守护“龙虾”计划丨浪潮云ClawSec安全产品正式发布

近日，以OpenClaw为代表的AI智能体凭借跨场景、自动化的执行能力在网络迅速走红，快速落地智能办公、开发运维、金融交易等应用场景，但其强权限、多集成、可执行等特性也让安全风险暴露无遗，供应链投毒、权限失控、提示词注入等安全事件频发，严重威胁用户数字资产安全。

针对“龙虾”典型应用场景下的安全风险，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）正式发布关于防范OpenClaw（“龙虾”）开源智能体安全风险的“六要六不要”建议，为企业和个人安全使用OpenClaw划定红线。

近日，浪潮云将OpenClaw全场景能力集成正式推出InspurClaw产品体系，提供云服务、云电脑、一体机三种产品形态，能够全面覆盖本地不同主体OpenClaw技术应用需求。为应对AI“养龙虾”的安全风险，浪潮云正式推出自研安全产品ClawSec提供安全护航和技术验证，不仅精准对标监管要求、实现合规落地，更能为用户提供一套可治理、可审计、可复用的安全管理方案。

精准对标“六不要”，ClawSec硬核防护

ClawSec通过对系统层级、服务层级、Skills技能库层级三大核心风险深度拆解，打造了分层级、全链路的安全防护体系，既守住监管划定的安全红线，又实现风险的主动防控和闭环管理，让InspurClaw运行全程处于可控状态。

针对“不要使用第三方镜像/历史版本”：ClawSec的AI Bot资产管理能力支持一键扫描识别用户所有实例，自动检测版本信息，搭配安全检查基线扫描功能，对比官方最新版本，检测历史版本漏洞并给出整改建议，守护源头安全。

针对“不要将实例暴露到互联网”：ClawSec在系统层打造网络访问控制，一键开启端口管控，配置IP、域名级别的黑白名单，划分入站出站管控网络通信，杜绝实例直接暴露，筑牢网络安全屏障。

针对“不要用管理员权限部署”：ClawSec落实最小权限原则，在系统层配置专有账户，仅授予必要权限，在服务层限制网关和工具调用提权行为，同时支持沙箱运行模式，将智能体隔离在独立环境，避免权限扩散引发系统性风险。

针对“不要使用可疑技能包”：ClawSec作为Skills技能包的“安全检查员”，通过开源组件扫描和供应链检查，从源头识别恶意代码和漏洞，运行中实时匹配恶意命令关键字，拦截“下载ZIP”、“执行shell脚本”等高危操作，对要求输入密码的技能包进行风险提示。

针对“不要接触不明网站链接和文档”：ClawSec基于语义分析的实时防护能力，能够对外部输入进行上下文分析，精准识别提示词注入、意图偏移等风险，通过意图识别拦截功能阻断恶意指令执行，从技术层面避免智能体被劫持。

针对“不要禁用详细日志审计”：ClawSec打造“审计日志+安全日志”的双维度审计体系，完整记录智能体的任务执行、工具调用、风险事件等所有行为，支持日志长期存储、多条件检索和外发，实现操作可查、风险可溯，满足用户合规审计需求。

全生命周期防护，“龙虾”安全“上岗”

浪潮云ClawSec围绕资产全生命周期可视化管理、分层级安全策略精细化管控、自动化安全检查与风险闭环、全维度日志审计与可追溯性四大核心能力，打造覆盖从资产识别、策略配置、风险检测到操作审计的全生命周期安全防护体系，从根本上解决用户使用InspurClaw时“看不见、管不了、防不住、审不了”的核心痛点，实现安全防护的体系化、精细化、自动化。

资产全生命周期可视化管理：可快速发现所有实例，清晰呈现资产的运行状态、安全状态、版本信息，让用户对资产状况“心中有数、管控有方”。

分层级安全策略精细化管控：ClawSec打造分层级、可配置的安全策略体系，将防护规则拆解为系统级、服务级、Skills级三大配置模块，每个模块均提供精细化的可配置规则，适配不同行业、不同规模用户的个性化安全需求。

自动化安全检查与风险闭环：通过构建自动化、全维度安全检查机制，实现风险主动发现与闭环处理。检查任务下发后，系统自动进行全维度扫描，实时展示执行状态，执行完成后自动生成详细检查报告，清晰标注风险点、风险等级和整改建议。

全维度日志审计与可追溯性：基于“审计日志+安全日志”双维度的全链路日志审计体系，实现所有操作和风险事件可追溯，满足用户行业合规、内部审计等多维度需求，真正实现所有操作可查、风险事件可证、问题可溯。

AI智能体的发展，是人工智能从 “认知智能” 走向 “行动智能”的重要标志，效率之外，监管合规和安全可控已成为智能体落地的核心前提。未来，浪潮云将持续紧跟国家监管要求，深耕AI安全领域，以技术创新为核心，不断迭代ClawSec安全能力，持续丰富场景化防护方案，助力用户在 AI时代实现安全与效率的双重提升，让AI技术真正成为数字化转型的核心驱动力。