2023年GPT-4剛發(fā)布時，AutoGPT和BabyAGI曾讓全網(wǎng)陷入集體焦慮——"AI要搶飯碗了"的恐慌持續(xù)了不到一個月，這些早期自主代理就因幻覺頻發(fā)、執(zhí)行崩壞而銷聲匿跡。三年后的今天，同樣的劇本正在重演，只是主角換成了OpenClaw。

區(qū)別在于，這次沒人再笑它是玩具。Anthropic的Claude Opus 4.5模型支撐下，OpenClaw能實(shí)打?qū)嵅倏啬愕谋镜匚募?、終端、瀏覽器、Gmail、Slack，甚至家里的智能家居。更反常的是，這場討論已經(jīng)持續(xù)近一個月仍未降溫，逼得OpenAI直接出手——把創(chuàng)始人Peter Steinberger招安了。

一個"一人獨(dú)角獸"的傳說，正在硅谷最敏感的神經(jīng)上跳舞。

從"未來已來"到"后門大開"

Federico Viticci在MacStories的實(shí)測描述堪稱理想生活范本：他給助手取名Navi，用Telegram聊天，對方知道他叫啥、晨間偏好、Notion和Todoist的使用習(xí)慣，還能操控Spotify、Sonos音箱、Philips Hue燈具。語音消息進(jìn)，ElevenLabs合成的語音出，跑在他自己的M4 Mac mini服務(wù)器上——還能自我迭代新功能。

這種"數(shù)字管家"的愿景擊中了人類最原始的懶惰本能。從齒輪到傳送帶，從編程語言到現(xiàn)在的AI代理，自動化一直是技術(shù)演化的主線。但OpenClaw把這條線扯到了危險(xiǎn)邊緣：它越能干，你暴露的 attack surface（攻擊面）就越夸張。

原文作者直截了當(dāng)：這玩意"capable, expensive, and insecure"——能干、燒錢、還不安全。三個形容詞里，前兩個是賣點(diǎn)，最后一個是定時炸彈。

權(quán)限即漏洞：當(dāng)AI拿到你的數(shù)字鑰匙

OpenClaw的架構(gòu)設(shè)計(jì)決定了它必須擁有極高權(quán)限才能"成事"。瀏覽器自動化需要Cookie和登錄態(tài)，Gmail和Slack集成需要OAuth令牌，本地文件操作需要系統(tǒng)級訪問，智能家居控制則需要穿透家庭網(wǎng)絡(luò)。這些權(quán)限鏈條中的任何一環(huán)斷裂，都不是"數(shù)據(jù)泄露"四個字能概括的。

傳統(tǒng)軟件的安全模型是"最小權(quán)限原則"——只給完成任務(wù)必需的最低權(quán)限。OpenClaw完全反著來：為了讓它足夠"智能"，你得把數(shù)字生活的鑰匙串交到它手里。更麻煩的是，這些權(quán)限往往以明文或半加密形式存儲在本地配置中，一旦設(shè)備被攻破，攻擊者拿到的不是零散的賬號密碼，而是一整套自動化滲透工具。

Claude Opus 4.5的幻覺率確實(shí)比三年前的模型低得多，但"低得多"不等于零。想象一個場景：你讓Navi"清理一下舊的會議邀請"，它理解成了"刪除所有日歷事件"——在擁有寫權(quán)限的前提下，這種誤讀沒有二次確認(rèn)機(jī)制，執(zhí)行就是秒級。

生態(tài)成熟度是把雙刃劍

2023年的自主代理死在"什么都干不了"，2025年的OpenClaw贏在"什么都能干"。這個反轉(zhuǎn)背后是生態(tài)的成熟：瀏覽器自動化有Playwright和Puppeteer，語音合成有ElevenLabs，智能家居有成熟的API層，Telegram Bot框架開箱即用。

但生態(tài)成熟也意味著攻擊工具的成熟。針對Selenium的自動化攻擊、針對OAuth的token劫持、針對本地服務(wù)器的內(nèi)網(wǎng)滲透——這些都不是理論風(fēng)險(xiǎn)，而是有成熟工具鏈的現(xiàn)實(shí)威脅。OpenClaw把用戶的機(jī)器變成了一個高度互聯(lián)的節(jié)點(diǎn)，而這個節(jié)點(diǎn)的"智能"恰好可以被反向利用。

原文作者提到自己"personally didn't like it, neither saw its promise"——個人不喜歡，也沒看出前景，還補(bǔ)了一句"maybe I am employed"。這句自嘲背后是個尖銳觀察：當(dāng)你有正經(jīng)工作時，把全部數(shù)字身份交給一個第三方代理的沖動會自然消退。OpenClaw的早期采用者畫像，恰恰是那些愿意用安全風(fēng)險(xiǎn)換取效率邊際收益的群體。

OpenAI的招安算哪一出？

Peter Steinberger被acqui-hired（收購式招聘）的時機(jī)耐人尋味。OpenClaw不是OpenAI的產(chǎn)品，底層模型用的是Anthropic的Claude，但OpenAI選擇用錢和職位鎖定這個人。一種解讀是防御性收購——防止競爭對手拿到自主代理的關(guān)鍵人才；另一種更現(xiàn)實(shí)的可能是，OpenAI看清了這個方向的安全隱患，想從內(nèi)部把控。

無論動機(jī)如何，這筆交易暴露了行業(yè)的集體焦慮：自主代理是下一個必爭之地，但沒人想好怎么解決它帶來的信任危機(jī)。把創(chuàng)始人招進(jìn)大廠，某種程度上是把創(chuàng)新風(fēng)險(xiǎn) institutionalize（制度化）——讓個人項(xiàng)目的狂野生長，變成公司背書的可控實(shí)驗(yàn)。

對普通用戶來說，這意味著OpenClaw式的體驗(yàn)遲早會 mainstream（主流化），但會以更封裝、更受限的形式出現(xiàn)。

原文作者給了一條實(shí)用建議：如果你"truly motivated to use the tech"，確實(shí)有辦法繞過部分風(fēng)險(xiǎn)。比如把敏感操作隔離在虛擬機(jī)里，用專用設(shè)備跑代理服務(wù)，定期輪換API密鑰，對關(guān)鍵權(quán)限設(shè)置人工確認(rèn)節(jié)點(diǎn)。但這些 workaround（變通方案）的復(fù)雜度，已經(jīng)讓"未來已來"的魔法感大打折扣。

技術(shù)史上有太多"先跑起來再修剎車"的先例。OpenClaw的爭議在于，它把剎車的缺失當(dāng)成了性能優(yōu)勢來宣傳——越無縫、越自主、越懂你，就意味著越多的權(quán)限讓渡和越難追溯的責(zé)任鏈條。

當(dāng)Navi在M4 Mac mini上播放《Every Breath You Take》時，歌詞里的" I'll be watching you"是個精心設(shè)計(jì)的雙關(guān)。問題是，誰在watching Navi？以及，當(dāng)watching變成exploiting時，你有沒有斷開的開關(guān)？

這個問題，OpenAI花了一筆收購費(fèi)也沒回答。而正在配置自己OpenClaw實(shí)例的用戶，有多少人在部署前完整審計(jì)過它的權(quán)限申請清單？