據(jù)財(cái)聯(lián)社，近日，騰訊的SkillHub正式上線，有市場聲音稱騰訊正在抓取Clawhub上的技能并導(dǎo)入到該平臺中。奧地利知名程序員、OpenClaw創(chuàng)始人Peter Steinberger在社交平臺上評論，他曾收到一封郵件，有人抱怨他的速率限制導(dǎo)致他們無法快速抓取數(shù)據(jù)?！八麄兂u，卻不以任何方式支持這個(gè)項(xiàng)目”。

記者從騰訊云相關(guān)人士處確認(rèn)，騰訊已在該條推文下進(jìn)行回復(fù)，表示SkillHub只是面向中國用戶的本地鏡像站，標(biāo)注ClawHub為原始來源；同時(shí)，騰訊上線首周給用戶分發(fā)了180GB（87萬次下載），但從官方源只拉取約1GB，反而幫官方分擔(dān)了流量。此外，團(tuán)隊(duì)成員本身也是項(xiàng)目代碼和PR貢獻(xiàn)者，希望繼續(xù)支持生態(tài)。

此前據(jù)界面新聞，3月11日，騰訊宣布推出專為中國用戶優(yōu)化的AI Skills社區(qū)——SkillHub。它基于OpenClaw官方開源生態(tài)打造的本土化配套服務(wù)平臺，完整兼容官方社區(qū)的全量技能生態(tài)，可在不改動官方開源內(nèi)容的前提下為官方生態(tài)在國內(nèi)落地提供配套服務(wù)支撐。

針對OpenClaw等AI Agent工具的Skill安裝痛點(diǎn)，提供高速下載、精選榜單、中文搜索等核心功能。

此前據(jù)白鹿視頻，3月9日，騰訊旗下全場景AI智能體WorkBuddy正式上線。它完全兼容OpenClaw的技能，在官網(wǎng)下載安裝后，直接輸入指令就能讓W(xué)orkBuddy幫你干活；如果你想通過企業(yè)微信遠(yuǎn)程“遙控”，最快1分鐘即可完成配置并連接。

3月10日，騰訊又發(fā)布全系“龍蝦”產(chǎn)品矩陣，支持大眾用戶、開發(fā)者、企業(yè)級用戶一鍵“養(yǎng)蝦”，包括WorkBuddy、QClaw、騰訊云 Lighthouse、智能體開發(fā)平臺 ADP、騰訊云桌面等。

OpenClaw（曾用名：Clawdbot、Moltbot）是一款開源AI智能體（AI Agent）框架，由程序員彼得·斯坦伯格（Peter Steinberger）開發(fā)，核心語言為TypeScript，采用標(biāo)志性的“藍(lán)色龍蝦”圖標(biāo)設(shè)計(jì)。其Slogan是“The AI that actually does things”——真正能干活的AI。

與傳統(tǒng)對話式AI不同，OpenClaw并非只能“回答問題”的聊天機(jī)器人，而是能夠“執(zhí)行任務(wù)”的數(shù)字員工。它通過自然語言指令驅(qū)動，可在本地或私有云環(huán)境中完成文件操作、瀏覽器自動化、API調(diào)用、多步驟任務(wù)鏈編排等實(shí)際操作，實(shí)現(xiàn)從“建議”到“執(zhí)行”的跨越。

另據(jù)網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺，3月11日，針對“龍蝦”典型應(yīng)用場景下的安全風(fēng)險(xiǎn)，工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺（NVDB）組織智能體提供商、漏洞收集平臺運(yùn)營單位、網(wǎng)絡(luò)安全企業(yè)等，研究提出“六要六不要”建議。

一、典型應(yīng)用場景安全風(fēng)險(xiǎn)

（一）智能辦公場景主要存在供應(yīng)鏈攻擊和企業(yè)內(nèi)網(wǎng)滲透的突出風(fēng)險(xiǎn)

1．場景描述：通過在企業(yè)內(nèi)部部署“龍蝦”，對接企業(yè)已有管理系統(tǒng)，實(shí)現(xiàn)智能化數(shù)據(jù)分析、文檔處理、行政管理、財(cái)務(wù)輔助和知識管理等。

2．安全風(fēng)險(xiǎn)：引入異常插件、“技能包”等引發(fā)供應(yīng)鏈攻擊；網(wǎng)絡(luò)安全風(fēng)險(xiǎn)在內(nèi)網(wǎng)橫向擴(kuò)散，引發(fā)已對接的系統(tǒng)平臺、數(shù)據(jù)庫等敏感信息泄露或丟失；缺乏審計(jì)和追溯機(jī)制情況下易引發(fā)合規(guī)風(fēng)險(xiǎn)。

3．應(yīng)對策略：獨(dú)立網(wǎng)段部署，與關(guān)鍵生產(chǎn)環(huán)境隔離運(yùn)行，禁止在內(nèi)部網(wǎng)絡(luò)使用未審批的“龍蝦”智能體終端；部署前進(jìn)行充分安全測試，部署時(shí)采取最小化權(quán)限授予，禁止非必要的跨網(wǎng)段、跨設(shè)備、跨系統(tǒng)訪問；留存完整操作和運(yùn)行日志，確保滿足審計(jì)等合規(guī)要求。

（二）開發(fā)運(yùn)維場景主要存在系統(tǒng)設(shè)備敏感信息泄露和被劫持控制的突出風(fēng)險(xiǎn)

1．場景描述：通過企業(yè)或個(gè)人部署“龍蝦”，將自然語言轉(zhuǎn)化為可執(zhí)行指令，輔助進(jìn)行代碼編寫、代碼運(yùn)行、設(shè)備巡檢、配置備份、系統(tǒng)監(jiān)控、管理進(jìn)程等。

2．安全風(fēng)險(xiǎn)：非授權(quán)執(zhí)行系統(tǒng)命令，設(shè)備遭網(wǎng)絡(luò)攻擊劫持；系統(tǒng)賬號和端口信息暴露，遭受外部攻擊或口令爆破；網(wǎng)絡(luò)拓?fù)?、賬戶口令、API接口等敏感信息泄露。

3．應(yīng)對策略：避免生產(chǎn)環(huán)境直接部署使用，優(yōu)先在虛擬機(jī)或沙箱中運(yùn)行；部署前進(jìn)行充分安全測試，部署時(shí)采取最小化權(quán)限授予，禁止授予管理員權(quán)限；建立高危命令黑名單，重要操作啟用人工審批機(jī)制。

（三）個(gè)人助手場景主要存在個(gè)人信息被竊和敏感信息泄露的突出風(fēng)險(xiǎn)

1．場景描述：通過個(gè)人即時(shí)通訊軟件等遠(yuǎn)程接入本地化部署的“龍蝦”，提供個(gè)人信息管理、日常事務(wù)處理、數(shù)字資產(chǎn)整理等，并可作為知識學(xué)習(xí)和生活娛樂助手。

2．安全風(fēng)險(xiǎn)：權(quán)限過高導(dǎo)致惡意讀寫、刪除任意文件；互聯(lián)網(wǎng)接入情況下遭受網(wǎng)絡(luò)攻擊入侵；通過提示詞注入誤執(zhí)行危險(xiǎn)命令，甚至接管智能體；明文存儲密鑰等導(dǎo)致個(gè)人信息泄露或被竊取。

3．應(yīng)對策略：加強(qiáng)權(quán)限管理，僅允許訪問必要目錄，禁止訪問敏感目錄；優(yōu)先通過加密通道接入，禁止非必要互聯(lián)網(wǎng)訪問，禁止高危操作指令或增加二次確認(rèn)；嚴(yán)格通過加密方式存儲API密鑰、配置文件、個(gè)人重要信息等。

（四）金融交易場景主要存在引發(fā)錯(cuò)誤交易甚至賬戶被接管的突出風(fēng)險(xiǎn)

1．場景描述：通過企業(yè)或個(gè)人部署“龍蝦”，調(diào)用金融相關(guān)應(yīng)用接口，進(jìn)行自動化交易與風(fēng)險(xiǎn)控制，提高量化交易、智能投研及資產(chǎn)組合管理效率，實(shí)現(xiàn)市場數(shù)據(jù)抓取、策略分析、交易指令執(zhí)行等功能。

2．安全風(fēng)險(xiǎn)：記憶投毒導(dǎo)致錯(cuò)誤交易，身份認(rèn)證繞過導(dǎo)致賬戶被非法接管；引入包含惡意代碼的插件導(dǎo)致交易憑證被竊?。粯O端情況下因缺乏熔斷或應(yīng)急機(jī)制，導(dǎo)致智能體失控頻繁下單等風(fēng)險(xiǎn)。

3．應(yīng)對策略：實(shí)施網(wǎng)絡(luò)隔離與最小權(quán)限，關(guān)閉非必要互聯(lián)網(wǎng)端口；建立人工復(fù)核和熔斷應(yīng)急機(jī)制，關(guān)鍵操作增加二次確認(rèn)；強(qiáng)化供應(yīng)鏈審核，使用官方組件并定期修復(fù)漏洞；落實(shí)全鏈路審計(jì)與安全監(jiān)測，及時(shí)發(fā)現(xiàn)并處置安全風(fēng)險(xiǎn)。

二、安全使用建議

（一）使用官方最新版本。要從官方渠道下載最新穩(wěn)定版本，并開啟自動更新提醒；在升級前備份數(shù)據(jù)，升級后重啟服務(wù)并驗(yàn)證補(bǔ)丁是否生效。不要使用第三方鏡像版本或歷史版本。

（二）嚴(yán)格控制互聯(lián)網(wǎng)暴露面。要定期自查是否存在互聯(lián)網(wǎng)暴露情況，一旦發(fā)現(xiàn)立即下線整改。不要將“龍蝦”智能體實(shí)例暴露到互聯(lián)網(wǎng)，確需互聯(lián)網(wǎng)訪問的可以使用SSH等加密通道，并限制訪問源地址，使用強(qiáng)密碼或證書、硬件密鑰等認(rèn)證方式。

（三）堅(jiān)持最小權(quán)限原則。要根據(jù)業(yè)務(wù)需要授予完成任務(wù)必需的最小權(quán)限，對刪除文件、發(fā)送數(shù)據(jù)、修改系統(tǒng)配置等重要操作進(jìn)行二次確認(rèn)或人工審批。優(yōu)先考慮在容器或虛擬機(jī)中隔離運(yùn)行，形成獨(dú)立的權(quán)限區(qū)域。不要在部署時(shí)使用管理員權(quán)限賬號。

（四）謹(jǐn)慎使用技能市場。要審慎下載ClawHub“技能包”，并在安裝前審查技能包代碼。不要使用要求“下載ZIP”、“執(zhí)行shell腳本”或“輸入密碼”的技能包。

（五）防范社會工程學(xué)攻擊和瀏覽器劫持。要使用瀏覽器沙箱、網(wǎng)頁過濾器等擴(kuò)展阻止可疑腳本，啟用日志審計(jì)功能，遇到可疑行為立即斷開網(wǎng)關(guān)并重置密碼。不要瀏覽來歷不明的網(wǎng)站、點(diǎn)擊陌生的網(wǎng)頁鏈接、讀取不可信文檔。

（六）建立長效防護(hù)機(jī)制。要定期檢查并修補(bǔ)漏洞，及時(shí)關(guān)注OpenClaw官方安全公告、工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺等漏洞庫的風(fēng)險(xiǎn)預(yù)警。黨政機(jī)關(guān)、企事業(yè)單位和個(gè)人用戶可以結(jié)合網(wǎng)絡(luò)安全防護(hù)工具、主流殺毒軟件進(jìn)行實(shí)時(shí)防護(hù)，及時(shí)處置可能存在的安全風(fēng)險(xiǎn)。不要禁用詳細(xì)日志審計(jì)功能。

長按識別上圖

掃碼登記

或撥打新聞熱線0731—84802110

我們記者將第一時(shí)間和您聯(lián)系

幫您解決問題!

來源｜九派新聞綜合財(cái)聯(lián)社、界面新聞、白鹿視頻、網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺

編輯 | 劉栩蓉

一審 | 向?yàn)]穎

二審 | 杜振裕

三審 | 許志強(qiáng)