影子AI失控后，没人接得住这口锅

一位安全圈的朋友最近私下说了一句话：企业最怕的不是黑客打进来的门，而是员工自己请进来的“同事”。

2026年，以OpenClaw为代表的AI智能体凭借自主决策与本地执行能力，成了企业与开发者的高频提效工具。但多家权威安全机构接连发布预警：这只俗称“龙虾”的智能体，正面临从供应链投毒到远程控制的多维安全威胁。更麻烦的是，当专家和政策制定者开始讨论“让AI公司为智能体攻击担责”时，他们发现现行法律框架里根本没有现成的答案。

工具跑在了规则前面，而风险跑在了工具前面。这篇文章，我们把这个失控的链条拆开看。

🔍 一只“龙虾”如何在企业内网开洞

想象一个典型场景：某企业市场部的非技术员工，为了提效，绕过IT部门自行部署了OpenClaw，还顺手从社区装了几个看起来不错的Skills插件。没有人做过安全评估，没有人登记这台“影子AI”资产。几天后，安全团队在内网发现异常横向流量——溯源一路指向那台没人管的智能体实例。

这不是假想。据公开报道，安全研究人员已多次观测到暴露在公网且未启用认证的OpenClaw实例，其中部分实例的会话记录与API密钥可直接被第三方读取。绿盟科技结合近期实战攻防与样本研判进一步指出，一旦恶意Skills被触发或底层漏洞被利用，OpenClaw实例即告失陷。攻击者可以利用AI工具的高权限，静默执行系统命令、窃取浏览器凭证，甚至将其作为跳板发起内网横向渗透。

把这条攻击链画出来，你会发现它和传统入侵链条高度相似，但每一环都被“AI的高权限”放大了：

产业逻辑在这里发生了一次关键切换：攻击面从“网络边界”迁移到了“员工桌面”。过去企业防的是外部扫描器，现在要防的是一台装在员工电脑上、拥有系统级执行权限、还能自主联网的AI助手。传统边界防火墙对它几乎视而不见——因为它就是“合法的内网流量”。

而最要命的一环是：企业往往根本不知道自己有多少台这样的实例。影子AI的可怕之处，不在于它强，而在于它在资产清单之外。

⚠️ 开放生态背后的供应链投毒

每一个繁荣的开放生态，都会吸引两类人：开发者和寄生者。

OpenClaw的扩展性高度依赖其开放的Skills生态，例如ClawHub这样的第三方平台。据公开资料，ClawHub上线后数月内收录的Skills数量即达数万量级，而由于这类平台缺乏严格的代码安全审核机制，攻击者可以轻易植入后门插件——密钥窃取、远控后门，手段与传统恶意软件一脉相承，只是换了个更体面的分发渠道。安全社区已披露过多起以“提效工具”为伪装、实则外传环境变量中API密钥的恶意Skills案例。

时间线上有三个关键节点，值得所有企业复盘：

• 2026年2月：绿盟天元实验室发布针对ClawHub平台恶意Skills风险的预警报告；
• 随后：OpenClaw官方宣布开展安全治理，包括下架恶意插件与加强审核流程；
• 至今：持续跟踪表明，仍有大量高危插件存活或换壳重新上架。

请注意最后一个节点。官方宣布治理之后，高危插件依然存活——这说明治理的速度远远赶不上投毒的速度。缺乏鉴别能力的非技术侧员工，极易在无意间把风险引入企业内网。

这就是典型的AI供应链问题：生态的繁荣速度是社区驱动的，而审核的严谨程度取决于平台方的一次性投入。前者是指数曲线，后者是线性投入，剪刀差只会越来越大。这与当年npm、PyPI上的包投毒如出一辙，唯一的变化是——智能体会替用户主动执行这些插件，把“下载恶意包”和“运行恶意代码”之间的最后一道人工确认环节也给抹掉了。

🕵️ 从感知到断链：情报驱动的防御闭环正在成形

面对这三类风险，业界的答案正在从“封堵”转向“情报驱动”，而国内外厂商的路径已经开始收敛。

以绿盟科技为例，其基于深度威胁情报体系输出的能力矩阵，逻辑上对应“知其源、溯其踪、断其链”三步：

这套思路并非绿盟独有。海外的CrowdStrike、微软等厂商已在XDR产品线中强调对AI工具进程与外联行为的覆盖；国内奇安信、安恒等厂商也相继发布针对智能体安全的专项报告与检测规则更新。可以说，“把AI资产纳入既有检测视野”正在成为行业共识，而非某一家的新概念。

具体来看两个值得技术团队关注的细节。其一是双层检测：在终端层面，精准定位恶意Skills文件的落盘Hash；在网络层面，识别失陷主机主动外联黑产C2的异常流量特征。这实际上是要求企业把“AI资产”纳入既有EDR/NDR的检测视野，而不是另起炉灶。其二更有意思——部分研究团队已将“AI异常行为指纹”纳入情报规则库，当内网出现违规外联或异常进程调用时，可快速告警并溯源失陷主机。

把“AI的异常行为”本身当成一种可指纹化的威胁信号，这是情报厂商在本轮智能体浪潮里做出的关键产品判断：AI既是攻击载体，也是可被建模的实体。谁先沉淀出高质量的AI行为基线数据，谁就在下一轮竞争里握住了定价权。

据多位接近厂商的人士透露，这类“AI威胁情报”目前已成为安全大厂竞品分析会上的必谈议题——不是因为它有多新奇，而是因为客户需求已经真实到账了。

⚖️ 智能体闯祸，法律却接不住

技术的账好算，法律上的账，正在变成一笔糊涂账。

CyberScoop近期的一篇报道点出了这个尴尬：专家和政策制定者希望AI公司为智能体攻击承担后果，但在现行法律法规下，可能并没有明确的答案。报道所指的美国现行法律框架，起草时世界上还不存在“自主执行攻击行为的AI智能体”这种东西——《计算机欺诈与滥用法》（CFAA）制定于1986年，彼时立法者面对的威胁模型还是“人操作计算机入侵另一台计算机”；同样起草于前智能体时代的《电子通信隐私法》《数字千年版权法》等，也未对“AI自主行为”的责任主体作出任何安排。报道中受访的法律专家普遍指出：现有法律默认存在一个“有意图的行为人”，而智能体恰恰模糊了这个前提。

拆开看，责任链条上有三个主体，却没有一条法律能清晰地把它们串起来：

• AI公司：提供了能力，但是否要对智能体被滥用后的后果负责？功能与恶意的边界在哪里？
• 平台方：如ClawHub这类缺乏审核机制的Skills市场，审核义务的边界至今没有行业标准；
• 部署企业：员工私自部署影子AI导致数据泄露，违规的是员工、IT部门还是管理层？

产业逻辑上，这场“责任真空”会催生两个确定性的后果。

第一，在法律落锤之前，合规压力会先转化为企业自证安全的需求。监管不会等法律修订完成——数据一旦外传，数据安全合规的问责立刻落地到企业头上。企业能做的，是把部署审批、插件准入、行为监测这条防御链先建起来。这正是各家威胁情报厂商此刻密集发声的商业逻辑：法律没说谁负责，但审计和监管一定会问“你做了什么”。

第二，审核义务最终会被制度化。OpenClaw官方宣布治理却治不住高危插件存活，说明社区自治的天花板已经可见。参考应用商店和云市场的前例，Skills生态迟早会走向“签名分发+平台担责”的模式——这一步既是合规要求，也会重塑整个智能体插件市场的准入门槛。

📊 谁在牌桌上：AI智能体防御格局

把当前防御侧的主要玩家放在一张地图上看，格局其实很清晰：

需要说明的是，这张图是产业观察性质的粗略定位，各家厂商的具体能力边界仍需以实测为准。但方向性的结论比较一致：传统边界防护在这场对抗里明显掉队——它防的敌人在自己家里。真正占据高地的，是同时具备样本监测网络、行为指纹数据和情报分发能力的深度威胁情报体系：从源头的Skills动态清洗与行为分析，到黑名单实时输出，再到云端快速同步至本地设备，形成的是一个闭环，而不是单点产品。

如果把防御体系分层来看，“三把锁”对应的是三个高度：

很多企业会倒过来做：先买检测产品，再补情报，最后才发现自己连有多少台智能体在跑都不清楚。资产可见性是金字塔的底座——看不见的攻击面，等于不存在的防御。

结语：规则会迟到，但账单不会缺席

OpenClaw的困境不是一款工具的问题，而是整个智能体时代的预演：开放生态的繁荣速度永远快于审核机制的完善速度，而法律对“AI自主行为”的责任界定，可能还要落后好几年。CyberScoop采访的法律专家们给出的时间预期普遍悲观——在首例标志性判例出现之前，责任规则大概率只能靠合同条款和平台政策临时拼凑。

短期看，企业能指望的只有两样东西：把影子AI资产管起来，用威胁情报把“知其源、溯其踪、断其链”做实——这一步做在哪家厂商手里并不重要，重要的是先做起来。长期看，一旦首例智能体攻击的司法判例落地，责任链条的每一环——模型厂商、生态平台、部署企业——都将被重新定价。

在那之前，所有的安全投入，本质上都是在为未来那张迟到的账单提前付款。