12月24日，腾讯QClaw将正式停止运营。已购买但没用完的订阅可以申请退款，数据则能迁往WorkBuddy。与卸载一个聊天机器人不同，这次停运更麻烦：办公Agent已经深入个人文件、浏览器操作和日常工作流，用户搬的不只是软件，还有攒下的提示词、任务配置和使用习惯。36氪哔哩哔哩
图片
网易有道正是冲着这个迁移入口来的。9月24日停运公告当天，有道龙虾（LobsterAI）推出迁移助手；10月8日晚，LobsterAI团队发布《致用户的一封信》，表示产品坚持长期投入、不把用户当赛马筹码，并直接邀请QClaw用户搬家——新用户可领取1000积分。读秒财经电脑报36氪
这步棋并非没有依据。QuestMobile口径下，QClaw PC客户端7月月活225.9万；另一份易观报告显示，6月QClaw月访问量达到354万次，同期LobsterAI约115万次。对一个今年2月上线、二季度用户才破百万的新产品来说，QClaw退场等于送来了现成的、已被桌面Agent教育过的用户。36氪
但巧的是，公开信发出五天后，LobsterAI自己上了安全事件：2026.10.16之前的版本中，其Providers导出功能用AES-GCM加密导出的API密钥，密钥由一个硬编码在公开源码里的固定字符串推导，盐值也写在文件本身。知乎
GitHub issue #2851在10月13日披露此事，VulnCheck于10月18日公开发布CVE-2026-112014，CVSS评分6.8，中危。翻译成人话：拿到你的导出文件，就能离线解开里面全部第三方模型供应商的Key，不需要知道你的“用户密码”。知乎
图片
这个漏洞的边界要说清楚：它不是服务器被攻破，风险落在早已把导出文件丢进网盘、发给同事的那些旧文件上；暴露半径只覆盖用过导出功能、且没有删干净的人。有道在10月16日随新版本发布的修复，改成默认不带出凭据，带凭据必须由用户自己设置密码。从披露到合入修复约三天，这本身也是代码开源带来的效果。知乎
对正在做选择的QClaw用户，公开信不必因此被否决，但那1000积分的承诺也不宜照单全收。如果你的工作流绑定微信和腾讯系服务，迁去同生态的WorkBuddy重新配置成本更低，且腾讯同样给了积分补贴；如果想试试有道龙虾，稳妥的顺序是：装10月16日之后的版本，先在电脑和网盘里搜一遍旧的Providers导出文件，找到的按“已暴露”处理，去各供应商后台轮换Key，再谈搬家。迁移助手可以带走提示词和任务配置，模型Key仍需自己重新设置——别顺手把旧密钥写进新的备份里。
图片
QClaw的倒计时还剩四十天左右。搬家可以慢慢考虑，但钥匙最好先换。
