各部门、各系：
近期，开源AI智能体OpenClaw（俗称“小龙虾”）在全球范围内迅速流行，引发广泛关注。国家互联网应急中心（CNCERT）、工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）先后发布多次风险提示，OpenClaw在默认配置或不当使用情况下存在较高安全风险，极易引发网络攻击、信息泄露等安全问题。为保障师生个人数据安全及学校信息系统安全，现将相关风险防范和使用建议提醒如下：
一、主要安全风险
1.“提示词注入”风险。网络攻击者通过在网页中构造隐藏的恶意指令，诱导OpenClaw读取该网页，就可能导致其被诱导将用户系统密钥泄露。
2.“误操作”风险。由于错误地理解用户操作指令和意图，OpenClaw可能会将电子邮件、核心生产数据等重要信息彻底删除。
3.功能插件（skills）投毒风险。多个适用于OpenClaw的功能插件已被确认为恶意插件或存在潜在的安全风险，安装后可执行窃取密钥、部署木马后门软件等恶意操作，使得设备沦为“肉鸡”。
4.安全漏洞风险。截至目前，OpenClaw已经公开曝出多个高中危漏洞。一旦这些漏洞被网络攻击者恶意利用，则可能导致系统被控、隐私信息和敏感数据泄露等严重后果。对于个人用户，可导致隐私数据（像照片、文档、聊天记录）、支付账户、API密钥等敏感信息遭窃取。对于金融、能源等关键行业，可导致核心业务数据、商业机密和代码仓库泄露，甚至会使整个业务系统陷入瘫痪，造成难以估量的损失。
二、风险防范建议
1.严禁使用管理员权限的账号，只授予完成任务必需的最小权限，对删除文件、发送数据、修改系统配置等重要操作进行二次确认或人工审批。对运行环境进行严格隔离，使用容器等技术限制OpenClaw权限过高问题。
2.强化网络控制和权限管理，不将OpenClaw默认管理端口直接暴露在公网上，通过身份认证、访问控制等安全控制措施对访问服务进行安全管理。
3.加强凭证管理，避免在环境变量中明文存储密钥；建立完整的操作日志审计机制，定期检查并修补漏洞。
4.严格管理插件来源，禁用自动更新功能，仅从可信渠道安装经过签名验证的扩展程序；可以结合杀毒软件等进行实时防护。
5.要从官方渠道下载最新稳定版本，及时关注OpenClaw官方及权威漏洞信息平台发布的风险预警，持续关注补丁和安全更新，及时进行版本更新和安装安全补丁。
三、特别提醒
鉴于OpenClaw具备自主调用外部API、执行系统命令、访问本地文件等能力，请全体师生谨慎在校内办公、教学和科研终端部署OpenClaw，严禁在服务器上部署OpenClaw。严禁在处理教学科研数据、行政办公信息、师生信息等工作场景中使用该工具，严守校园数据安全底线。
如有任何安全问题，请联系信息技术中心，电话：0550-2185007。
信息技术中心
2026年3月27日
（撰稿：朱静雯 初审：郑贤龙 复审：郑贤龙 终审：王清）