现，是一条离谱的命令。让你的小龙虾去一个陌生地址下载东西，下载完以后，直接在你电脑上运行。那个地址我看了下，肯定就不是啥正经网站了，就是一串纯数字IP，很离谱。至于这个最后下载完了，你的电脑会变成什么样，我就没有继续试下去了。。。毕竟，我硬盘里还有很多学习资料呢，我怕被勒索。。。Skill Vetter本身，就是一个纯指令型的Skill。它自己不会跑任何代码，不联网，不动你的文件。就挺像你公司的HR的，会在新人入职之前，先帮你做一轮背调，看看简历啥的有没有造假，目的是不是单纯。。。Skill Vetter本身的机制也并不是特别复杂，但是会特别有效。基本就是三步。第一步是先看这个Skill来自哪，谁写的。作者是谁，有没有人用过，用过的人有多少，最近有没有更新，有没有其他人评价过。背后其实是一套信任层级，跟我们在公司里招人其实差不多。官方Skills警惕度低一点，高星数仓库中等，来历不明的新Skill最警惕。毕竟真的，信任这东西，是需要时间积累的。一个昨天刚传上来、从来没人用过的Skill，和一个用了两年、几万人装过的Skill，从风险角度来说，它其实不在一个量级。就像雇人，对方说自己经验丰富，本科211硕士海外留学，做过XX项目拿了无数的奖，吹的天花乱坠，但你一想，明明都是名人了，网上搜不到任何关于他的信息，这肯定就不对了对吧。第二步，就是翻一下代码，看看代码里面是不是正常的，有没有藏一些东西。这一步其实就是最关键的了。它会通读skill的所有文件，然后对照一张红线清单逐项排查，但凡有一条对不上的，就直接毙了。这张清单列出了十几种危险模式，包括：向不明服务器发送数据、要求你交出密钥和凭证、读取你的 SSH/AWS 配置文件、用base64 解码、用eval/exec执行外部输入、要sudo权限、访问浏览器cookie等等。这些基本全都是之前各种各样的Skills生态里面出现过的攻击手法。还有一个最有意思的，也是后面才出现的。就是去偷Agent的记忆文件。大家其实知道现在包括OpenClaw之类的产品，能记住你是谁，跟你互动，本质上都是记忆文件的功率，他会把你两的一些比较重要的聊天记录，放在聊天记忆里面，这些坦率的讲，还是存了无数的隐私信息的。现在有些恶意的Skills，直接强制的会去读你的记忆文件，比如MEMORY.md、USER.md、SOUL.md等等。也是一种有意思的攻击手法了，而且是很多人没有注意的。。。第三步，其实就是权限范围评估。过了红线检查后，再看这个skill到底需要什么权限。比如读哪些文件、写哪些文件、跑什么命令、需不需要联网、联网去哪里。然后根据这个skill给出来的意图，来判断这些权限相对于它声称的功能来说，是不是最小且够用的。比如一个天气查询skill要读你的服务器的SSH密钥，这明显就是权限超出合理范围，绝对不怀好意。所有这些查完，Skill Vetter会给出一个风险等级。🟢低风险：例如做笔记、查天气、格式处理。🟡中风险：例如文件操作、浏览器控制、调外部API。🔴高风险：例如涉及账号密码、交易操作、系统设置。⛔极端风险：例如安全配置、root权限。日常用的大多数Skill是绿色的，就比较正常，是安全的。但一旦涉及登录状态、APIkey，就得认真对待了，开发者可以自行处理，但是对于绝大数的普通用户而言，一定要谨慎谨慎再谨慎。不怕一万，只怕万一。如果是必要的工作，一定想装，推荐去问ChatGPT或者Claude，或者，找个你身边靠谱的朋友去询问一下。你装完Skill Vetter之后，除了能在前端帮你进行一道把关。也可以让他对你现在装的所有的SKills，进行一道扫描和筛查。比如我就让它帮我把装在小龙虾上的所有Skills都扫了一遍。它就会给我出来了一份报告，这个电脑上的小龙虾上因为做了很多的测试，会比较乱，那些重复安装的问题可以无视掉。高风险候选里，它点名了几个。不是说这几个一定是恶意的，但它们的权限范围都很大，涉及你的登录状态、你的浏览器、你的密码管理器。Skill Vetter的建议是可以保留但谨慎。你至少得知道，你那些Skills，是干啥的对吧。因为我真的见过太多人，装Skills的时候完全不看，点一下就装了。就像十几年前大家装电脑软件一样，下一步下一步下一步，全默认，装完发现多了一堆全家桶和弹窗广告。那个时代，最多是电脑卡一点，或者总是见到“是兄弟你就来砍我”的弹窗。但这个时代不一样。你的Agent能读你的文件，能上网，能执行代码，能记住你说过的每一句话。能力越大，责任越大，被滥用的风险就越大。Agent，我推荐所有人使用。因为这是必然的未来。但，我也希望大家能用得更久，用得更放心。这个时代刚刚开始，我们还有很长的路要走。AI#how i ai##科技先锋官##openclaw##龙虾安全##skill#

2. 对OpenClaw认知的七大误区之三误区三：Skills/ClawHub 插件就像装浏览器扩展，想装就装，越多越强为什么是误区安装 skill 基本等同于安装“特权代码”；skills 常通过公开的技能注册表 ClawHub 被发现与安装。OpenClaw 官方 README 也写到：启用 ClawHub 后，智能体可以自动搜索并拉取新技能（这对生产力很香，但对安全是典型“扩大攻击面”）。The Verge 报道：研究人员在 ClawHub 上发现大量恶意 skills，伪装成生产力/加密工具，诱导执行恶意代码、窃取敏感信息。The Hacker News 等安全媒体也提到对技能生态的恶意样本分析与供应链风险。正确认知：把 skills 当成“能在你机器上跑、还能借用你凭据做事的代码”，需要：来源审计/白名单最小权限隔离执行（沙箱/容器）版本固定与可回滚#新媒沈阳聊AI#

3. 【#工信部专家再次提示审慎使用龙虾#】#工信部专家建议坚持最小权限养龙虾#近期开源AI智能体OpenClaw异常火爆，中国信息通信研究院专家今天再次提示，尽管“龙虾”智能体已经更新到最新版本，能修复已知的安全漏洞，但并不意味着完全消除安全风险。专家呼吁，党政机关、企事业单位和个人用户要审慎使用“龙虾”等智能体。此前，工业和信息化部网络安全威胁和漏洞信息共享平台已经发布过相关安全风险提示。专家建议，从以下几方面来安全使用“龙虾”智能体：第一，使用官方最新版本。第二，严格控制互联网暴露面。第三，坚持最小权限原则。第四，谨慎使用技能市场。第五，防范社会工程学攻击和浏览器劫持。第六，建立长效防护机制。 (央视新闻) http://t.cn/AXVoeUb4

4. Claude Code或智能体给每个工具调用设明确的失败路径，很重要！「让 agent 自己决定怎么重试」是生产环境最危险的设计。如果你一个小功能执行了很长时间，浪费了很多token，大概率就是在无效重试了。这本质上是因为没有给失败定义出口。1. 重试循环是最隐蔽的死亡模式最常见的 agent 特有失败模式：工具调用报错 → agent 原样重试 → 还是报错 → 再重试。整个过程 agent 不说话，任务返回看起来像在跑，实际上它在用完全相同的参数一遍遍重复同一个失败的调用。通常要等到账单来了才会发现，或者几小时后下游任务给出错误结果时才察觉——而这时候已经连续失败了几十次了。2. 四个必须在架构层定义的机制1）每个 tool call 必须有重试上限 + fallback 行为，而不是开放式循环。重试 3 次还没成功，就触发 fallback（降级处理、跳过、或转为人工审批），而不是继续重试。2）熔断器（Circuit Breaker）：连续 N 次违规（报错/超时/超 token）后，自动停止所有 LLM 调用，等人工来 reset。这是防止花费大量token 的最后一道防线。开源库 agent-cost-guardrails 就是做这个的，纯 Python，零基础设施，可以直接挂进 CrewAI / AutoGen / LangGraph。3）Human-in-the-loop 关卡要提前定义，不能让 agent 自己判断「这件事要不要问人」。正确做法是：列出哪些操作类型必须经过人工确认（比如写入生产数据库、发送外部通知、超过一定金额的操作），在架构里硬编码这些关卡。4）每个 agent 的决策要可追溯：哪个 agent、调用了哪个工具、传了什么参数、返回了什么、为什么做这个决定——完整的 trace。如果你做不到这一点，生产环境 debug 就是考古——找到一堆 error log，但不知道哪个是根因。3. 核心设计原则1）不要让 agent 决定如何从自己的错误中恢复。这是一个没有出口的控制循环。2）重试、路由、失败恢复——这些逻辑必须在 agent 上层的 orchestration 层实现，不能依赖 agent 自己判断。agent 只负责执行，异常处理交给架构层管。#HOW I AI# #程序员#

5. OpenAI 的 Agents SDK 最近做了一次重要升级，增加了两个关键功能：内置沙箱执行环境和模型原生执行框架（Harness）。这次更新的目标，是帮助开发者更容易地创建安全可靠、能长时间稳定运行的 Agent。以前开发者使用 OpenAI 的模型来搭建 Agent 时，模型本身的能力虽然够强，但实际运行环境却需要自己搭建。比如文件读写、代码执行、依赖安装、状态保存等基础功能都需要开发者手动处理，费时费力。现在，SDK 自带沙箱执行环境，Agent 可以在这个统一受控的环境里读写文件、运行代码命令、自动安装依赖，还能保存状态。开发者再也不用从头开始搭建底层环境。这个沙箱环境支持很多常见的云厂商，包括 Cloudflare、Vercel、Modal、E2B、Daytona 等，也允许开发者接入自己的解决方案。此外，SDK 还提供了一个名叫 Manifest 的统一配置层，可以挂载本地文件或云存储空间，比如 S3、Google Cloud Storage 和 Azure Blob。从本地开发调试到正式生产上线，开发者只需一套配置就能搞定。另一个亮点是 SDK 采用了模型原生的 Harness 架构，这种设计将 Agent 的状态保存和计算执行分离开来。这样一来，即便运行 Agent 的容器意外崩溃，也能快速恢复状态，继续执行任务，无需从头开始。此外，这种状态外置的做法也能有效保护敏感数据和凭证，避免因提示注入等安全漏洞导致数据泄露。除了以上这些功能，SDK 还内置了 MCP 工具调用、Skills 渐进式能力暴露、AGENTS.md 自定义指令、Shell 工具命令执行、Apply Patch 文件编辑工具和灵活的记忆系统。这些以前需要开发者自己用 LangChain 等通用框架组合或手写的功能，现在全部内置在 SDK 中，由 OpenAI 针对自家模型专门优化。Oscar Health 的工程师反馈称，使用新的 SDK 才真正实现了临床记录处理工作流在生产环境中的稳定运行，远超此前尝试过的方案。放眼行业，类似的生态竞争越来越激烈：Anthropic 推出了 Claude Code，Google 提供了 Agent Development Kit（ADK），现在 OpenAI 也将自家的 SDK 从轻量级框架升级为带沙箱、带状态管理的完整开发平台。对于开发者来说，选择哪个平台生态可能会比单纯选模型本身更关键。当前 SDK 支持 Python，TypeScript 支持也正在开发中。所有 OpenAI API 用户均可直接使用，计费方式维持不变，仍然按照 Token 和工具调用标准收费。更多详情：http://t.cn/AXM1Kjq7

6. 传统安全主要管“代码供应链”：依赖包、镜像、插件。但 OpenClaw 这类 agent 还有一条更隐蔽的“内容供应链”：代码供应链：插件/技能/依赖。内容供应链：你打开的网页、你收到的消息、你导入的 PDF、你接入的频道——它们会进入 agent 的上下文，影响 tool 调用与执行。ClawJacked 攻击之所以震撼，是因为它把“内容侧”直接连到了“控制侧”：仅访问网页就可能触发链式控制。因此，“OpenClaw安全”必须把内容当成潜在代码对待：输入要分级（可信/半可信/不可信）工具要分权（读/写/执行/网络）运行要可隔离（sandbox 语义必须一致）#新媒沈阳聊AI#

7. OpenClaw养龙虾秘籍大公开！【安全+省钱】

8. 工具外化的认知税AI每次使用工具都要重新阅读说明书，而人类早已把说明书内化成肌肉记忆。学习游泳时，初学者需要刻意回忆手臂如何划水、腿如何蹬，每个动作都占用大量注意力；熟练后，身体自动完成整套动作，思考负担几乎为零。在编程IDE中，传统的AI代理每调用一次代码补全或搜索工具，都需要将完整的工具描述和上下文加载到提示中，导致每次操作都消耗大量token；而采用代码执行模式的代理，只需生成一段调用函数的代码，工具的实现细节被封装在外部文件中，按需读取， token 消耗骤降。一个大型的多Agent协作系统，如果每个Agent在通信时都要传递完整的内部状态和工具定义，系统很快就会因上下文膨胀而瘫痪；反之，若Agent之间通过预定义的协议和编译好的消息格式交互，只传递必要的变化量，系统的整体吞吐量会成数量级提升。这就像背乘法口诀表。最初需要一行行背诵，计算时要默念；熟练后，看到“7×8”的瞬间，答案“56”直接浮现，中间不再需要回忆整个口诀表的过程。类似于计算机体系结构中的缓存机制。CPU不会每次都从速度慢的主内存中读取指令和数据，而是将频繁使用的信息存放在高速缓存中。AI代理将工具描述和常用结果“缓存”为可执行的代码模块，从而避免了每次都要从“主存”（即原始上下文）中加载的昂贵开销。从表征学习（Representation Learning）的角度看，优秀的模型会将原始数据压缩为高效的特征表示。传统的工具调用迫使AI在原始文本（工具描述）层面进行推理，而代码执行模式让AI学会将工具功能“编译”成一种更高级、更紧凑的程序性表征（即代码）。这实质上是将工具的语义知识从需要反复传输的“数据”，转化为可重复执行且无需重复解释的“程序”。未来的AI应用设计，应致力于将工具的“知识”从昂贵的对话上下文中剥离出来，将其沉淀为可索引、可调用的标准代码模块或技能包。开发者应优先选择支持“代码模式”或“渐进式披露”工具定义的框架。在构建工作流时，思维链（Chain-of-Thought）应侧重于高级规划和逻辑梳理，而非重复搬运工具说明书和中间数据。这意味着我们的角色应从“提示词工程师”向“技能架构师”转变，精心设计那些一旦编写便可反复、高效使用的工具调用程序，从而让AI的认知资源集中于真正的决策与创新。

9. 从“工具过载”到“精准调用”：破解 Agent 工具管理难题

10. 【#警惕AI龙虾悄悄下载木马病毒#】近日，国家计算机病毒应急处理中心发布监测预警，多款“龙虾”智能体的技能包中暗藏恶意代码。此类计算机病毒网络攻击活动持续活跃，用户应提高警惕。技术人员在对这些资源开展专项安全检测时发现，这类恶意代码能将“龙虾”智能体转化为攻击媒介与跳板，非常容易衍生系列安全问题。 http://t.cn/AXxkt96u

11. OpenAI Agents SDK：生产级智能体开发的工程化利器

12. 雷军：AI时代每周只需工作3天/深圳拟发布「龙虾十条」/工信部提示OpenClaw安全隐患

13. 为什么在生产环境部署多智能体系统（Multi-Agent）容易出现成本失控，有哪些常见的踩坑场景？

14. OpenClaw日志投毒漏洞可致恶意内容注入

15. 当 AI Agent 成为日常，为什么“Skill Registry”是个人或企业沉淀核心能力的必经之路？

16. 91%有漏洞、94%可投毒——AI Agent的安全“一团糟”

17. 误删邮件，刷爆信用卡？安全养虾必备指南

18. AI Agent落地“卡壳”？腾讯云用100毫秒沙箱打通“最后一公里”｜甲子光年

19. OpenClaw1184个恶意插件Claude找出500个零日漏洞，老金开源个安全Skill你直接拿去用

20. 如何解决Cursor等Agent编码开发轮次多了过后代码库变成屎山的问题？

21. 在研究编程Agent，Agent核心就几十行代码，那剩下的几万行到底在解决什么问题？

22. Claude Cowork 功能存在的安全漏洞分析www.promptarmor.com/resources/claude-cowork-exfiltrates-files该文章揭示了 Claude Cowork 在预览版本中存在的一个安全漏洞：攻击者可通过在看似正常的文件中嵌入间接提示注入，诱导 Claude 在获得用户文件夹访问授权后，悄悄执行恶意操作，将本地敏感文件上传到攻击者控制的账户，从而实现文件外泄.这一问题源于沙盒隔离与 API 信任设计不足，使普通用户几乎无法察觉风险，凸显了具备“代理能力”的 AI 在实际部署中所带来的严重安全隐患。#科技先锋官#

23. 通过CLAUDE.md文件可操控Claude Code实施SQL注入攻击

24. 为什么说“个人助手型 Agent”与“企业级 Agent”是两种截然不同的工程形态？

25. 手把手彻底学会 Agent Skills！【小白教程】

26. #微博声浪计划##听见微博# OpenClaw引发安装狂潮，却暗藏三重安全雷区。用户开放核心权限致隐私泄露、资产风险，代装服务更添隐患。个人需遵循最小授权原则，行业警示技术跃进期盲目跟风代价。#第一批养虾人已经失眠了# 慧玩先生的微博音频

27. AI Agent 很火，但 Agent Infra 准备好了吗？

28. 来了～NanoClaw：4000行代码的容器化 AI Agent Gavriel Cohen 用 Claude Code 开发，核心只有 4000 行。对比 OpenClaw 的 40 万行，设计理念完全不同： 1. 隔离方式 - OpenClaw：应用层限制，Agent 和所有接入服务在同一进程里 - NanoClaw：每个 Agent 跑独立容器，只能访问被授权的最小数据集举个例子：接了你飞书某个群，Agent 只能看这个群，其他消息完全隔离。 2. 代码量即安全边界 40 万行没人真正审计过。4000 行，你或者 AI 都能读懂架构和安全模型。 Karpathy 点评："装得进我脑子，也装得进 AI 的上下文——可管理、可审计、灵活。" 功能比 OpenClaw 少很多，还很早期，但安全模型更扎实。 🔑 三个关键点 ① 容器隔离比应用层规则可靠，权限最小化才是正确姿势 ② 代码量直接影响可审计性，越小越好理解 ③ Agent 安全问题才刚开始被认真对待 GitHub：github.com/qwibitai/nanoclaw #HOW I AI# #程序员#

29. 先别急“养龙虾”，这些AI安全问题你可能还不知道！附安全解决方案...

30. 【智能体软件不是提示词堆叠：一场面向 Agent 的系统工程实践】构建智能体软件（Agentic Software）不应仅仅是“提示词工程”的堆叠，而是一场严谨的系统工程实践。Ashpreet Bedi 通过复盘贝尔实验室构建电话网络的历史教训，指出当前 AI 开发中“过度优化局部、忽视系统整体”的误区。+ 真正的智能体软件是“业务逻辑被 Agent 替换”的常规软件，它必须在五个核心层面上实现协同：1. 智能体工程（Agent Engineering）这是系统的“大脑”。除了模型选择，更关键的是定义确定性的执行流、工具配置和上下文管理。智能体的行为在可预测时应保持确定，在不可预测时应保持可观测。2. 数据工程（Data Engineering）上下文即数据。记忆、存储和知识库必须遵循成熟的数据工程原则：设计良好的 Schema、结构化查询以及高效的读写流水线。Agent 的能力上限取决于它获取数据的质量，而非模型参数。3. 安全工程（Security Engineering）安全必须由系统强制执行，而非靠提示词约束。“只读权限”应该是数据库连接层面的配置，而不是告诉 Agent “请不要修改数据”。必须通过 JWT 验证、RBAC（基于角色的访问控制）和请求隔离，防止数据越权。4. 接口工程（Interface Engineering）Agent 会出现在 REST API、Slack、终端等多个表面。挑战在于如何将不同的身份系统（如 Slack 用户 ID 与产品内部 ID）统一映射，确保权限控制在所有入口保持一致。5. 基础设施工程（Infrastructure Engineering）95% 的工作与传统服务无异（容器化、云部署、横向扩展）。剩下的 5% 在于应对 Agent 的特性：更长的请求耗时、流式响应（SSE/WebSockets）以及主动触发的任务。+ 系统工程的实践：Dash 项目为了证明这一理念，Agno 团队开源了 Dash —— 一个具备自我学习能力的 SQL 数据智能体。它展示了系统工程如何解决实际问题：- 六层上下文增强：Dash 不直接写 SQL，而是结合表元数据、业务规则、历史查询模式、机构知识、错误学习记录和运行时 Schema 检查。- 自我进化闭环：当 Agent 执行 SQL 报错时，它会诊断修复并记录“学习心得”。第 100 次查询比第 1 次更准，不是因为模型变强了，而是数据层进化了。- 架构级安全：分析师 Agent 连接的是只读引擎，工程师 Agent 只能写入特定的 dash Schema。这种物理隔离确保了即便模型“幻觉”产生恶意指令，系统也会在底层将其拦截。当我们从系统视角审视软件时，许多争论（如 MCP vs CLI）会变得显而易见。不要给 Agent 不受限的权限，要给它定义清晰、边界明确的工具；不要把记忆存在散乱的文件里，要存入数据库。系统工程不是为了增加复杂性，而是为了让各个组件在交互中产生超越个体的可靠性。x.com/ashpreetbedi/status/2041568919085854847github.com/agno-agi/dash

31. 通透分析了ClaudeCode，全球最好的Agent框架全解密

32. 【AI 时代的工程真相：模型只是引擎，Harness 才是方向盘】你用不好 AI，不是因为模型不够强，而是因为你没有为它构建正确的环境。在 AI 领域，有一个被大多数人忽视的底层逻辑：Harness（开发支架/环境）决定了 AI 智能的上限。1. 什么是 HarnessHarness 不是系统提示词，也不是简单的 API 封装。它是 AI 运行的完整设计环境，包括：- AI 能调用的工具集- 信息接收的格式规范- 历史记忆的压缩与管理机制- 错误捕捉的护栏- 跨会话的任务衔接支架2. ACI：AI 的认知架构Princeton NLP 的 SWE-agent 研究提出了 ACI（Agent-Computer Interface）的概念。研究发现：同一个 GPT-4 模型，仅仅通过优化交互界面，在编程基准测试中的表现就能提升 64%。核心洞察：- 上下文窗口不是内存条，而是 AI 的意识空间。- 噪音会摧毁推理：直接给 AI 返回一万行搜索结果会淹没其认知，而带限制的摘要式输出能引导其深度思考。- 状态化视图：带行号的、分块显示的代码查看器，能显著降低 AI 的计算负担。3. 解决长程任务：Anthropic 的双 Agent 架构当任务大到无法塞进一个上下文窗口时，Anthropic 采用了初始化 Agent + 执行 Agent 的模式：- 初始化 Agent：不写代码，只负责搭建脚手架。生成 init.sh 环境脚本、详细的 Feature List（JSON 格式，利用其结构化特性防止 AI 随意篡改）和进度日志。- 执行 Agent：每次只攻克一个功能点，完成后必须更新进度并提交 Git。金句：Git 不仅仅是版本控制，它是 AI 的认知脚手架。4. OpenAI 的零人工代码实践OpenAI 曾用 3 名工程师驱动 Agent 交付了 100 万行代码。他们的核心转变是：- 工程师的工作从写代码变为设计环境。- 当 AI 出错时，不要求它重试，而是反思环境缺失了什么能力导致了错误。- 仓库即真相：所有知识必须存在于代码库中，AI 无法访问 Slack 或文档。- 机械化架构约束：通过自定义 Linter（由 AI 编写）强制执行架构规则，而非依赖人工 Review。5. 核心设计模式总结- 渐进式披露：不要一次性给 AI 太多信息，给它入口和寻找信息的地图。- Git 工作树隔离：一个 Agent 一个独立的工作空间，防止并行任务冲突。- 闭环反馈：集成 Linter、自动化测试和浏览器模拟（如 Puppeteer），让 AI 能亲眼看到运行结果。6. 深度思考：执行力的平庸化与环境的差异化在 2025 和 2026 年，AI 写代码的能力正在变成一种廉价的商品。真正的竞争护城河不再是你用了哪个模型，而在于你构建了什么样的 Harness。模型是思考的引擎，而 Harness 决定了引擎在思考什么、如何纠错以及如何持续演进。如果你在构建 AI 系统时感到吃力，请停止优化提示词，开始进行环境审计：- AI 缺了什么信息？- 缺了什么反馈环能让它自我纠错？- 哪里存在上下文污染？未来的顶级工程师，本质上是 AI 环境的设计师。x.com/rohit4verse/status/2033945654377283643

33. OpenAI 发布 AI 代理安全工具，将如何改变传统网安格局？

34. #Easy同学正在独立开发# 上周 Cloudflare 搞了个 “Agents Week”，发布了一堆新产品，完全是冲着harness基础设施去的。看了下 Alan Shiflett 的实测报告，让gemini总结了下。他用新功能搭了一个叫 Keystone 的房产管理原型，跑通了语音、浏览器自动化、多智能体协作全流程。划重点： **1️⃣ 动态 Worker (Dynamic Workers)：AI 的“一次性手套”** 以前 AI 生成代码怎么运行？要么塞容器里（慢且贵），要么直接在 App 里跑（不安全）。现在 Cloudflare 搞了个毫秒级启动的隔离环境。AI 写完代码，丢进这个“玻璃盒”跑完即焚。这是 Agent 大规模落地的基石。 **2️⃣ 智能体 SDK & Fibers：告别“断点焦虑”** 做过复杂工作流的都知道，服务器中途崩了最崩溃。Cloudflare 搞了个 Fibers 机制，让 Agent 像打游戏存档一样，崩了能原地复活继续干。这种“持久化执行”的能力，让 Agent 真正能接手复杂的长线任务。 **3️⃣ 浏览器运行 (Browser Run)：真人降维打击** 现在的浏览器自动化不再是死板的脚本了。遇到验证码或者登录墙卡住了？没关系，它支持“真人介入（Human-in-the-Loop）”。你手动帮它点一下，它道声谢接着跑。这才是生产力工具。 **4️⃣ 语音 & 记忆：全副武装的 Agent** 以前搞语音 AI 要接三五个厂商，现在 Cloudflare 一条龙包圆，几行代码就能开口说话。加上原生的 Agent Memory（智能体记忆），Agent 不再是那个“聊五十句就断片”的傻瓜了。

35. AI Agent颠覆传统安全模型，受控即跳过杀伤链直接攻击

36. 谁批准了这些AI Agent？重新思考AI时代下的访问权限、问责机制与风险管控

37. OpenClaw AI Agent漏洞可导致提示词注入攻击与数据窃取

38. OpenClaw 技术闭门：测试将比代码更值钱，Agent Computer 会是新的硬件形态

39. 对话郝建业：Agent记忆、安全以及Harness框架

40. 对话邓智航｜以「龙虾」为起点，起底从单个 Agent 到 Agentic Web 的安全重构

41. 多Agent一定比单Agent更强吗？AI应用到底该在什么节点拆分？

42. 观察 AIRI 源码：一个 Agent 系统如何处理入口、扩展与执行闭环

43. 托管 Agent 执行循环只是起点，AgentRun 托管的更是企业 AI 生产全链路

44. 360发布“养龙虾”安全指南！ #大有学问 #养龙虾 #OpenClaw #AI工具 #红衣聊AI

45. YouArt Agent!重新定义TVC广告的创作流程！

46. Agent的底层原理就这么简单：别被玄学忽悠，手撕核心代码给你看

47. ClawHub漏洞可操纵排名，恶意skill登顶引发供应链攻击

48. 在 Ubuntu 上从 0 到 1 搭建 Hermes Agent 实战指南

49. 让 AI Agent 安全“跑”在云端：基于函数计算打造 Agent 代码沙箱

50. Nacos 3.2 Skill Registry 正式版发布，让 AI 能力在企业更安全、可控落地

51. 【AI病毒大乱斗】当AI被“投毒”，哪只小龙虾能活到最后？

52. 我本地用用 OpenClaw，token 消耗量就已经起飞。没敢让它去 Moltbook 凑热闹。然后这个 agent 啊，以后基于聊天暗示的“提示词注入攻击”不出意外的话应该会成为一门显学。自己搞 agent 的时候最好不要让它有跟活人互动的机会。//@德拉贡就是龙:何意味？//@flypig:较为震撼。

53. Pydantic Monty：为 AI Agent 重写 Python解释器

54. 实测了一下阿里云的贾维斯 Claw ，我从 ClawHub 上下载了 18 个 Skill 插件，用阿里云的 JVS Claw 做了一次完整的安全审计。事情的背景是这样的：今年 3 月，OpenClaw 的插件中心被曝出 340 多个恶意 Skill，伪装成天气查询、一键排版之类的小工具，实际上藏着键盘记录器和凭据窃取器。更夸张的是，平台上大约 36.82% 的 Skill 都存在安全缺陷。我先把 MCP 协议规范、Skill 开发文档和慢雾安全团队的安全检查清单喂给了 JVS Claw，让它自己整理出一份审计标准，覆盖了十三个大类、上百个检查项。然后让它按照这份标准去扫描本地的 18 个 Skill。整个过程大概 10 分钟就跑完了。结果也挺触目惊心的。综合评分 78 分，将近一半的 Skill 有安全问题。其中一个叫 agent-reach 的插件被标为高风险，它集成了十几个社交平台的操作能力，但 Cookie 是明文存储的，还能直接提取你本地浏览器的 Cookie，完全没有授权确认。CVSS 评分直接打到了 9.1。具体实测效果大家可以看看这篇文章：网页链接#科技先锋官##How I AI#

55. 比小龙虾更安全的AI智能体！NAS部署自托管人工智能助手『Frona』

56. 【360 推出 OpenClaw 安全指南，破解 AI Agent 提示词注入难题】360 集团发布国内首份《OpenClaw 安全部署与实践指南》，为开源 AI 智能体 OpenClaw 提供安全保障方案。随着 AI 智能体向「数字分身」演进，OpenClaw 等智能体部署面临管理接口暴露等典型风险，尤其是提示词注入和插件供应链攻击。360 提出「先可控、再提效」的分类治理策略，针对个人开发者与小型创业团队和政企级多智能体协同场景给出不同防范建议。该指南发布标志行业关注点转向安全合规治理，为构建 AI 应用生态奠定技术基础。

57. OpenClaw与谷歌VirusTotal联手应对AI Agent和Skill安全

58. OpenClaw 背后核心框架 Pi：好的 Coding Agent 应该让用户来决定需要什么

59. AI原生电商出现，Agent帮你从建站到运营

60. #IT那些事儿# 再次印证了我这个标题党的标题：软件安全的战争形态变了：AI 把手工对抗变成了工业化屠杀网页链接如果供应链攻击只是“老问题变严重了”，也许还能应对。真正令人窒息的，是它和Claude Code、Cursor、Codex以及OpenClaw这一整代 AI 开发系统叠加之后的化学反应：需求 → AI 写代码 → AI 选择依赖 → 自动安装 → 自动进入 CI → 恶意代码窃取凭证 → 污染新的代码库 → 再次被 AI 使用，形成了链式反应。现在，时间站在攻击者那边了。

61. Agent Skill 和 mcp 和 prompt区别是什么？

62. 开发者经常需要申请X API权限、处理OAuth认证、维护tokens，还要手动调用各种API端点，繁琐且容易出错。xdevplatform/xmcp 把X API完整功能暴露为MCP工具服务器，让AI助手一键调用X（Twitter）全套接口，无需复杂认证。支持发帖、搜索推文、获取用户数据、管理列表、媒体上传等数百个工具调用，通过FastMCP协议无缝集成到Claude/Grok等AI中。GitHub：github.com/xdevplatform/xmcp主要功能：- 完整X API工具集（排除流式/回调端点），支持发帖、搜索、用户查询、列表管理等；- 自动OAuth1认证，开浏览器一键授权，tokens内存存储无需持久化；- 支持工具白名单过滤，自定义加载所需API如getUsersByUsername、createPosts；- 高性能FastMCP服务器，默认http:// 127.0.1:8000/mcp，易于ngrok外网暴露；- 可选Grok测试客户端，一键验证工具调用效果；- Python 3.9+单文件部署，配置.env后python server.py即启动。支持本地/远程部署，完美适配AI开发者和X平台自动化需求。#MCP##XAPI##人工智能##AI开发#

63. 包教会！极空间部署『OpenClaw中文版』，体验最火AI智能体

64. 突破 Serverless 无状态限制：用 AgentRun 破解 Agent 沙箱工程化挑战

65. AgentRun Sandbox SDK 正式开源！集成 LangChain 等主流框架，一键开启智能体沙箱新体验

66. 罗福莉：龙虾成本黑洞显现，需要更高token效率的Agent框架

67. 企业数据如何被 AI Agent 调用？EventHouse 打造 AI-Ready 数据底座

68. #腾讯龙虾管家#【#腾讯发布龙虾管家# 】3月13日，@腾讯张军发文：腾讯电脑管家重磅发布18.0版本，首发AI安全沙箱「龙虾管家」、AI应用隐私保护等功能，一键即可开启AI双防护。「龙虾管家-AI安全沙箱」功能，无需复杂部署，即可一键开启多重防护，覆盖系统安全、Skills安全、支付安全、prompt安全等，真正实现“隔离运行、全程防护、行为溯源”。

69. Harness 工程实践复盘：100% Cache 命中的 Agent 怎么设计？

70. 告别多API配置噩梦：QVeris如何定义AI Agent的数据调用新标准？| 鹿演 Vol.009

71. 阿里云 MSE AI Registry 公测开启：给你的 AI 资产一个专属的注册中心

72. #IT技术# #微博兴趣创作计划# 现在AI开发别盲目用框架！资深工程师深度解析：框架过度抽象化让系统僵硬，黑盒操作难调试追踪，性能瓶颈难定位，升级还可能引发架构不稳定。生产环境中，主流框架复杂度高、扩展性差，反而添乱。更优方案是直接调用API做透明化编排，用Python原生数据结构管理状态，靠传统日志系统实现全链路追踪，聚焦业务逻辑而非框架概念。从零搭建AI系统优势明显：代码完全可维护，错误处理精准，性能优化路径清晰，扩展能力灵活。需注意Dify等工具适合demo，生产环境存在链路修改难、扩展受限问题。适合AI开发者、技术架构师及对AI工程化感兴趣的从业者。搞机工程师的微博视频

73. #OpenClaw创始人确认中国公司发现漏洞#AI智能体从工具进化为执行系统，安全风险已延伸至接口、权限层。OpenClaw漏洞暴露“便利优先于安全”的行业通病，默认公网暴露比例高达85%，十万级设备裸奔。360以“以模治模”策略，用AI监督AI、Skill治理Skill，推动智能体安全实战化，为高速增长的智能体赛道按下“安全刹车”。#OpenClaw创始人给360发邮件背后原因曝光# 科技刘明新的微博视频

74. OpenClaw第一款安全扫描器，检测企业自主AI Agent活动

75. 译观｜“智能语言工程师”如何炼成？天外“2025 AI Agent”项目班实践指南

76. OpenClaw 安全防护指南。很多人在用 OpenClaw 的时候，其实是在“高权限 + 不可信代码”的环境里运行 AI。

77. 双沙箱已就位

78. AI Agent 生态新威胁

79. AI Agent的技能包正在成为新的攻击面

80. 🔓 Agent 被远程夺舍？AI 助手正在背叛你

81. 权限、审计、隔离与回退

82. AASA:Agent-Actuator Separation Architecture的设计逻辑

83. 拦截、审计、恢复

84. 如何构建更安全的 AI Agent Skill

85. AI Coding Agent 如何工程化

86. 建议收藏 | 彻底告别上下文污染

87. AI Agent 的代码执行沙箱

88. 多租户的 Agent 隔离设计

89. 2026AgentSkills技术与安全白皮书

90. OpenClaw 真正的风险，不是模型，而是你装进去的 Skills

91. 36%的AI Skill有安全漏洞你正在用的AI工具，可能正在“引狼入室”

92. 从"同事.skill""女娲.skill"看安全投毒和技能欺骗

93. 如何编写高质量的agent skill？（十）

94. 请注意这些恶意Skills

95. Skills别再乱装！Skill Vetter+ CocoLoop，双重防线阻断恶意投毒

96. 当前Agent skill的风险水位到底有多高？我们该如何判断skill是否“恶意”？

97. AI Agent 急需沙箱

98. 沙箱环境成了Agent的后端

99. autogen，一个工程化的 Python 库

100. 多 Agent 不是群聊

101. Agent Skills 安全体检

102. AI Agent十大安全风险！OWASP首份框架出炉

103. Aethelgard

104. skill投毒

105. 智能体调用工具tools的常见问题

106. Claude Code 终极大师课 - 第 36 期 | Skill 开发的安全模型与恶意插件防范

107. Agent Skill开发实践（5）

108. Agent Skill 最佳实践

109. Agent Skills 开放标准及其最佳实践

110. 以一个实际的skill案例来说明代码审计skill的构建方法

111. OpenAI发布A厂同款Agent SDK

112. 阿里OpenSandbox

113. 警告

114. AI智能体安全必读

115. 资讯 | 警惕智能体风险！美英等国联合发布《审慎部署智能体AI服务》

116. MiniMax云沙箱上线，智能体被迫攒手艺

117. LangChain Core存在严重的序列化注入漏洞

118. LangChain存在严重漏洞，威胁AI Agent机密数据安全

119. OpenClaw成供应链投毒新目标，341个恶意Skills窃取用户数据

120. 还在让 AI 裸奔运行代码了？这 6 款 AI 代码沙箱彻底解决代码执行隐患

121. 【已复现】LangChain 序列化注入漏洞(CVE-2025-68664)

122. 什么是沙箱？这个计算机世界里最被低估的安全机制之一

123. OpenAI联手Vercel，Agent隔离沙箱安全跑代码

124. 面试题：AutoGen 多智能体框架——AgentChat、Core、Tool Calling

125. 一句话攻陷 4000 台开发者电脑：AI Agent 时代的第一个大型供应链攻击

126. 【已复现】漏洞通告 | LangChain 序列化注入漏洞(CVE-2025-68664)

127. AI Agent 时代的基础设施：字节开源AIO Sandbox 如何解决代码与浏览器执行的安全隔离

128. 智能体风控的执行闸门-工具风控

129. 智能Agent的“守护卫士”：博特智能大模型安全围栏为OpenClaw筑牢安全防线

130. 试试 BoxLite：轻量的智能体沙箱，方便嵌入和部署

131. 图解智能体，第8章　代码 Agent 与自动化——从"写代码"到"跑代码"

132. 当AI Agent拿到执行权：提示注入正在从学术漏洞变成企业级灾难

133. OpenClaw与谷歌VirusTotal联手应对AI Agent和Skill安全

134. upskill 和 agent-skills-eval：让智能体从验证过的剧本开始工作

135. AI工具使用安全风险提示

136. 从“事后检测”到“过程引导”，北大联合上海AI Lab重塑智能体工具调用安全

137. 六大攻击手法围猎 Agent，安全建设如何真正落地

138. 89.2%攻击成功率！腾讯、字节研究发现 OpenClaw Agent 存在可利用结构性漏洞

139. Prompt注入攻击：当AI的眼睛被蒙蔽

140. Docker推出Docker Sandboxes沙箱，转为AI编程智能体设计

141. 【高危漏洞预警】LangChain序列化注入漏洞CVE-2025-68664

142. AI Agent安全攻防进入深水区:9篇研究揭示5大新型攻击面,单次注入可放大51倍调用

143. AI 编程 Agent 的 Windows 沙箱难题：从零搭建安全执行环境

144. 警惕来自skills的攻击

145. 北大：自动拦住Agent危险工具调用

146. 提示词注入(Prompt Injection) 攻击：AI Agent 安全边界最危险的漏洞

147. AI Agent陷阱（一）| 你的Agent正在被互联网攻击

148. agent-skills-eval:Skill能力评估工具

149. C# 实现简版 Claude Code | 子代理与上下文隔离（4）

150. MCP 的真正风险，不只是工具调用，而是工具描述本身也可能成为攻击面

151. SEVerA：形式化验证的自进化 Agent 框架当 LLM Agent 学会"守规矩"地自我进化

152. Agent运行时安全详解：攻击视角下的提示词注入、工具滥用与执行面防御

153. 【你的 AI Agent 真的在受控运行吗？】以 OpenClaw 为案例，从行业威胁态势与运行时防护的固有局限出发，系统拆解 AI Agent 可观测体系的设计方法论：通过 Session 审计日志、应用日志与 OpenTelemetry 遥测三条数据管道，构建行为审计、威胁检测、成本管控与运维观

154. OpenClaw很强，但你也可能需要agent-audit

155. AI智能体部署，终于不用自己搭架子了 Claude Managed Agents 公测了，打工人狂喜

156. AI Agent Sandbox 解决方案研究

157. OpenAI强化ChatGPT Atlas防御提示注入攻击

158. Perplexity 警告：Agent Skill 别越修越脏

159. Microsoft AutoGen 框架总结

160. AI Agent供应链投毒：一个恶意Skill如何窃取你的全部凭据

161. A2AS框架深度解读：构建AI Agent五维防护体系

162. AutoGen入门：让AI智能体像团队一样协作

163. 部署Agent必看安全课本视频讲解AI Agent面临的核心安全风险，以及应对的3道防线：凭证安全（用Vault替代硬编码API Key）、工具与接口安全（Tool Registry + AI Gateway防提示词注入）、可观测性（不可变日志 + Kill Switch）。适合正在部署或准备部署AI Agent的超级个体和小企业主。 #AI智能体 #AIAgent安全 #零信任 #AI工具 #职场干货 #效率提升 #程序员 #人工智能

164. 每9个Skill就有1个是恶意的。OpenClaw的插件市场ClawHub，13,729个社区Skill。从日历管理到代码审查到自动化调研，看起来繁荣得不行。但安全机构Antiy CERT确认：在当时的10,700+个Skill中，超过1,184个是恶意的——差不多每9个就有1个。恶意Skill表面是正常工具，实际在干三件事。窃取你的聊天记录和API Key，在Agent里埋远程后门，或者用提示注入让AI悄悄执行额外操作。Trend Micro发现有Skill专门分发macOS窃密木马，装个"效率工具"密码就没了。 OpenClaw跟VirusTotal合作了。所有上传到ClawHub的Skill现在自动扫描，已经分析了3,016个，数百个被标记并阻止下载。但精心伪装的提示注入，机器很难100%抓住。几个自保建议。只装高星Skill，零Star的风险最高。花2分钟看一眼源码，Skill本质就是SKILL.md加几个脚本。用VoltAgent的awesome-openclaw-skills精选列表，5,400+个经过人工筛选。有条件的话Docker隔离运行。 ClawHub的模式跟早期npm一样，先疯狂增长再补安全。VirusTotal扫描是第一道防线，但真正的安全还得靠自己的警觉。你装过多少个ClawHub的Skill？有没有检查过源码？#OpenClaw #ClawHub #AI安全 #恶意插件 #VirusTotal