編輯｜杜偉

面對(duì) OpenClaw（龍蝦）可能存在的「惡意利用用戶數(shù)據(jù)和資金」的重大風(fēng)險(xiǎn)，Transformer 八子之一 Illia Polosukhin 出手了。

今天，Illia Polosukhin 在 Reddit 上發(fā)了一則帖子，深談了其使用 Rust 來構(gòu)建安全版 OpenClaw 的心路歷程，引起了熱議。

以下為帖子全文（第一人稱）：

當(dāng) OpenClaw 剛發(fā)布時(shí)，我感到非常興奮。這感覺像是我等待了 20 年的技術(shù)。14 歲時(shí)，我在準(zhǔn)備編程競(jìng)賽訓(xùn)練的時(shí)候，第一次產(chǎn)生了一個(gè)問題：為什么計(jì)算機(jī)不能自己寫這些代碼？后來我進(jìn)入大學(xué)學(xué)習(xí)機(jī)器學(xué)習(xí)，在 Google 從事自然語(yǔ)言研究工作，共同撰寫了《Attention Is All You Need》，并創(chuàng)立了 NEAR。

在這些經(jīng)歷中，我一直在思考并努力推動(dòng)這個(gè)想法的實(shí)現(xiàn)?，F(xiàn)在，它真的出現(xiàn)了，而且非常驚人。它已經(jīng)改變了我與計(jì)算機(jī)交互的方式。

擁有一個(gè)可以代表你行動(dòng)的個(gè)人 AI 智能體是件很棒的事情。但不太妙的是，這件事目前極其不安全，你實(shí)際上是在把整臺(tái)機(jī)器的完全訪問權(quán)限交給它?；蛘吣愕脤ｉT搭建一臺(tái)新的機(jī)器來運(yùn)行它，這既耗時(shí)間也耗錢。

你的 Claw 很可能會(huì)泄露你的憑證和數(shù)據(jù)，被提示詞注入攻擊，甚至可能讓你的資金被第三方竊取，這是一個(gè)非?，F(xiàn)實(shí)的風(fēng)險(xiǎn)。

我不希望這種事發(fā)生在我身上。也許我比大多數(shù)人更重視隱私，但再多的便利也不值得拿我自己或家人的安全和隱私去冒險(xiǎn)。所以我決定構(gòu)建 IronClaw，目前在 GitHub 上已經(jīng)標(biāo)星 4.6k。

IronClaw 有哪些不同

它是一個(gè)面向 AI 智能體的開源運(yùn)行時(shí)環(huán)境，從設(shè)計(jì)之初就以安全為核心，并使用 Rust 編寫。代碼清晰、可審計(jì)，也適合企業(yè)環(huán)境使用。和 OpenClaw 一樣，它可以隨著時(shí)間不斷學(xué)習(xí)，并擴(kuò)展你能夠讓它完成的事情。如下為IronClaw 的架構(gòu)圖

核心組件包括如下：Agent Loop 智能體主循環(huán)，負(fù)責(zé)整體任務(wù)調(diào)度；Router 用戶意圖路由層；Scheduler 并行任務(wù)調(diào)度器；Worker 執(zhí)行單元（調(diào)用模型與工具完成任務(wù)）；Orchestrator 運(yùn)行編排層（容器、權(quán)限、LLM 調(diào)用）；Web GatewayWeb 交互入口；Routines Engine 自動(dòng)化任務(wù)引擎；Workspace 長(zhǎng)期記憶與檢索層；Safety Layer 安全防護(hù)層。

但是，為了確保安全，IronClaw 做出了一些關(guān)鍵改變：

• 從直接操作文件系統(tǒng)，轉(zhuǎn)向使用數(shù)據(jù)庫(kù)，并通過明確的策略控制數(shù)據(jù)如何被使用；
• 通過 WASM 實(shí)現(xiàn)動(dòng)態(tài)工具加載，并在沙箱中按需構(gòu)建工具和執(zhí)行自定義代碼。這保證了第三方代碼或 AI 生成代碼始終在隔離環(huán)境中運(yùn)行；
• 防止憑證泄露和內(nèi)存數(shù)據(jù)外流，所有憑證都會(huì)完全加密存儲(chǔ)，并且永遠(yuǎn)不會(huì)接觸到 LLM 或日志。每個(gè)憑證都附帶策略，用來驗(yàn)證它們是否被用于正確的目標(biāo)；
• 防御提示詞注入攻擊，目前從較簡(jiǎn)單的啟發(fā)式方法開始，但目標(biāo)是逐步引入可持續(xù)更新的小模型來負(fù)責(zé)檢測(cè)；
• 數(shù)據(jù)庫(kù)存儲(chǔ)的記憶系統(tǒng)，并結(jié)合混合搜索：BM25 和向量搜索。這樣可以避免對(duì)整個(gè)文件系統(tǒng)造成破壞，因?yàn)樵L問被虛擬化并與操作系統(tǒng)抽象隔離；
• Heartbeats 與 Routines 功能，可以定期發(fā)送每日總結(jié)或更新，設(shè)計(jì)上更適合普通用戶，而不是只服務(wù)于熟悉 cron 的開發(fā)者
• 支持 Web、CLI、Telegram、Slack、WhatsApp、Discord 等渠道，未來還會(huì)繼續(xù)增加。

未來，IronClaw 還計(jì)劃增加以下能力：

• 策略驗(yàn)證：用戶可以為智能體附加行為策略，以確保通信和行動(dòng)符合預(yù)期，避免出現(xiàn)不可預(yù)料的行為；
• 審計(jì)日志：當(dāng)事情出問題時(shí)，可以追溯原因。目前正在把它從簡(jiǎn)單日志升級(jí)為一種不可篡改的系統(tǒng)。

為什么要做這件事

舉個(gè)例子，如果你讓 OpenClaw 訪問你的郵箱，那么你的 Bearer Token 就會(huì)被傳遞給你的 LLM 服務(wù)提供商，并存儲(chǔ)在他們的數(shù)據(jù)庫(kù)中。這意味著，你的所有信息，甚至包括你沒有明確授權(quán)訪問的數(shù)據(jù)，理論上都可能被那里的人訪問到。這同樣適用于你公司的數(shù)據(jù)。問題不在于是否惡意，而是現(xiàn)實(shí)情況是：用戶其實(shí)并沒有真正的隱私保護(hù)。如果有人想獲取這些極其敏感的數(shù)據(jù)，并不是一件很困難的事情。

OpenClaw 框架本身是一個(gè)改變游戲規(guī)則的技術(shù)。我也真心相信，AI 智能體將成為我們?cè)诨ヂ?lián)網(wǎng)上進(jìn)行一切活動(dòng)的最終接口。但在此之前，我們必須先把它變得安全。

在評(píng)論區(qū)，Illia Polosukhin 回復(fù)了網(wǎng)友關(guān)于 IronClaw 的更多問題，比如「OpenClaw 被曝光有 2.1 萬(wàn)多個(gè)公開實(shí)例，還有惡意 skills。一旦 IronClaw 走紅，怎么能保證它不會(huì)遭遇同樣的命運(yùn)？」

對(duì)此，他表示，「我們已經(jīng)在做并且將繼續(xù)實(shí)現(xiàn)一系列安全防護(hù)措施。所有憑證都會(huì)被加密存儲(chǔ)，并且永遠(yuǎn)不會(huì)接觸到 LLM，因此 skills 無法把這些憑證竊取出去。skills 也無法在主機(jī)上直接運(yùn)行腳本，它們只能在容器內(nèi)部運(yùn)行。隨著核心系統(tǒng)逐漸穩(wěn)定，我們還計(jì)劃進(jìn)行紅隊(duì)測(cè)試以及完整的安全審查。」

更多細(xì)節(jié)請(qǐng)查閱原項(xiàng)目：

項(xiàng)目地址：https://github.com/nearai/ironclaw

Reddit原貼地址：https://www.reddit.com/r/MachineLearning/comments/1rlnwsk/d_ama_secure_version_of_openclaw/