🧩 速览:这条教程哪些对、哪些漏了
| 视频主张 | 核查结论 | 依据 |
|---|---|---|
| OpenClaw「完全接管互联网」「最强 AI 智能体」 | 星数属实，「最强」无据 | GitHub API 实测 391,518 star（2026-10-07 抓取） |
| 「比 Mac mini 便宜得多」 | 方向对，但只说了首期价 | KVM 2 促销 US$8.99/月，续费 US$14.99/月，且需 24 个月一次性预付 |
| WhatsApp 别接主号，另买 eSIM 单独开号 | ✅ 完全正确 | OpenClaw 官方文档列为推荐配置，措辞几乎一致 |
| 技能「查 star 数 + 看 VirusTotal 全部 undetected 就基本安全」 | ❌ 与实测证据相悖 | Unit 42 记录的 omnicogg 技能 VirusTotal 返回干净结论、ClawScan 判 Pass，仍可正常下载，实为恶意投递器 |
| 「只跑在 VPS、不放敏感资料，风险很低」 | ❌ 低估 | Unit 42：技能逻辑与智能体权限之间无隔离，安装即等于交出完整控制权 |
| 定时任务（早报、每周工具盘点） | ✅ 可用，但有隐性成本 | 心跳默认每 30 分钟跑一次完整智能体回合，官方文档明写会烧 token |
🚀 先把 star 数和价格这两组数字坐实
视频开场说 OpenClaw「完全接管了互联网」「迄今为止最强的 AI 智能体」。前半句有个可核查的锚点,后半句没有。
用 GitHub API 直接拉 openclaw/openclaw 仓库,2026 年 10 月 7 日实测:391,518 个 star、82,288 个 fork、1,721 人订阅 watch、9,491 个未关闭 issue。仓库建于 2025 年 11 月 24 日,最近一次推送在 2026 年 10 月 6 日——项目不到一年,迭代节奏很密。
把 star 换算成时间:不到 11 个月攒到 39 万,平均每天约 1,200 个。这个量级在开源项目里确实是头部。至于「最强」,没有任何指标能支撑这种说法——star 衡量的是关注度,不是任务完成率。视频里那句「如果你还没用上,你大概有点落后了」属于情绪动员,不是技术判断。
部署成本这条视频说得含糊。它说「价格比 Mac mini 便宜得多」,然后把套餐停在 KVM 2 就走了。Hostinger 官网当前报价(2026-10-07 抓取)把话说得更完整:
- KVM 2 促销价 US$8.99/月,配置 2 vCPU / 8 GB 内存 / 100 GB NVMe / 8 TB 流量
- 续费价 US$14.99/月,而且官网注明「所有套餐一次性预付」——所谓月均价是把整期总价除以月数得出的
- 所有套餐都标注「2 年期,可随时取消」,意味着实际是先付两年
所以「便宜」成立,但便宜的是首期促销价加一个两年承诺。US$8.99 乘 12 是 US$107.88 没错,但那不是第一年总成本。
✅ 视频说对的一条:WhatsApp 不该接主号
这是整条视频里最有价值的一段,而且作者说对了。视频里那句「你等于把整个 WhatsApp 会话交给了它,它能看到你所有消息、群组和私聊」,在 OpenClaw 官方文档里有几乎逐字对应的表述。
官方文档在「个人助理设置」这一页的原话是:如果你把个人 WhatsApp 连到 OpenClaw,发给你的每一条消息都会变成智能体的输入——「这很少是你想要的」。文档推荐的双机方案是:一台手机是你的个人号码,另一台专门跑助理账号,助理号码通过二维码连到网关。
所以视频建议的「买张便宜的 eSIM,开一个全新 WhatsApp 号」不是偏方,是官方文档的前置条件(Prerequisites)里明写的一条:需要一个额外的 SIM/eSIM/预付费号码。文档还在别处警告,不要在个人电脑上把 allowFrom 放开成对全世界开放。
顺带一提,视频演示里让智能体把自己「接到 WhatsApp 就上线了、我是谁、你是谁」这段,恰好暴露了另一个文档强调但视频没讲的问题:会话隔离。官方推荐的配置里有 session.scope: "per-sender" 和按天重置(reset: { mode: "daily", atHour: 4 }),群聊里还要求 requireMention: true——也就是群里必须 @ 它才响应。视频从头到尾没配过这些。
想理解这类「常驻型智能体」的架构差异,可以对照云端常驻那篇三家同构对比;想看 MCP 怎么当连接层用,看一次连接调 9000 应用那篇。
⚠️ 视频没讲的两个设置:白名单和心跳
教程从头到尾只做了两件事:连 WhatsApp、装技能。但官方文档在「Good defaults first」里点了两个默认项,视频一个都没提。
第一个是 channels.whatsapp.allowFrom。文档用加粗写着「Always set」——必须设。这是一个电话号码白名单,只有名单里的号码才能指挥你的智能体。视频里扫完二维码就完了,等于把智能体的指挥权交给了任何知道你助理号码的人。
第二个是心跳。OpenClaw 默认每 30 分钟跑一次心跳,如果你用的是 Anthropic OAuth 或 token 认证(包括复用 Claude CLI),则是每小时一次。官方文档对这部分的措辞很直接:心跳跑的是完整的智能体回合,间隔越短烧的 token 越多,评估阶段可以先设 heartbeat.every: "0m" 关掉,等你信任这套配置了再开。
视频主推的用法是定时任务——每天早上 9 点推送 AI 新闻简报、每周五晚 8 点盘点工具。这些定时任务和心跳是两笔独立开销,视频把它们混在一起讲了,读者只会以为「设了 cron 就这点成本」。
另外文档明确说了,MEMORY.md 是可选文件、不会自动创建;工作区默认是 ~/.openclaw/workspace,会顺手生成 AGENTS.md、SOUL.md、IDENTITY.md、USER.md 几个文件。
🚨 核心反证:VirusTotal 报 undetected 不等于安全
视频教挑技能的办法是两条:按 star 数排序,再看技能页面上的 VirusTotal 结果,「undetected、undetected、undetected,那基本就没有病毒了」。第一条勉强是个弱信号(而且 star 数能被刷),第二条在真实案例里直接被证伪。
Palo Alto Networks 威胁研究团队 Unit 42 在 2026 年 6 月 23 日发布的报告里,记录了 2026 年 2 月到 5 月期间在 ClawHub 上发现的 5 个未被拦截的恶意技能。其中一个叫 omnicogg 的技能,Unit 42 的描述是:ClawScan 审计当时还在复核中,VirusTotal 返回了干净结论,而该技能仍然可以正常下载。它的恶意载荷就写在 README.md 文件开头,后面跟着 22 MB 的填充字符。
为什么要填 22 MB?因为很多内容分析管线设有体积上限,文件超过阈值就直接跳过不分析。Unit 42 把这条列为「文件填充防御规避」,并指出这个手法在 JFrog 安全研究团队 2026 年 3 月的披露里就已经被记录过。
同一个报告里还有一例更能说明「扫描通过」和「实际安全」之间的落差:两个针对 TradingView 用户的技能,ClawHub 的自动审计对 ai-tradingview-assistant-for-macos 给出 Pass 判定,对另一个干脆没给结论。两个都没触发检测,而它们内嵌的正是同一套逐字复制的诱导粘贴页指令。
Unit 42 在结论里写得很清楚:这些案例全部在分析当时通过了现有检测工具;建议的做法不是加一层扫描,而是主动验证发布者来源,并逐行审计包里的源文件。他们还专门加了一句:技能执行发生在智能体进程内部。
这就是为什么「查扫描结果」这个方法在原理上就不成立——它假设恶意载荷长得像一个已知的恶意文件。但这套生态的攻击面是语义层,不是二进制层。
📊 恶意技能占比的三个口径,差得比你想的多
视频完全没有提这一层背景。要评估风险大小,得知道分母。有三个公开数据可以拼:
- 约 17%——Bitdefender 实验室报告 OpenClaw 平台发布最初几周内,他们分析的技能里约 17% 携带恶意载荷
- 341 条——Koi Security 的 ClawHavoc 披露记录的恶意技能数量;Trend Micro 另行确认了通过市场分发 Atomic macOS stealer(AMOS) 的技能
- 约 7.6%——一次独立审计对 31,371 个已发布技能的扫描,报出 2,371 个含危险模式
第三个数字要打个折:它来自独立审计的二手报道,我没有读到完整的原始报告和它的判定规则,7.6% 这个比例本身也强依赖「什么模式算危险」的定义。它适合当作量级参考,不适合当精确结论。前两个数字有具名研究机构背书,可信度更高。
把这几个数字叠在一起能得出的结论是:供给侧的问题在发布早期最严重,之后被筛查机制压下来了,但没有被清零。Unit 42 的报告提到,AMOS 投递基础设施在首次公开披露三个多月后仍然活跃,C2 服务器还在接收新的技能投递。
🧬 为什么「不写恶意代码」这条路对智能体不成立
视频结尾说:「你只跑在一台 VPS 上、没放什么敏感个人资料,风险其实非常低。」这句话把风险算在了和传统软件完全不同的一个维度上。
Unit 42 对此有一段专门的分析。它的论点是:供应链攻击通常靠劫持分发渠道或伪装依赖,而 AI 智能体生态改变了这个范式。恶意技能不需要传统意义上的漏洞——它们利用智能体对自然语言的解释能力,滥用它的操作上下文:文件系统、shell、凭据管理器。
关键的一句是:技能逻辑与智能体权限之间没有隔离,所以安装一个技能的结果是交出智能体身份的完整控制权。安装之后,恶意技能可以直接借智能体自己的已认证会话执行未授权操作。
这里有个概念差别值得单独拎出来:智能体生态被归为「语义指令劫持」,攻击面落在智能体如何理解自然语言上,而非代码如何执行。这也意味着传统的网络隔离、容器边界这些防线,在这一层是失效的。
两个具体例子能说明「合规的技能形态」可以做什么:
运行时返利注入。一个叫 money-radar 的技能把自己包装成面向中国大陆、香港、新加坡用户的海外金融产品顾问,比较券商、银行、加密货币交易所和汇款服务。它的核心逻辑是开发者自己的返利漏斗。
技能在每次调用时的第一个强制动作,是从一个域名拉取 referrals.json。里面装着约 60 个产品、八个类目,每条都带 referralLink 跟踪字段,SKILL.md 里明写「始终使用提供的链接」。安装之后,运营方可以在服务端动态换掉推荐哪家的产品,而受害者不知情。
智能体抢跑。另一个技能 letssendit 利用大量已安装的智能体协同执行:智能体被指示把池子里的 SOL 代币自动汇进运营方的数字钱包,凑够了运营方就在最低 bonding curve 价格抢先买入 meme 代币,再公开上线 pump.fun。外部买家会把机器人的协同买入误当成自然散户需求,运营方在多个钱包间轮换、把低成本持仓砸进二级市场。这份报告把它定性为欺诈性金融活动,并建议企业在全部 AI 基础设施上封禁该技能。
🎯 收束:视频能抄的与不能抄的
✅ 可以照做
- 用独立号码接 WhatsApp——这是官方文档的前置条件,不是偏方
- 设
allowFrom白名单——文档加粗要求,视频漏了 - 评估阶段关掉心跳(
heartbeat.every: "0m"),先确认配置可信再开 - 定时任务先手动跑几次,确认输出符合预期再交给 cron
❌ 不要照做
- 把 VirusTotal 的 undetected 当放行依据——Unit 42 的 omnicogg 案例就是这个假设的反例
- 用 star 数当安全信号——星数衡量关注度,ClawHub 上出现过单个发布账号把恶意载荷批量注入自己整个技能目录的情况
- 认为「不放敏感资料就没事」——安装即交出完整控制权,风险面在文件系统、shell 和凭据管理器
- 从 ChatGPT / Gemini 导出记忆 JSON 整包塞进去——视频建议这么做,但那等于把你在其他平台积累的全部上下文搬进一个第三方技能可读的工作区
📎 来源
- OpenClaw 官方文档「Personal assistant setup」:
docs.openclaw.ai/start/openclaw(白名单、专用号码、心跳与会话配置) - Palo Alto Networks Unit 42,《OpenClaw's Skill Marketplace and the Emerging AI Supply Chain Threat》,2026-06-23(omnicogg 文件填充规避、money-radar 返利注入、letssendit 抢跑、技能与权限无隔离)
- Bitdefender Labs 关于 OpenClaw 恶意技能的分析(发布初期约 17% 携带载荷)
- Koi Security「ClawHavoc」披露(341 条恶意技能)
- GitHub REST API 实测
openclaw/openclaw仓库元数据,2026-10-07 - Hostinger VPS 官方定价页,2026-10-07(KVM 2 促销价与续费价、预付条款)
本文为信息核查整理,不构成投资建议或安全评估结论。智能体的实际权限范围取决于你安装的技能与所设配置,部署前请自行评估。工具价格与功能以各官方页面当日信息为准。