OpenClaw 的崛起与悄然沉寂

1 月底，科技圈最受热议的软件，是一位奥地利开发者的业余项目。它在几天之内两度改名，开发者们在 GitHub 上数以万计地为它加星。到了夏天，人们开始问它怎么样了。

诚实的回答是，OpenClaw 并没有消失。它失去了加入 OpenAI 的创作者，失去了大部分关注和新鲜感，而它最好的想法则进入了 Microsoft 和 Meta 的产品。项目本身在一个基金会中延续。它的故事值得一讲，因为它在一年之内展示了个人智能体能做什么，以及要付出什么代价。

从 Clawdbot 到 OpenClaw

曾从早先的项目 PSPDFKit 抽身而出的 Peter Steinberger，于 2025 年 11 月发布了第一个版本。它运行在用户自己的电脑或服务器上，通过 WhatsApp 和 iMessage 等即时通讯应用接收指令并付诸行动：运行 shell 命令，读写文件，控制浏览器，管理电子邮件和日历，并从社区编写的技能中学习新任务。它可以配合多种 AI 模型使用。

他最初把它叫作 Clawdbot，以此向 Anthropic 的 Claude 致意。Anthropic 要求改名，于是它在 1 月 27 日改名为 Moltbot，几天后又改为 OpenClaw。据 TechCrunch 统计，那时它在 GitHub 上已获得超过 44'200 颗星。配套网站 Moltbook 是一个让智能体相互发帖的社交网络，它也走红了，部分原因在于一些帖子是人伪造的，因为该网站没有做好安全防护。

安全的账单

它的能力来自访问权限，它的问题也是。1 月 28 日，Cisco 的 AI 安全团队测试了一项社区技能，称其实际上就是恶意软件：它悄悄把数据发送到该技能作者运营的服务器，并利用提示词注入让智能体在不征求同意的情况下执行命令。Cisco 的结论是，OpenClaw 的安全是一个可选项，而不是内置的。

1 月 31 日公布的一个漏洞，让一条精心构造的链接就能窃取用户 OpenClaw 网关的令牌，并把智能体的控制权交给攻击者，即使网关只在本机上监听也是如此。该漏洞已在 2026.1.29 版本中修复。2 月初，Koi Security 检查了项目注册中心 ClawHub 上的 2'857 项技能，发现其中 341 项是恶意的，其中 335 项来自同一个在 Mac 上安装信息窃取程序的攻击活动。

2 月 9 日，SecurityScorecard 统计出 40'214 个可从互联网访问的 OpenClaw 实例，其中 12'812 个存在一个已知的可远程执行代码的漏洞。研究人员把矛头指向默认设置：开箱即用时，OpenClaw 会在所有网络接口上监听，而不只是在本机上。当天晚些时候，The Register 引用研究人员的实时统计，报道的数字已超过 135'000。

有些失误根本不需要攻击者。2 月 23 日，Meta 的 AI 安全研究员 Summer Yue 讲述了她的经历：她让智能体建议哪些邮件可以删除，结果它开始删除她的收件箱，并无视她从手机上发出的停止命令。她怀疑智能体在压缩一次长会话的记忆时，丢失了她的指令。3 月，中国当局着手限制政府机构和包括大型银行在内的国有企业使用 OpenClaw。

它去了哪里

2 月中旬，Steinberger 宣布加入 OpenAI。Sam Altman 写道，OpenClaw 将作为一个开源项目在一个基金会中延续，OpenAI 会继续提供支持。Steinberger 表示，他本可以围绕它打造一家大公司，但这个想法并不让他兴奋。

从那以后，这个项目失去了两台发动机：创始人的全部精力，以及廉价使用最佳模型的途径。4 月 4 日，Anthropic 不再让 Claude 订阅覆盖 OpenClaw 这样的第三方工具，重度用户因此必须另行付费。Steinberger 指责 Anthropic 抄袭热门功能，然后把开源拒之门外。Anthropic 则表示，其订阅本来就不是为这类用途设计的。5 月，Steinberger 在项目博客上为一连串缓慢且有缺陷的版本道歉，并写道，太多事情仍然压在他一个人身上。在 OpenAI 的帮助下，基金会正在围绕该项目组建团队。

与此同时，大平台拿走了这个想法。3 月，Meta 收购了 Moltbook。6 月，Microsoft 推出了基于 OpenClaw 框架的个人助手 Scout，内置会留下审计记录的策略检查。9 月，Meta 的助手 Muse 登上美国 App Store 榜首，Meta 超级智能实验室的 Nat Friedman 写道，它在很大程度上受到了 OpenClaw 的启发。TechCrunch 用一句话概括了这条轨迹：OpenAI 聘走其创始人之后，项目的势头便消退了。Techzine 指出，自 3 月以来，它在 GitHub 上的星标数和网站流量都已趋于平稳。

依然开放，依然有风险

这个项目并没有消失。8 月 30 日，OpenClaw Foundation 发布了 2.0 版本，这是它规模最大的一次更新，由 933 名贡献者共同完成，安装更简单，并以一个聊天窗口作为入口。其博客表示，它不卖任何东西，OpenClaw 属于使用和构建它的人。

安全模型的变化则较小。The Register 在评测中发现，沙箱默认关闭，存储的密钥在静态时未加密，而共享会话连发布说明本身都承认并不构成安全边界。

企业应当从中得出什么

OpenClaw 在一件事上是诚实的：一个智能体有多大用处，取决于它能碰到多少东西。这也正是风险所在。由此得出五条教训。

权限先于功能。一个能完全访问笔记本电脑的智能体，掌握着其主人掌握的每一把钥匙。只给每个智能体完成其工作所需的最小访问权限。

技能是来自陌生人的软件。像审查供应商一样审查它们，否则就不要安装。

默认设置决定一切。许多人从不更改设置，所以出厂时开放的东西就会一直开放。

停止机制应当放在模型之外。一个智能体可能在自己的记忆中弄丢的停止命令，算不上真正的停止。发送、付款和删除，都应当在一道模型无法通过的关口前等待。

了解您的员工在运行什么。问一问公司的电脑上有哪些智能体，使用的是哪些账户。

这就是个人智能体与受治理的企业大脑之间的区别。Twin 是我们为企业打造的大脑，它只给每个角色提供其所需的那部分公司信息，绝不多给。财务数据并非人人可读，每次写入都按用户单独登录，每一步都有日志记录。Twin 起草、回答和准备，由人决定并发送。它在团队已经在用的助手中工作；当数据不能外流时，也可以私有地运行在 Eigna 上。

我们希望智能体承担更多的工作，而且更快。应当留给人的，是判断智能体可以碰什么，以及按下发送按钮的那只手。