<p>中国工业和信息化部（MIIT）下属的一个单位发布了关于采用和使用 OpenClaw 的最佳实践和禁忌的指导方针，这款流行的人工智能代理继续主导市场。根据 MIIT 运营的国家漏洞数据库（NVDB）周三的声明，该建议是在与 AI 代理提供商、漏洞平台运营商和网络安全公司合作开发的，旨在解决 “龙虾”（OpenClaw 的吉祥物）典型使用案例中的风险。指导方针推荐六项实践：使用官方最新版本，最小化互联网暴露，仅授予必要的最低权限，在使用充满第三方产品的技能市场时保持谨慎，防范浏览器劫持，并定期检查补丁漏洞。相反，用户被警告不要使用过时或第三方镜像版本的 OpenClaw，不要将 AI 代理实例暴露于互联网，不要在部署期间启用管理员账户，不要安装需要输入密码的技能包，不要浏览未经验证的网站，以及不要禁用详细的日志审计功能。NVDB 还提供了限制互联网访问、扫描文件和卸载软件的说明。它强调了可能出现风险的场景，例如将即时通讯应用连接到 OpenClaw，这可能授予 “过多的权限，使恶意读取、写入或删除任何文件成为可能”。这是 NVDB 发出的第二次警告，早在二月份就曾警告不当处理该代理可能使用户面临高水平的安全风险。中国的网络安全圈已加强对开源技术的监管。周二，中国国家计算机网络应急技术处理协调中心（CNCERT）表示，OpenClaw 可能面临包括 “提示注入” 在内的威胁，攻击者可以在网页中嵌入隐藏的恶意指令，诱使软件泄露系统密钥。CNCERT 是一个非政府和非营利的网络安全技术平台。OpenClaw 由奥地利开发者彼得·施泰因伯格（Peter Steinberger）于去年底发布，因其能够代表用户执行任务，如组织和回复电子邮件、撰写工作报告和准备幻灯片而获得全球关注。它于上个月被 OpenAI 收购，引发全球热潮。包括阿里巴巴集团、腾讯控股和字节跳动在内的中国公司迅速拥抱这一趋势，推出了自己的 OpenClaw 版本，以便更容易或更便宜地采用。广东省南部的深圳市以及江苏省东部的南京和无锡等地方政府也为该软件制定了支持政策。</p>

OpenAI

<p>中国工业和信息化部发布了针对 AI 代理 OpenClaw 的新安全指南，该指南是在各方利益相关者的参与下制定的。指南建议采取一些做法，例如使用最新版本、减少互联网暴露以及对第三方产品保持谨慎。用户被警告不要使用过时版本和过多权限，以免导致安全风险。这一举措是在之前关于潜在漏洞的警告之后，包括提示注入攻击。OpenClaw 被 OpenAI 收购后，受到了广泛欢迎，促使地方企业和政府支持其采用</p>

<p>A unit of China’s Ministry of Industry and Information Technology (MIIT) has issued guidelines on best practices and prohibitions for adopting and using OpenClaw, the popular artificial intelligence agent that continues to dominate the market. The advisory, developed in collaboration with AI agent providers, vulnerability platform operators and cybersecurity firms, aims to address risks in typical use cases of “lobster”, OpenClaw’s mascot, according to a Wednesday statement from the MIIT-run National Vulnerability DataBase (NVDB). The guidelines recommend six practices: use the official latest version, minimise internet exposure, grant only the minimum permissions necessary, exercise caution when using the skill market filled with third-party offerings, guard against browser hijacking, and regularly check for patch vulnerabilities. By contrast, users are warned against using outdated or third-party mirror versions of OpenClaw, exposing AI agent instances to the internet, enabling administrator accounts during deployment, installing skill packs that require entering passwords, browsing unverified websites, and disabling detailed log auditing functions. The NVDB also provided instructions on restricting internet access, scanning files and uninstalling the software. It highlighted scenarios where risks may arise, such as connecting instant messaging apps to OpenClaw, which could grant “excessive permissions that enable malicious reading, writing or deletion of any files”. This marks the second warning from the NVDB, which in February cautioned that improper handling of the agent could expose users to high-level security risks. China’s cybersecurity circle has stepped up oversight of the open-source technology. On Tuesday, the National Computer Network Emergency Response Technical Team/Coordination Center of China (CNCERT) said OpenClaw could be vulnerable to threats including “prompt injection”, in which attackers embed hidden malicious instructions in webpages that could trick the software into leaking system keys. CNCERT is a non-governmental and non-profit cybersecurity technical platform. Released by Austrian developer Peter Steinberger late last year, OpenClaw – formerly known as Clawdbot and Moltbot – has gained global traction for its ability to perform tasks on a user’s behalf, such as organising and responding to emails, drafting work reports and preparing slide decks. It was acquired by OpenAI last month, sparking worldwide hype. Chinese firms including Alibaba Group Holding, Tencent Holdings and ByteDance have quickly embraced the trend, rolling out their own versions of OpenClaw for easier or cheaper adoption. Local governments in Shenzhen in the southern province of Guangdong as well as Nanjing and Wuxi in eastern Jiangsu province have also drafted supportive policies for the software.</p>
<div class="lb-trans"><p>中国工业和信息化部（MIIT）下属的一个单位发布了关于采用和使用 OpenClaw 的最佳实践和禁忌的指导方针，这款流行的人工智能代理继续主导市场。根据 MIIT 运营的国家漏洞数据库（NVDB）周三的声明，该建议是在与 AI 代理提供商、漏洞平台运营商和网络安全公司合作开发的，旨在解决 “龙虾”（OpenClaw 的吉祥物）典型使用案例中的风险。指导方针推荐六项实践：使用官方最新版本，最小化互联网暴露，仅授予必要的最低权限，在使用充满第三方产品的技能市场时保持谨慎，防范浏览器劫持，并定期检查补丁漏洞。相反，用户被警告不要使用过时或第三方镜像版本的 OpenClaw，不要将 AI 代理实例暴露于互联网，不要在部署期间启用管理员账户，不要安装需要输入密码的技能包，不要浏览未经验证的网站，以及不要禁用详细的日志审计功能。NVDB 还提供了限制互联网访问、扫描文件和卸载软件的说明。它强调了可能出现风险的场景，例如将即时通讯应用连接到 OpenClaw，这可能授予 “过多的权限，使恶意读取、写入或删除任何文件成为可能”。这是 NVDB 发出的第二次警告，早在二月份就曾警告不当处理该代理可能使用户面临高水平的安全风险。中国的网络安全圈已加强对开源技术的监管。周二，中国国家计算机网络应急技术处理协调中心（CNCERT）表示，OpenClaw 可能面临包括 “提示注入” 在内的威胁，攻击者可以在网页中嵌入隐藏的恶意指令，诱使软件泄露系统密钥。CNCERT 是一个非政府和非营利的网络安全技术平台。OpenClaw 由奥地利开发者彼得·施泰因伯格（Peter Steinberger）于去年底发布，因其能够代表用户执行任务，如组织和回复电子邮件、撰写工作报告和准备幻灯片而获得全球关注。它于上个月被 OpenAI 收购，引发全球热潮。包括阿里巴巴集团、腾讯控股和字节跳动在内的中国公司迅速拥抱这一趋势，推出了自己的 OpenClaw 版本，以便更容易或更便宜地采用。广东省南部的深圳市以及江苏省东部的南京和无锡等地方政府也为该软件制定了支持政策。</p>
</div>

中国发布了 OpenClaw 的新安全规则。以下是应该做和不应该做的事项