2023年GPT-4剛發(fā)布那會(huì)兒，AutoGPT和BabyAGI把科技圈嚇得夠嗆。人人都在傳"自主代理要搶飯碗了"，會(huì)議室里一張張緊繃的臉，活像末日片開場(chǎng)。結(jié)果幾周后，話題涼得比外賣還快——那些早期代理幻覺(jué)嚴(yán)重，連訂個(gè)披薩都能把地址填成火星。

整整三年過(guò)去，同樣的對(duì)話卷土重來(lái)。這次主角叫OpenClaw，內(nèi)核換成了Claude Opus 4.5。模型確實(shí)脫胎換骨，幻覺(jué)少了，生態(tài)成熟了，它能實(shí)打?qū)嵉馗苫睿鹤x本地文件、操控終端、發(fā)郵件、調(diào)智能家居。最夸張的是，這波熱度已經(jīng)燒了近一個(gè)月，Twitter上還在吵。

吵到OpenAI直接出手，把創(chuàng)始人Peter Steinberger給acqhire了（收購(gòu)式招聘）。一個(gè)人撐起一家獨(dú)角獸的神話，差點(diǎn)成真。

但每份禮物都標(biāo)好了價(jià)碼。OpenClaw的能力是真的，貴是真的，漏洞也是真的。

那個(gè)叫Navi的精靈，知道你所有秘密

MacStories主編Federico Viticci的描述像科幻片：他的數(shù)字助手Navi知道他名字、晨間偏好、Notion和Todoist的使用習(xí)慣，能控制Spotify、Sonos音箱、Philips Hue燈光，還能收發(fā)電報(bào)語(yǔ)音消息。Navi跑在M4 Mac mini上，用ElevenLabs生成語(yǔ)音回復(fù)，甚至能給自己寫新功能。

用戶視角的爽感是直觀的。想象一下：睡醒開機(jī)，收件箱已清空，會(huì)議帶好了預(yù)習(xí)筆記，周末機(jī)票訂妥，Alexa正放《Every Breath You Take》——而你只跟bot聊了幾句，甚至只是隨口一說(shuō)。

這種自動(dòng)化沖動(dòng)刻在人類基因里。齒輪、流水線、編程語(yǔ)言，一路走到今天的數(shù)字超級(jí)助手。OpenClaw的承諾就是"活在未來(lái)的感覺(jué)"。

但Viticci那句"如果你讀到這里已經(jīng)頭暈，想想我第一次啟動(dòng)它時(shí)的反應(yīng)"，暗示了問(wèn)題。

權(quán)限即攻擊面：你的電腦成了公共廁所

OpenClaw的架構(gòu)決定了它必須擁有極高權(quán)限。本地文件系統(tǒng)、終端、瀏覽器、Gmail、Slack、HomeKit——每一個(gè)連接都是一扇門。傳統(tǒng)軟件遵循最小權(quán)限原則，能少開一扇窗就少開一扇。OpenClaw反著來(lái)：為了"懂你"，它要鑰匙串的全套備份。

安全研究者的噩夢(mèng)清單在這里一一兌現(xiàn)。提示注入攻擊（prompt injection）可以讓AI把看到的敏感信息外泄；間接提示注入通過(guò)惡意網(wǎng)頁(yè)、郵件附件觸發(fā)；工具調(diào)用鏈的每一環(huán)都可能被劫持。當(dāng)你讓OpenClaw"查一下銀行余額然后郵件發(fā)給會(huì)計(jì)"，中間哪個(gè)環(huán)節(jié)被篡改，錢就可能轉(zhuǎn)到索馬里。

更隱蔽的是持久化風(fēng)險(xiǎn)。Navi能"給自己寫新功能"，意味著它具備代碼執(zhí)行和自我修改能力。一旦初始提示被污染，惡意行為可以潛伏、擴(kuò)散、進(jìn)化，像數(shù)字版的特洛伊木馬——只不過(guò)木馬還會(huì)自己加固城墻。

原文作者的安全評(píng)估毫不客氣："security nightmare dressed up as a daydream"（偽裝成白日夢(mèng)的安全噩夢(mèng)）。這個(gè)評(píng)價(jià)針對(duì)的不是某個(gè)實(shí)現(xiàn)細(xì)節(jié)，而是整個(gè)產(chǎn)品類別的結(jié)構(gòu)性缺陷。

為什么這次可能不一樣，又為什么可能更糟

2023年的失敗給這次狂歡加了濾鏡。當(dāng)時(shí)模型太蠢，現(xiàn)在Opus 4.5的可靠性確實(shí)跨越了可用閾值。生態(tài)也成熟了：MCP（Model Context Protocol，模型上下文協(xié)議）讓工具集成標(biāo)準(zhǔn)化，ElevenLabs的語(yǔ)音合成以假亂真，Telegram Bot API降低了交互門檻。

但安全模型沒(méi)有同步進(jìn)化。我們?nèi)栽谟?020年代的權(quán)限架構(gòu)，支撐2025年代的自主代理。就像給F1賽車裝馬車夫的剎車片——速度上去了，停下來(lái)需要的時(shí)間也更長(zhǎng)。

OpenAI的收購(gòu)動(dòng)作耐人尋味。Steinberger一個(gè)人能做出OpenClaw級(jí)別的產(chǎn)品，說(shuō)明技術(shù)門檻在降低；OpenAI需要收購(gòu)而非自研，說(shuō)明時(shí)間窗口在收窄。這背后是代理賽道的軍備競(jìng)賽：誰(shuí)能讓AI真正"動(dòng)手做事"，誰(shuí)就握住了下一個(gè)平臺(tái)入口。

代價(jià)是用戶被迫做一道沒(méi)有標(biāo)準(zhǔn)答案的選擇題。用，就是把數(shù)字生活的鑰匙交給一個(gè)會(huì)犯錯(cuò)的黑箱；不用，看著別人用Navi省下的時(shí)間，又像是主動(dòng)選擇落后。

原文作者的態(tài)度很微妙：他承認(rèn)技術(shù)趨勢(shì)，但拒絕加入。"Personally didn't like it, neither saw its promise, or maybe I am employed"——最后半句是自嘲，也是警示。有正經(jīng)工作的人，經(jīng)不起賬戶被清空、代碼庫(kù)被刪、隱私被直播的風(fēng)險(xiǎn)。

那些真正需要OpenClaw的人——自由職業(yè)者、小團(tuán)隊(duì)創(chuàng)始人、數(shù)字游民——恰恰是最經(jīng)不起安全事件的群體。沒(méi)有IT部門兜底，一次入侵就是滅頂之災(zāi)。

如果OpenClaw這類工具成為默認(rèn)選項(xiàng)，企業(yè)安全邊界會(huì)徹底改寫。傳統(tǒng)的"內(nèi)外網(wǎng)隔離""零信任架構(gòu)"在自主代理面前像紙糊的：AI需要同時(shí)訪問(wèn)內(nèi)部Wiki和外部API，它的"大腦"在云端，"手腳"在本地，身份認(rèn)證怎么做？行為審計(jì)怎么做？出事了誰(shuí)負(fù)責(zé)？

這些問(wèn)題沒(méi)有現(xiàn)成答案。OpenClaw的流行，本質(zhì)是技術(shù)社區(qū)用肉身探路——用真實(shí)的賬戶被盜、數(shù)據(jù)泄露、釣魚事件，來(lái)訓(xùn)練下一代安全范式。

Steinberger加入OpenAI后，OpenClaw的開源版本命運(yùn)未卜。是成為類似Android的開放生態(tài)，還是像GPTs一樣被收編進(jìn)圍墻花園？這關(guān)系到普通用戶能否繼續(xù)自建Navi，還是只能訂閱官方托管版本。

托管能解決一部分安全問(wèn)題，又制造了新的：你的數(shù)據(jù)離開本地，住進(jìn)OpenAI的服務(wù)器。2023年人們害怕AI搶工作，2025年可能更害怕AI太了解你。

當(dāng)Navi知道你喜歡什么歌、幾點(diǎn)起床、郵件里提過(guò)哪些焦慮，它到底是助手，還是24小時(shí)在線的觀察員？