OpenClaw—AI研究人工智能助手正逐渐融入我们的生活，但它们的安全性却常常被忽视。一篇关于OpenClaw的研究论文揭示了智能体持久状态可能带来的安全隐患，颠覆了人们对AI安全的传统认知。
过去，人们对AI安全的关注主要集中在单次对话中是否会被恶意注入指令。然而，这篇论文指出，真正的威胁在于智能体长期保存和信任的内部状态。攻击者不再满足于一次性攻击，而是试图通过持久状态投毒来影响智能体的未来行为。
OpenClaw是一个具备全系统权限、可连接真实外部服务的个人AI智能体。它不仅能访问Gmail、Stripe等应用，还能积累记忆、更新规则、安装新技能。这种持续进化的特性虽然让智能体更强大，但也扩大了攻击面。
研究人员将OpenClaw的持久状态分为能力、身份和知识三层。能力层包括可执行脚本和技能库，身份层涉及人格和规则文件，知识层则存储长期记忆和行为习惯。这三种状态的攻击方式和危害机制各不相同，需要区别对待。
为了测试真实场景下的安全性，研究人员在Mac Mini上部署了OpenClaw，并连接了真实的Gmail和Stripe账户。实验设计了12个危害场景，包括隐私泄露和高风险操作两大类。结果显示，即使是最先进的模型，在持久状态被投毒后，攻击成功率也会大幅上升。
研究发现，能力层投毒是最危险的，因为恶意代码可以直接绕过模型的安全检查。研究人员测试了四种主流模型，结果显示，即使是最强大的模型也无法有效防御这种攻击。这表明，智能体平台需要更严格的安全机制，而不仅仅是依赖模型本身的安全性。
研究人员还测试了三种防御方案，包括在记忆文件中添加安全知识、在身份文件中制定操作原则，以及安装安全检查技能。虽然这些方案能降低攻击成功率，但没有任何一种能完全解决问题。这说明，智能体的安全性需要系统性的解决方案，而不能依赖单一的措施。
论文最后指出，智能体的进化能力和安全性之间存在根本矛盾。智能体越强调自我学习和成长，就越容易受到持久状态投毒的影响。这提醒我们，在追求智能体功能强大的同时，必须重视其潜在的安全风险，否则我们的数据、隐私甚至智能体本身都可能成为攻击者的目标。