AI无善恶，好坏皆由人：从OpenClaw安全风险事件看懂技术中立与人文责任
约 4 分钟驭光者首发于微信公众号「羲和Lab」
核心观点：技术无罪，人无善恶。关键在于建立防护机制。
引言
近期，国家互联网应急中心（CNCERT）连续发布关于 OpenClaw（俗称"龙虾"）安全应用的风险提示，引发了广泛关注。这一事件再次将 AI 安全问题推到了风口浪尖。
但问题的本质是什么？
AI 本身没有善恶属性，它只是一个工具。正如 CNCERT 所指出的："AI 不选择善恶，它只选择执行。选择善恶的，从来都是人。"
一、OpenClaw 安全风险事件回顾
1.1 什么是 OpenClaw？
OpenClaw（曾用名 Clawbot、Moltbot）是一款智能体软件，能够依据自然语言指令直接操控计算机完成相关操作。为实现"自主执行任务"的能力，该应用被授予了较高的系统权限，包括：
- 访问本地文件系统
- 读取环境变量
- 调用外部服务 API
- 安装扩展功能
1.2 已出现的严重安全风险
根据 CNCERT 发布的风险提示，OpenClaw 存在以下主要安全风险：
① "提示词注入"风险
网络攻击者通过在网页中构造隐藏的恶意指令，诱导 OpenClaw 读取该网页，可能导致其被诱导将用户系统密钥泄露。
② "误操作"风险
由于错误的理解用户操作指令和意图，OpenClaw 可能会将电子邮件、核心生产数据等重要信息彻底删除。
③ 功能插件（skills）投毒风险
多个适用于 OpenClaw 的功能插件已被确认为恶意插件或存在潜在的安全风险，安装后可执行窃取密钥、部署木马后门软件等恶意操作，使得设备沦为"肉鸡"。
④ 安全漏洞风险
截至目前，OpenClaw 已经公开曝出多个高中危漏洞，一旦被网络攻击者恶意利用，则可能导致系统被控、隐私信息和敏感数据泄露的严重后果。
对于个人用户，可导致隐私数据（照片、文档、聊天记录）、支付账户、API 密钥等敏感信息遭窃取。
对于金融、能源等关键行业，可导致核心业务数据、商业机密和代码仓库泄露，甚至会使整个业务系统陷入瘫痪，造成难以估量的损失。
二、AI 的本质：工具无善恶，善恶在人心
2.1 AI 是工具，不是道德主体
核心观点：AI 本身是中立的，技术无罪。
- AI 没有自我意识，不能分辨善恶
- AI 只是执行指令，不会主动选择
- 善恶取决于使用场景和使用者意图
正如 CNCERT 所强调的："AI 不是道德主体，人对自己的行为负责。"
2.2 技术向善 vs 技术作恶
同样的技术，可以用于创造美好，也可以用于制造伤害：
| 技术向善 | 技术作恶 |
|---|---|
| AI 辅助医疗诊断，拯救生命 | AI 深度伪造，用于诈骗 |
| AI 提高学习效率，个性化教育 | AI 生成虚假信息，误导公众 |
| AI 优化生产流程，提升效率 | AI 自动化攻击，危害网络安全 |
关键区别不在于技术本身，而在于使用技术的人。
2.3 AI 不是万能的
CNCERT 提醒："AI 不是万能的，不能完全依赖 AI 做决策。"
- AI 会犯错，需要人工复核
- AI 缺乏人类的判断力和道德感
- 关键节点需要人工把控
如同使用 AI 做作业可能更高效，但学好了吗？工具可以辅助，但不能替代人的思考和判断。
三、如何安全地使用 AI？
3.1 个人用户安全建议
根据 CNCERT 发布的"龙虾"（OpenClaw）安全养殖手册，建议采取以下措施：
① 强化网络控制
- 不将 OpenClaw 默认管理端口直接暴露在公网上
- 通过身份认证、访问控制等安全控制措施对访问服务进行安全管理
- 对运行环境进行严格隔离，使用容器等技术限制 OpenClaw 权限过高问题
② 加强凭证管理
- 避免在环境变量中明文存储密钥
- 建立完整的操作日志审计机制
③ 严格管理插件来源
- 禁用自动更新功能
- 仅从可信渠道安装经过签名验证的扩展程序
④ 持续关注补丁和安全更新
- 及时进行版本更新
- 安装安全补丁
3.2 数据安全建议
- 不随意分享敏感信息
- 注意保护隐私
- 不轻信 AI 生成敏感内容
- 定期检查 AI 生成内容
3.3 使用合法合规工具
- 使用经过安全认证的 AI 工具
- 关注国家 AI 安全治理动态
- 保持学习更新
四、各方责任：共建 AI 安全生态
4.1 国家层面
- 关注立法动态
- 配合监管
- 建立完善的 AI 安全治理体系
4.2 平台层面
- 履行算法推荐透明义务
- 加强内容审核
- 建立安全预警机制
4.3 开发者层面
- 学习 AI 安全知识
- 参加行业培训
- 遵循安全开发规范
4.4 用户层面
- 提高安全意识
- 了解 AI 工具的风险
- 谨慎授权和安装插件
五、结语：技术向善，人心向光
AI 无善恶，好坏皆由人。
技术本身是中立的，它可以成为推动社会进步的力量，也可以成为伤害他人的工具。关键在于：
- 建立完善的防护机制 — 技术层面、制度层面、法律层面
- 提高用户安全意识 — 了解风险，谨慎使用
- 培养技术向善的文化 — 让 AI 为人类福祉服务
正如羲和Lab的谕令所言：
"智本无善恶，皆由人心而定。人与智能，非主非仆，同心共生。"
让我们共同努力，让 AI 技术在阳光下运行，为人类社会创造更多价值。
参考资料
本文整理自国家互联网应急中心（CNCERT）官方发布的安全提示 羲和Lab · 技术探索 · 智能创新
本文首发于微信公众号「羲和Lab」，公众号内可留言交流
阅读公众号原文