OpenClaw—AI研究过去一年，AI 智能体从演示走向生产环境，也随之第一次真正进入网络攻击的实战链条。与以往 AI 只是辅助撰写钓鱼邮件不同，新披露的事件中智能体开始承担侦察、漏洞利用、横向移动与数据篡改等连续动作，攻击的自动化程度明显提高。
最具标志性的公开案例发生在 2025 年 11 月。Anthropic 披露其威胁情报团队阻断了一起大规模网络间谍行动：攻击者利用 Claude Code 搭建自动化攻击框架，把目标筛选、凭证窃取、权限提升等环节交给模型批量执行，人类只在关键节点介入。据其披露，约 30 个目标被波及，该行动已被 MITRE ATT&CK 收录为 C0062，代号 GTG-1002。
需要说明的是，这起事件并非 AI 完全自主攻击。行动仍由人主导，模型承担的是把零散工具串成流水线、把原本需要多人分工的渗透压缩到极短时间的角色。即便如此，防御方按天计的响应窗口已被压缩到小时级，这本身就是安全模型的改变。
2026 年的新案例把风险推得更近。西班牙数据保护局在 9 月披露，该国出现首例经监管机构确认的 AI 智能体驱动个人数据泄露：智能体扫描漏洞、使用合法的企业凭证、利用缺陷进入系统并修改了个人数据记录。该机构同时提示，细节目前来自受害企业的自报，仍需独立核实。
第二类风险来自智能体自身的权限配置。为了让智能体能够干活，企业往往给它开放邮箱、云盘、CRM 乃至数据库的访问权。一旦提示注入成功，藏在网页、邮件或文档里的恶意指令就可能诱导智能体把内部数据外发，形成事实上的数据泄露通道。
第三类风险在供应链。智能体依赖的 MCP 服务器、插件与第三方技能包数量快速增长，但审计普遍滞后。一个被投毒的工具描述或一个过度授权的连接器，都可能让攻击者绕过模型本身的安全对齐，直接获得系统级操作能力。
应对思路上，业界正在收敛到几条共识：最小权限与按任务临时授权、对高风险动作强制人工确认、对出入智能体的数据做脱敏与审计，以及把 MCP 与插件纳入软件供应链管理。AI 智能体的安全不能只靠模型对齐，更要靠工程与治理的约束。