[滁州城事] 滁州学院发布提醒！关于防范OpenClaw（小龙虾）安全风险的提醒

为保障师生个人数据安全及学校信息系统安全，现将相关风险防范和使用建议提醒如下：

一、主要安全风险

1.“提示词注入”风险。网络攻击者通过在网页中构造隐藏的恶意指令，诱导OpenClaw读取该网页，就可能导致其被诱导将用户系统密钥泄露。

2.“误操作”风险。由于错误地理解用户操作指令和意图，OpenClaw可能会将电子邮件、核心生产数据等重要信息彻底删除。

3.功能插件（skills）投毒风险。多个适用于OpenClaw的功能插件已被确认为恶意插件或存在潜在的安全风险，安装后可执行窃取密钥、部署木马后门软件等恶意操作，使得设备沦为“肉鸡”。

4.安全漏洞风险。截至目前，OpenClaw已经公开曝出多个高中危漏洞。一旦这些漏洞被网络攻击者恶意利用，则可能导致系统被控、隐私信息和敏感数据泄露等严重后果。对于个人用户，可导致隐私数据（像照片、文档、聊天记录）、支付账户、API密钥等敏感信息遭窃取。对于金融、能源等关键行业，可导致核心业务数据、商业机密和代码仓库泄露，甚至会使整个业务系统陷入瘫痪，造成难以估量的损失。

二、风险防范建议

1.严禁使用管理员权限的账号，只授予完成任务必需的最小权限，对删除文件、发送数据、修改系统配置等重要操作进行二次确认或人工审批。对运行环境进行严格隔离，使用容器等技术限制OpenClaw权限过高问题。

2.强化网络控制和权限管理，不将OpenClaw默认管理端口直接暴露在公网上，通过身份认证、访问控制等安全控制措施对访问服务进行安全管理。

3.加强凭证管理，避免在环境变量中明文存储密钥；建立完整的操作日志审计机制，定期检查并修补漏洞。

4.严格管理插件来源，禁用自动更新功能，仅从可信渠道安装经过签名验证的扩展程序；可以结合杀毒软件（学校已采购正版杀毒软件）等进行实时防护。

5.要从官方渠道下载最新稳定版本，及时关注OpenClaw官方及权威漏洞信息平台发布的风险预警，持续关注补丁和安全更新，及时进行版本更新和安装安全补丁。

三、特别提醒

鉴于OpenClaw具备自主调用外部API、执行系统命令、访问本地文件等能力，请全体师生谨慎在校内办公、教学和科研终端部署OpenClaw，严禁在服务器上部署OpenClaw。严禁在处理教学科研数据、行政办公信息、师生信息等工作场景中使用该工具，严守校园数据安全底线。