OpenClaw quickstart 跑完，只说明它能用，不说明它安全。我的默认前提是：尽量放进 Docker 或虚拟机里跑，Gateway 只绑本机，工具权限从最小开始，凭据和日志都别乱放。

把 OpenClaw 的漏洞、供应链攻击、社会工程和 AI 失误风险放到同一张图里看，你会发现真正需要警惕的，不只是某一个 CVE，而是 AI Agent 一旦拿到系统权限，局部问题就很容易被放大成整机级风险。

最近全网都在教你怎么快速安装 AI 助手 OpenClaw，但很少有人告诉你：如果装完直接用，就相当于你家大门没锁，任何人都可以连上你的电脑翻相册、看密码，甚至盗刷信用卡。别慌，这篇文章不讲复杂技术，三分钟教你如何安全避坑。