OpenClaw龙虾AI助手：从爆红到争议的全景深度报告

当AI从"聊天"进化为"执行"，它带来的不只是效率革命——还有一场尚未结束的安全风暴。

OpenClaw是2026年初最具颠覆性的开源AI产品——一个由奥地利开发者Peter Steinberger创建的本地AI代理框架，在不到三个月内斩获25万+GitHub星标，成为GitHub历史上增长最快的开源项目，超越Linux和React。它让AI从"聊天"进化为"执行"，能在WhatsApp、微信、飞书等24个通讯平台上自主完成邮件管理、日程安排、文件操作等真实任务。在中国，OpenClaw掀起了"全民养龙虾"的狂潮，腾讯、阿里、字节等科技巨头竞相推出本土化替代品，地方政府纷纷出台补贴政策。但伴随狂热的是严峻的安全危机——156个安全漏洞、恶意技能投毒、13.5万+暴露实例，以及工信部和CNCERT的多轮安全预警。本报告全面梳理OpenClaw的技术架构、核心功能、国产替代方案、安全风险及AI助手未来趋势。

一、从一小时原型到GitHub之王

OpenClaw的故事始于2025年11月。Peter Steinberger是奥地利软件开发者，曾创办PSPDFKit（被Autodesk、Dropbox、SAP等使用的PDF框架），经营13年后退出。退休后陷入空虚的他决定回归编程"玩票"，最初只想做一个能通过WhatsApp与AI对话的中转工具。第一个原型仅用一小时搭建完成。

项目最初叫"Clawdbot"，名字来自对Anthropic旗下AI"Claude"的谐音玩梗（Claw=龙虾钳）。2026年1月，Anthropic因商标问题提出异议，Steinberger将项目改名为"Moltbot"（Molt=龙虾蜕壳），但仅三天后又改名为"OpenClaw"，理由是"Moltbot念起来太别扭了"。那只红色卡通龙虾Logo自始至终保留了下来。

增长速度令人瞠目：2025年11月首发时约5,000颗星标；2026年1月突破10万颗（一周内完成）；2月超过20万颗；3月2日达到247,000颗星标和47,700个Fork；至2026年3月底超过34.7万颗星标和6.9万个Fork。Lex Fridman在播客中称之为"继2022年ChatGPT时刻、2025年DeepSeek时刻之后的第三个AI里程碑——龙虾时刻"。NVIDIA CEO黄仁勋称其为"人类历史上最受欢迎的开源项目"和"下一个ChatGPT"。

“小龙虾"昵称由来： 在中国，OpenClaw的龙虾主题被完美嫁接——项目中文名成了"小龙虾”（xiǎo lóngxiā），使用OpenClaw被称为"养龙虾"（yǎng lóngxiā），隐喻用户需要给AI"喂"Token、训练新技能、监控并改进性能的过程。

2026年2月14日，Steinberger宣布加入OpenAI，Sam Altman称他为"天才"，并表示"个人AI助手将很快成为我们产品的核心"。OpenClaw则移交给一个独立的开源基金会管理。

二、Gateway架构与技术内核

OpenClaw的技术架构围绕一个核心概念构建：Gateway是控制平面，产品是助手本身。

Gateway网关

Gateway是一个长驻运行的Node.js进程，通过WebSocket在ws://127.0.0.1:18789上提供单一控制平面，管理所有会话、路由、认证和通道连接。它以systemd服务（Linux）或LaunchAgent（macOS）形式作为守护进程运行，开机自启、崩溃自恢复。每个会话拥有独立的AI代理和记忆空间，消息通过命令队列逐一串行处理，防止工具冲突和状态损坏。Gateway支持多代理路由——不同的通道、联系人或群组可以路由到不同的AI代理实例。

Agent引擎（Pi代理运行时）

核心执行循环遵循ReAct模式：消息接入→上下文组装→模型推理→工具执行→流式回复→持久化存储。上下文组装由四部分构成：OpenClaw基础提示词、Skills提示词（合格技能的精简索引）、引导上下文文件、每次运行的覆盖指令。当LLM请求工具调用时，Pi代理拦截请求、执行工具、捕获结果并反馈到对话中，循环继续直到模型产出文本回复。

Skills技能生态

每个Skill是一个包含SKILL.md文件的目录，用自然语言描述使用指令和工具配置。关键设计：Skills并非全部注入系统提示词，而是仅提供精简索引（名称+描述+路径），模型按需主动加载相关Skill的完整内容，保持上下文窗口精简。ClawHub是官方技能市场，截至2026年初拥有5,700+个技能。安装命令：openclaw skills install <skill-name>。但Cisco审计发现26%的社区技能存在至少一个安全漏洞。

Memory记忆系统

记忆以纯Markdown文件存储在代理工作区（默认~/.openclaw/workspace）。系统启动时自动加载8个核心文件：

• SOUL.md：定义代理的"灵魂"——人格、价值观、语气、行为边界，每次会话首先注入
• AGENTS.md：操作手册——规则、优先级、工作流程
• USER.md：用户特定知识——姓名、公司、偏好、沟通风格
• MEMORY.md：长期事实和摘要，精选约100行关键内容，始终在上下文中
• HEARTBEAT.md：定时任务清单（见下文）

记忆分三个层级：Tier 1（MEMORY.md，始终加载）；Tier 2（每日日志文件，自动加载今天和昨天）；Tier 3（深层知识库，通过向量嵌入语义检索）。底层存储使用SQLite + Markdown文件，可选sqlite-vec扩展支持语义搜索。

MCP协议支持

OpenClaw充当MCP宿主，可连接到符合Model Context Protocol的服务器，通过JSON-RPC协议访问500+工具（Gmail、Slack、Salesforce、PostgreSQL等）。配置方式为在openclaw.json中声明MCP服务器，支持OAuth 2.0认证和基于能力的访问控制。CLI提供openclaw mcp install/list/test/register等管理命令。

定时任务：HEARTBEAT.md

HEARTBEAT.md是"用自然语言写的cron"——默认每30分钟触发一次。代理被唤醒后评估任务清单，决定执行操作或回复HEARTBEAT_OK（Gateway自动抑制不发送给用户）。典型用例包括：每日早报、网站监控、日历冲突检测、定期报告生成、DevOps健康检查。重要警告：配置不当的HEARTBEAT可能一夜烧掉数百美元API费用。

三、24个通讯平台与无限模型选择

支持的通讯平台（24+个）

OpenClaw的多通道收件箱覆盖极广：WhatsApp、Telegram、Slack、Discord、Google Chat、Signal、iMessage/BlueBubbles、IRC、Microsoft Teams、Matrix、飞书（Feishu）、LINE、Mattermost、Nextcloud Talk、Nostr、Synology Chat、Tlon、Twitch、Zalo、微信（WeChat）、WebChat等。

微信接入： 通过腾讯官方插件@tencent-weixin/openclaw-weixin实现，需OpenClaw ≥2026.3.22版本。安装命令：openclaw plugins install "@tencent-weixin/openclaw-weixin"，然后扫码登录。需要在微信"我→设置→插件"中启用ClawBot插件（腾讯逐步灰度放量）。

支持的AI模型

OpenClaw是模型无关的，采用BYOK（自带API密钥）模式：Claude（Sonnet/Opus系列）、GPT（4o/5/5.4系列，支持ChatGPT订阅用户OAuth直连）、Gemini、DeepSeek、Qwen（通义千问）、Mistral、xAI Grok、Groq、Cerebras、MiniMax、Moonshot（月之暗面）、OpenRouter（元路由器）、以及通过Ollama运行的任何本地模型（Llama 3.1、Qwen、Mistral等）。支持同一提供商配置多个密钥，自动在限速时轮换。

语音与画布

macOS/iOS/Android支持语音唤醒和对话模式。macOS菜单栏应用提供推拉对讲覆盖层。Live Canvas是代理驱动的可视化工作空间，iOS/Android节点作为远程设备通过Gateway WebSocket配对。

四、从npm到开机自启的安装全流程

标准安装步骤

npm install -g openclaw@latest    # 或 pnpm add -g openclaw@latest
openclaw onboard --install-daemon  # 启动引导向导并注册守护进程

系统要求： Node 24（推荐）或Node 22.16+；支持macOS、Linux、Windows（WSL2）；x86_64和ARM64架构；最低2GB内存，推荐4GB以上；SSD必须，10GB以上空间。

Onboard引导向导

openclaw onboard命令逐步引导：①Gateway配置和启动→②工作区创建（~/.openclaw/）→③模型提供商选择和API密钥/OAuth认证→④通道连接（WhatsApp扫码、Telegram bot token等）→⑤技能安装→⑥Tailscale远程访问配置（可选）→⑦安全审计（openclaw security audit --deep）。--install-daemon标志将OpenClaw注册为系统服务。

Docker部署

官方提供docker-compose.yml和Dockerfile，基于node:24-bookworm镜像（约500MB）。以非root的node用户运行。最低要求：2GB RAM、1 vCPU、5GB磁盘。挂载卷包括配置目录和工作区。社区还有coollabsio/openclaw（含nginx反向代理+基础认证）等预构建镜像。

托管服务

OneClaw是OpenClaw官方托管平台，提供一键部署（60秒内上线），起价**$9.99/月**加用户自有API费用。每个实例运行在隔离容器中，自动更新和健康监控。

五、43万行代码背后的困境

部署复杂度

安装需要CLI熟练度（Node.js、npm、终端命令）。Docker部署增加额外复杂度（Windows需WSL2、卷管理、网络配置）。ChatGPT OAuth流程存在令人困惑的重定向需手动复制URL。OpenClaw核心维护者**“Shadow"在Discord上警告：“如果你不理解如何运行命令行，这个项目对你来说太危险了。”**

资源占用

Gateway空闲状态约300-400MB RAM，每活跃通道+100MB，每WebSocket客户端+10MB，浏览器自动化（Playwright）额外200-400MB，沙盒容器各256MB-1GB。1GB VPS上Docker构建步骤（pnpm install）经常触发OOM Kill。运行本地模型需最低16GB RAM，实际建议32GB。

代码库规模

TypeScript核心约43万行代码，加上Shell脚本2.5万行、Markdown技能5万行，总计超50万行——作为对比，轻量替代品NanoClaw仅700行，Nanobot仅4,000行。庞大的代码库给安全审计和稳定性维护带来巨大挑战。

稳定性与成本

发布日志显示频繁的Bug修复：Gateway执行回环失败、配对错误、子代理作用域提升问题、插件加载故障等。API成本失控是最常见投诉： 有用户报告"AI代理30分钟消耗178,000个Token”；配置不当的HEARTBEAT一夜可烧掉数百美元；使用Claude Opus的月均费用约$150（API+VPS），使用开源模型可降至约$10/月。

六、156个漏洞与全面安全危机

关键CVE漏洞

CVE-2026-25253（CVSS 8.8）——一键远程代码执行： 2026年1月由Ethiack发现。OpenClaw控制UI盲目信任URL参数中的gatewayUrl并自动通过WebSocket连接，将用户认证令牌泄露给攻击者控制的服务器。点击一个恶意链接即可获得完全远程代码执行权限。 发现时，4万+OpenClaw实例暴露在互联网上，63%被评估为存在远程利用风险。已在v2026.1.29修复。

CVE-2026-32922（CVSS 9.9）——严重权限提升： 2026年3月29日披露，被称为"当年云原生生态最严重的CVE"。device.token.rotate函数未限制新铸造令牌的作用域，客户端可在WebSocket握手时自声明admin级别权限。

“ClawJacked”——跨站WebSocket劫持： Oasis Security发现Gateway对localhost认证无速率限制。恶意网站可暴力破解Gateway密码并完全控制AI代理，用户无需任何交互。

2026年3月18-21日四天内披露9个CVE（1个严重、6个高危、2个中危），涉及审批绕过、沙盒逃逸、允许列表绕过等。jgamblin/OpenClawCVEs追踪器记录总计156个安全公告，其中128个仍等待CVE编号分配。

ClawHavoc恶意技能投毒

2026年2月1日，Koi Security发现了名为"ClawHavoc"的大规模供应链攻击。初始发现341个恶意技能（占当时注册表12%），安天CERT后续确认1,184个恶意技能——约占ClawHub总量的20%。主要攻击者"hightower6eu"一人发布354个恶意技能。攻击手法包括：Windows上诱导下载含键盘记录器的加密ZIP；macOS上执行base64编码脚本安装AMOS窃取木马。窃取目标包括API密钥、浏览器凭证、SSH密钥、加密钱包和Bot配置文件。

Cisco AI Defense团队测试了ClawHub排名第一的技能"What Would Elon Do?"，发现9个安全漏洞（2个严重、5个高危），包括静默数据外泄（通过curl命令将数据发送到攻击者服务器）和直接提示注入。Cisco的更大规模研究发现：31,000个代理技能中26%存在漏洞、13.3%有数据外泄模式、11.8%有权限提升模式。

暴露实例规模

• SecurityScorecard STRIKE团队：最终识别13.5万+暴露实例，其中15,200+存在RCE风险
• 63%的暴露部署未配置任何认证层
• 独立研究员Maor Dayan验证42,665个暴露实例，其中5,194个确认存在漏洞——93.4%存在认证绕过
• 中国拥有最多的暴露实例，其次是美国和新加坡
• 分布在52个国家，98.6%运行在云/托管基础设施上

工信部与CNCERT预警

工信部（NVDB）：

• 2026年2月5日首次发布OpenClaw安全预警
• 2026年3月8日通过央视、新华网发布重大公告，指出默认或不当配置"存在较高安全风险"

“六要六不要"安全指南（2026年3月11日）：

CNCERT（2026年3月10日） 发布四大风险提示：①提示注入——攻击者在网页中嵌入隐藏指令窃取密钥；②误操作——AI可能误删邮件或核心数据；③技能投毒——恶意插件窃取密钥、部署后门木马，将设备变成"肉鸡”；④漏洞风险——多个高危CVE已披露。

2026年3月22日，CNCERT联合中国网络空间安全协会发布**《OpenClaw安全使用实践指南》**，分别针对个人用户、企业用户、云服务提供商和技术开发者提出详细安全指引。

限制措施： 2026年3月11日起，国有银行和政府机构明确禁止员工在办公电脑和连接公司网络的个人设备上安装OpenClaw。多所高校发布禁令要求"严禁使用龙虾，已装须彻底卸载"，部分高校进行端口扫描检测。工业信息安全发展研究中心发文严禁OpenClaw与工业控制网络直连通。

七、国产龙虾产品全景扫描

中国科技巨头在2026年2-3月间密集推出OpenClaw本土替代品，形成了繁荣的"龙虾生态"。

阿里系：CoPaw（酷趴）与QoderWork

CoPaw是基于阿里AgentScope框架的开源个人AI代理工作站，Apache 2.0许可证。核心亮点是ReMe记忆模块（Remember Me, Refine Me），能跨会话保留决策、偏好和待办事项。支持钉钉、飞书、Discord、QQ、iMessage等多通道。搭载CoPaw-Flash-9B（基于Qwen3.5-9B的代理微调模型），可在消费级GPU上通过Ollama本地运行，也可通过阿里云一键部署。完全免费开源。

QoderWork是桌面AI代理应用（macOS + Windows），进化自Qoder IDE。核心特色是Quest Mode（AI自主编程模式），将模糊需求转化为详细规格和完整代码。双层模型架构（Standard/Flagship）控制成本。提供沙盒环境保障隐私安全。2026年3月27日已接入钉钉、微信和飞书。免费基础版+$19/月高级版。

字节跳动：ArkClaw（方舟龙虾）

基于火山引擎的云端SaaS方案，2026年3月9日上线。核心卖点：7×24小时云端运行（电脑关机也能工作）、每用户独享ECS云资源和40GB专属云存储。深度集成飞书——独家飞书插件处理日历、文档、会议纪要。整合字节跳动自有搜索引擎（头条、抖音百科数据）。安全方面最为突出：多租户容器隔离，等保三级适配，被多个来源描述为"唯一能通过2026年AI监管审计的方案"。定价绑定火山方舟Coding Plan，Lite首月¥9.9，Pro首月¥49.9，ArkClaw使用无额外Token计费。

腾讯系：WorkBuddy与QClaw

WorkBuddy（腾讯智能工作台） 是企业级AI代理桌面工作站，来自腾讯云CodeBuddy团队。核心优势是安全第一设计——高危命令自动拦截、安全网关代理模式、操作行为审计追踪、授权文件夹范围限制。支持QQ、飞书、钉钉、微信、企业微信等全平台。兼容OpenClaw技能生态，内置20+预配置技能。公测期间免费，注册送5,000 Credits。

QClaw是腾讯电脑管家团队的个人版产品，本质是**“微信遥控器”**——通过微信聊天界面远程控制PC上的AI代理。核心功能就是微信绑定（扫码即用），支持5,000+技能。最新版本升级为微信小程序格式，支持跨设备远程文件传输。内测免费，每日提供4,000万Token——目前市场上最慷慨的免费额度。

智谱：AutoClaw（澳龙）

2026年3月10日发布，号称中国首个真正"一键安装"的本地OpenClaw桌面应用。预装50+主流技能。核心武器是Pony-Alpha-2模型——实质为GLM-5的代理场景专用微调版本，优化了工具调用稳定性和任务执行效率。另一核心特色是AutoGLM Browser-Use——智谱自研的浏览器自动化引擎，支持多步骤跨页面自主操作，远超OpenClaw原生能力。支持一键飞书集成。GLM-4.7-Flash和FlashX模型完全免费无限使用，高级模型按量付费。发布当日智谱股价飙升13%+。

MiniMax：MaxClaw

2026年2月25-27日发布的云端AI代理，号称10秒部署。核心亮点是原生长期记忆——跨日跨周记住用户偏好和知识。拥有10,000+预构建专家代理和预组装工作流。国际化定位强——整合Telegram、Discord、Slack。底层是MiniMax M2.5模型——229B参数的MoE架构，每Token仅激活约10B参数（4.3%激活率），推理速度高达100 tokens/s，编程性能接近Claude 3.5 Sonnet但成本仅为1/7到1/20。SWE-Bench Verified得分80.2%（vs Claude Opus 4.6的80.8%）。M2.5已成为OpenClaw上全球使用量最高的模型。 定价从**$19/月起（国内市场约15-39元/月**）。

阶跃星辰：StepClaw

2026年3月密集迭代：3月12日云端版上线→3月19日桌面版→3月22日首家适配微信→3月27日付费版。底层是Step 3.5 Flash模型——196B参数的稀疏MoE架构，约11B参数活跃，推理速度100-350 tokens/s。定位为"为Agent而生"，在OpenClaw全球Token调用日榜/月榜均排名第一。开放模型权重和Steptron训练框架——前所未有的开源力度。首批免费50,000名额，每人获得1个月使用权+5,000万Token+免费云服务器和存储。微信适配是其核心竞争力——通过ClawBot插件嵌入为微信"联系人"，直接在微信聊天中发送指令和接收结果。

八、八大龙虾产品横向对比

选购建议： 追求极致控制和隐私→OpenClaw原版或CoPaw；飞书企业合规→ArkClaw；微信深度用户→QClaw或StepClaw；零门槛尝鲜→AutoClaw或StepClaw免费名额；国际化ChatOps→MaxClaw；企业安全优先→WorkBuddy或ArkClaw。

九、个人用户安全锦囊

基于工信部"六要六不要"、CNCERT指南和全球安全研究综合，个人用户应遵循以下核心原则：

立即行动类： 确保更新到最新版本（至少v2026.3.28+），所有此前版本包含已知可利用漏洞。将Gateway绑定到localhost（127.0.0.1），绝对不要暴露18789端口到公网。如果曾在访问不可信网站时运行过有漏洞的版本，立即轮换所有凭据。

技能审查类： 安装前用clawhub inspect --files审查技能代码，拒绝任何要求执行脚本或输入敏感密码的技能。使用Cisco Skill Scanner或Clawdex检查已知恶意技能数据库。禁用自动技能更新和自动安装。定期检查SOUL.md和MEMORY.md是否被未授权修改（“记忆投毒”）。

隔离运行类： 使用专用低权限账户运行，绝不用root/管理员。优先在Docker容器、虚拟机或专用机器中部署。限制文件系统访问仅限指定工作目录。为敏感操作启用审批门控。不要将银行卡号、身份证号、密码等敏感信息交给OpenClaw处理。

成本控制类： 在API提供商端设置硬性消费限额（不仅是代理配置中）。谨慎配置HEARTBEAT频率，避免一夜烧钱。考虑使用OpenRouter进行动态模型路由，可降低60-80%成本。

十、龙虾之后：AI助手的终局之战

OpenClaw是过渡产品

OpenClaw证明了AI代理的可行性，但其许可式安全模型（技能可不受限访问宿主、未加密记忆文件、完全权限HEARTBEAT）使其不适合企业部署。正如VentureBeat分析所言：“OpenAI收编OpenClaw，标志着ChatGPT时代开始终结。”价值正从模型本身转向代理/应用层——谁控制了最佳代理体验，谁就可能捕获最大价值，无论底层是哪个模型。

Anthropic的代理蓝图

Claude正沿着"从对话到执行"的路径快速进化。Claude Opus 4.6已具备14.5小时任务完成时间跨度（所有AI模型中最长）和100万Token上下文窗口。2026年3月23日推出的Claude Computer Use Agent能看到、导航和控制用户桌面——点击按钮、打开应用、填写表格、完成多步骤工作流。Claude Code支持定时任务、后台代理、语音模式和远程控制。企业级Claude Cowork平台提供预构建代理插件系统。Anthropic预计2026年收入达150亿美元（同比3倍）。但值得注意的是，Anthropic正在切断Claude Pro/Max订阅用户通过OpenClaw等第三方工具使用订阅额度的能力。

OpenAI的代理野心

GPT-5.4（2026年3月5日发布）是目前最强企业模型，结合编程、高级推理和自主计算机操作能力，幻觉率降低33%。ChatGPT Operator已合并进主应用，让用户委托多步骤网页任务。ChatGPT应用生态向开发者开放（9亿用户——比苹果App Store发布时更大）。Sam Altman的愿景集中在记忆和个性化——“人们想要记忆”，设想ChatGPT能记住"几乎关于我们的一切"。与Jony Ive合作开发个人AI设备。Steinberger的加入正是为了实现"连妈妈都会用的AI代理"。

“一人公司"时代降临

Dario Amodei以70-80%的置信度预测2026年将出现首个十亿美元的一人公司。已有先例：Matthew Gallagher以2万美元启动Medvi（GLP-1远程医疗），无雇员，首年销售额4.01亿美元，净利率16.2%。NVIDIA目前每名人类员工配备100个AI代理（7.5万人+750万AI代理）。黄仁勋预言：“每家公司的IT部门将成为AI代理的HR部门。“中国在这一赛道尤为激进——深圳龙岗提供最高1,000万元补贴，苏州承诺建设30个"一人公司社区"和2028年前孵化1,000家一人企业。

能力与安全的终极博弈

2026年AI助手领域的核心矛盾已清晰呈现：能力越强，风险越大。OpenClaw展示了可能性，但全行业现在必须解决如何安全交付这种能力。WASM沙盒化、运行时治理框架、语义遥测和持续授权正在成为"标配”。Gartner预测到2026年底40%的企业应用将嵌入AI代理，但也警告40%的当前代理将无法存活到2027年。

真正的终局不是龙虾——而是当AI代理像今天的智能手机一样自然融入生活，既强大又安全、既自主又可控的那一天。OpenClaw的最大贡献，或许不在于它自身成为了什么，而在于它向全世界证明了AI代理时代已经到来。