你的AI助手，可能已经不是你的了
2026年初，AI Agent 正在以前所未有的速度进入每个人的生活。OpenClaw，一个本地运行的 AI Agent 框架，让普通用户也能在自己的电脑上部署一个”私人AI助手”——它可以连接飞书、钉钉、Telegram、WhatsApp等等，帮你处理消息、执行任务、管理文件，甚至在你睡觉的时候自动运行。
但随着 AI Agent 权限的不断扩大，新的安全问题也逐渐显现：配置错误、恶意插件、提示注入、凭证泄露，都可能让这个“助手”变成攻击者的入口。
你的AI助手，很可能已经不是你的了！
OpenClaw 到底有多危险
这不是危言耸听。根据国家信息安全漏洞库（CNNVD）统计，仅2026年1月至3月9日，共采集 OpenClaw 相关漏洞82个，其中超危漏洞12个，高危漏洞21个、中危漏洞47个、低危漏洞2个，包含了访问控制错误、代码问题、路径遍历等多个漏洞类型。官方技能市场 ClawHub 已发现1184个恶意技能包（如 ClawHavoc 攻击事件），另有824个恶意技能伪装成加密货币工具、YouTube工具等，通过供应链投毒方式窃取API 密钥、凭证及浏览器数据。
我们做了什么：白泽龙虾安全助手
看到这里，你可能会问：有没有工具能帮我检测这些问题？有的。我们开发了白泽龙虾安全助手，一个专为 OpenClaw 设计的安全扫描工具，覆盖近60项安全检测，分为七大类：网络暴露检测、访问控制检测、执行沙箱检测、凭证存储检测、记忆投毒检测、供应链检测、资源消耗检测，同时可对大量漏洞进行一键自动化修复。
那么，这七类安全风险具体指什么？我们用更通俗的方式来解释一下：
使用方式
目前白泽龙虾安全助手已经发布为npm工具，用户可以通过简单命令快速安装并开始使用。
项目地址：https://www.npmjs.com/package/whitzard-claw
第一步：安装工具
通过npm全局安装：npm install -g whitzard-claw
第二步：启动终端扫描界面（TUI）或Web管理界面（WebUI）
- 如果你是在服务器或终端环境中使用，可以启动 TUI 安全扫描界面：whitzard-tui
- 如果你希望使用图形化界面，可以启动 WebUI 控制台：whitzard-webui
第三步：开始扫描并修复
启动后，在命令行或浏览器中开始扫描，即可查看可视化的安全检测结果，并进行相应的安全配置和一键修复操作。
TUI模式
不需要安装任何额外依赖，直接在命令行运行。具体使用方法：
Step1：在commend中输入check，确认OpenClaw的路径是否正确，然后开始扫描七大类风险漏洞。检测过程会实时显示进度，并对检测出的Critical和Warning的风险在下方DETECTED VULNERABILITIES区域进行展示，包括具体风险类别、问题描述、是否可以一键修复以及相应的修复建议。
Step2：对于可以一键修复的漏洞如删除恶意skill，用户可以自由选择是否要执行自动修复，下方FIX PROGRESS显示一键修复的进度条。
WebUI模式
通过浏览器访问，可以查看完整的技术细节和修复命令。具体使用方法：
Step1：对于更加清晰直观的WebUI模式，直接点击右上角Run Scan即可开始执行扫描，控制台显示每一类的扫描进度、扫描情况统计。
Step2：可以通过点击Critical、Warnings查看检测到的具体风险、描述以及修复建议，也可对某些风险选择是否一键修复。
Step3：可以点击History查看检测的历史记录。
结语
白泽龙虾安全助手（WhitzardClaw Security Assistant）目前针对Linux平台深度优化，但这只是开始。接下来我们计划继续扩展工具能力，包括更加完善支撑macOS平台、增加更多安全检测规则、实现漏洞检测规则的实时更新、持续跟踪OpenClaw生态中的安全问题。
龙虾的普及速度，已经远远超过了安全基础设施的建设速度。大多数用户在部署龙虾的那一刻，就已经在不知情的情况下打开了一扇危险的门。我们的目标是为 AI Agent 时代构建一套开源可审计的的安全防护工具箱，希望每一个使用龙虾的人，都能在享受便利的同时，不但知道自己的智能体是否大门敞开，而且可以很方便的关上门，并锁上门。
白泽龙虾安全助手相关代码即日起可从npm平台获取，后续将持续集成复旦白泽智能体安全攻防最新成果，欢迎大家持续关注。
https://www.npmjs.com/package/whitzard-claw
研究团队介绍
洪赓
复旦大学助理研究员、上海创智学院火炬项目联合PI。洪赓博士研究聚焦于网络犯罪治理、人工智能安全治理等，目前已在IEEE S&P、USENIX Security等国际顶级会议上发表二十余篇高水平学术论文，主持国家自然科学基金青年项目、国家重点研发项目子课题等重点课题。相关成果在执法机关、头部公司均有成功应用。获上海市技术发明一等奖（2025）、上海市决策咨询研究成果奖一等奖（2025），网安顶会NDSS 2026最佳论文奖、ACM CCS 2018亮点论文等；学生培养方面，指导本科生团队获得“挑战杯”全国大学生课外学术科技作品竞赛全国特等奖、全国大学生信息安全竞赛一等奖等荣誉。个人主页：https://ghong.site/
吴心怡
系统软件与安全实验室24级研究生。本科毕业于复旦大学信息安全专业，主要研究方向为网络黑灰产检测与人工智能安全治理。
陈家桂
系统软件与安全实验室24级直博生。本科毕业于复旦大学软件工程专业，主要研究方向为人工智能安全治理。
董佳仪
系统软件与安全实验室25级研究生。本科毕业于厦门大学软件工程专业，主要研究方向为人工智能安全治理。