Notebook OpenClaw风险说明及安全建议

OpenClaw（原名Moltbot、Clawdbot）作为一种能够持续运行的AI智能体，能调用多种大型语言模型，并作为网关，使用户可以通过通讯软件与多个AI模型进行交互，无需在不同平台之间切换，从而简化了操作流程。

Notebook是容器运行时环境，运行环境会在关机时被清理。请通过保存镜像及时保留npm install、apt-get install、yum install、pip install和OpenClaw安装后的配置对话等，以避免Notebook运行环境中的数据或对话session丢失。关于如何保存镜像，请参见保存镜像。

约束限制

Notebook OpenClaw功能仅支持“华北-北京四”区域。

风险说明

ModelArts Notebook实例提供的OpenClaw使用脚本安装。在部署OpenClaw之前，请仔细阅读以下风险说明。

表1 主要风险说明
分类	风险描述	影响分析	策略建议
数据安全：明文存储与认知语境窃取	敏感信息明文存储。取证分析显示，API密钥、Slack/GitHub访问令牌等极度敏感信息均以明文形式存储在本地文件系统的Markdown和JSON文件中。	明文存储关键信息包括：大模型的API Key，聊天平台的接入ID和Token，如果虚机被攻击这些敏感信息会泄露。	OpenClaw架构未优化之前：建议用户对大模型的API Key等信息进行定期更换。
	认知语境窃取风险。memory目录保存了AI的“长期记忆”，不仅包含技术凭据，还包含对用户的心理侧写、工作上下文、私人对话摘要以及人际关系网络。	个人信息泄露。	OpenClaw架构未优化之前：建议用户对大模型的API Key等信息进行定期更换。
	新型威胁形态。这不仅仅是密码泄露，而是“认知语境窃取”。攻击者获得的不仅是密码，更是用户的完整数字生活画像，可用于发起精准的鱼叉式钓鱼攻击或利用AI信任关系进行诈骗。	个人信息泄露。	OpenClaw架构未优化之前：建议用户对大模型的API Key等信息进行定期更换。

表2 攻击手法与策略建议
攻击手法	策略建议
供应链投毒	对于任何敏感操作（删文件、发邮件、转账），必须设置人工确认步骤。遵循“最小权限原则”，只授予AI完成任务所必需的权限，切勿图省事一键授权。
间接提示注入攻击	对于任何敏感操作（删文件、发邮件、转账），必须设置人工确认步骤。遵循“最小权限原则”，只授予AI完成任务所必需的权限，切勿图省事一键授权。
恶意Skills窃取敏感凭证	定期更新OpenClaw： openclaw update 定期进行Skills安全自查： openclaw security audit --deep