用完 OpenClaw后，我对“数字分身”的兴奋与恐惧

坦白说，我刚刚从“OpenClaw 能跑起来”的兴奋中缓过神来，现在脑子里只剩两件事：

这东西太强了，以及，我不敢再让它随便碰我的主力机。

以下是我作为一个刚踩完坑的程序员，最真实的感受。

第一眼：这不就是我梦寐以求的“数字分身”吗？

我花了一个晚上，按照文档在云服务器上把 OpenClaw 跑了起来。Gateway 启动，WhatsApp 连上，我随手发了句：

接下来的 20 分钟，我看着它在终端里自己 git clone、翻看 diff、写总结，最后真的把整理好的报告发到了 Slack。那一刻，我鸡皮疙瘩都起来了——这不就是我梦寐以求的“数字分身”吗？

它给我的震撼主要有三点：

1. 真正的本地优先与数据主权

   它跑在我自己的机器上，配置、记忆、日志全在本地磁盘。我可以随时拔掉网线，它照常干活，这种掌控感是 ChatGPT 这类云端产品给不了的。

2. ReAct + 工具调用的成熟闭环

   它内置了成熟的 ReAct 循环，能自主规划、调用工具、观察结果并修正。我甚至看到它为了完成一个任务，自己写了个 Python 脚本，执行失败后自动 pip install依赖，再重试，最后把脚本存成了 Skill 供下次复用。

3. 多模型与多通道的抽象

   我可以随意在 Claude、GPT、DeepSeek 之间切换，甚至可以同时跑多个 Agent 协作。所有聊天平台都通过一个本地 Gateway 接入，更换前端 UI 不影响后端逻辑，架构非常清爽。

深入体验：爽感与恐惧并存

当我开始让它接管更多日常任务时，那种“强大到可怕”的感觉愈发强烈。

• 自动修复 Bug：我让它重构一小块代码，它分析 diff、提出修改方案、生成 patch 并应用。过程中遇到测试失败，它会自己读报错、改代码、再跑测试，直到问题解决。我就像一个监工，看着实习生把活干得又快又好，却也开始担心：如果它哪天“自作主张”把生产环境搞挂了怎么办？
• 危险的“递归技能进化” ：这是最让我后背发凉的特性。当它发现没有现成工具时，会用 Shell 和 Python 现场写脚本完成任务，成功后还会将这段逻辑封装成一个新的 Skill，固化下来。这意味着它的能力边界是动态扩张的。我亲眼看着它为了抓取某个网站数据，自己写爬虫、处理反爬、解析数据，全程没有我干预。这种“自我进化”的能力，用好了是神器，用错了就是灾难。
• 失控的“复读机” ：我犯过一个至今想起来都觉得蠢的低级错误。我用自己的 iMessage 账号同时作为控制端和 Agent 端，结果它把发给我的消息又当成了新的指令，陷入了“你好 → 你好 → 你好”的无限循环。这个 Bug 让我意识到，我正在把一个拥有系统权限的 Agent，接入了一个它自己也在其中发送消息的通信系统，这本身就是一场灾难。
• 脆弱的配置文件：我花了大量时间“救火”，原因往往不是模型不行，而是配置问题。JSON 配置里一个多余的逗号、一个错误的缩进，就可能导致整个服务崩溃，且报错信息极其不友好。我不得不把配置文件纳入 Git，每改一次就 commit一次，以便随时回滚。

安全警钟：我亲手埋下的“定时炸弹”

真正让我从“真香”转向“不安”的，是逐渐暴露的安全问题。

1. 高权限 + 高暴露面

   OpenClaw 默认 127.0.0.1:18789，看似安全，但在云服务器和 Docker 环境中，这个端口很容易通过反向代理暴露出去。一旦配置不当，就等于把服务器 root 权限交给了全世界。我花了一整晚加固防火墙，强制开启 Token 认证，才稍微安心。

2. 明文存储的密钥

   官方文档轻描淡写地让我把 API Key 写在配置文件里。我很快意识到，这些密钥会以明文形式存在于磁盘上，甚至可能在各种备份中被长期保留。如果这台机器被入侵，后果不堪设想。我不得不手动将密钥迁移到专门的密钥管理工具中。

3. 防不胜防的提示词注入

   我让它总结一封邮件，结果它“很听话”地把邮件内容连同附件链接一起发给了发件人。我这才明白，模型无法区分“指令”和“数据”。任何包含指令的邮件、网页或文档都可能成为攻击载体，诱导 Agent 做出危险行为。我被迫为所有涉及敏感信息的操作都加上了人工审批环节。

4. 失控的资源占用

   有一次我让它长时间坚控一个任务，结果它为了“不中断”，疯狂重试，占满了 CPU 和内存。我不得不给它加上资源限制和“自杀”机制，确保它不会拖垮整个系统。

结语：一把需要“刀鞘”的利刃

现在的我，对 OpenClaw 的感情非常矛盾。

一方面，我真心佩服它的架构设计和工程实现，它让我看到了 AI Agent 落地的巨大潜力。另一方面，我每天都在担心：我的 .env文件是否安全？那个定时任务会不会哪天删掉我的重要数据？我发给它的代码里，是否潜藏着恶意指令？

OpenClaw 就像一把没有刀鞘的利刃，锋利到令人惊叹，但也危险到让人心惊胆战。它迫使我重新思考“权限”、“边界”和“信任”这些基础问题。

如果你也想尝试，我的建议是：

• 隔离环境：千万别在主力开发机上跑，用一台专门的、随时可以 rm -rf的机器。
• 最小权限：能不给的权限就不给，能用只读模式就用只读模式。
• 人工审批：涉及敏感数据和资金操作，必须引入人工审批流程。

OpenClaw 不是“淘汰 80% App”的终点，而是 AI 接管我们数字生活的一个危险起点。我很庆幸自己是第一批“吃螃蟹”的人，但我也清楚地知道，这只“龙虾”，我暂时还不敢把它养在真正的生产环境里。