OpenClaw：1 月走红却没人教怎么设置的私人 AI 智能体

OpenClaw：那个一月份爆火、却没人解释怎么安装的个人 AI Agent 2026 年 8 月 25 日 · 7 分钟阅读 · 查看原文 ↗ AI Marketing Claude Hardware OpenClaw：那个一月份爆火、却没人解释怎么安装的个人 AI Agent 2026 年 1 月中旬，X 上充满了一种奇怪又具体的帖子：终端窗口的截图，以及刚拆箱的 Mac Mini 的照片，配文的人以前从没发过买硬件的内容。几周之内，它背后的项目就突破了 60,000 个 GitHub star，到春天已经超过 180,000。附着在这一切之上的名字是 Clawdbot——后来改了名，因为 Anthropic 指出 "Clawd" 听起来和 "Claude" 有点太像了，让人不舒服。它现在最常被叫做 OpenClaw，不过你在更老的帖子和文档里还是能看到它被叫做 Moltbot。 几乎所有发帖讲它的人，都没解释它到底做什么，也没解释正确安装它到底需要什么。这里是真正的指南。 OpenClaw 到底是什么 你用过的绝大多数 AI 工具都住在一个浏览器标签页里——你打开 ChatGPT 或 Claude ai，输入一条消息，得到一个回复，对话就留在那个围墙花园里。OpenClaw 不是这样工作的。它是一个自托管的 agent，在你掌控的一台机器上（你的笔记本、一台家庭服务器、或一台便宜的云主机）作为一个后台服务运行，并且直接接入你已经在用的那些聊天应用：Telegram、WhatsApp、Slack、Discord、iMessage。你像给同事发消息一样给它发文字，而它能行动：读文件、跑命令、浏览网页、并代你执行多步骤任务，而不只是描述你会怎么自己做。 它也是模型无关的。你自带 API key——Anthropic、OpenAI、Venice，或者通过 Ollama 本地运行的模型——OpenClaw 处理编排层，把你的自然语言消息变成你机器上的实际操作。 为什么它不是"带额外步骤的 Claude Code" 人们最容易拿来做类比的是 Claude Code，但两者解决的是不同的问题。Claude Code 住在你的终端里，在你指定的代码库上工作，在一个你启动和结束的会话里。OpenClaw 的设计是永久运行，在后台，随时听你的消息，无论你从哪台设备发消息。它更接近雇一个住家助理，而不是打开一个工具。 安装它：硬件优先 最重要的决定，也是最火热的那些帖子跳过的决定，是它跑在哪。OpenClaw 对安装它的那台机器有真实的访问权——读文件、执行命令、网络调用。把它跑在你主力工作笔记本上，就是那台装着你真实文件和已登录账号的机器上，这是最初热度过后大多数恐怖故事发生的原因。 更安全的选择：一台专用的便宜机器（这也是为什么那么多人专门为它买 Mac Mini）、一台没人再用的旧笔记本、或者——完全不需要买新硬件的选项——一台低成本的 Ubuntu VPS。一个基本配置需要 Ubuntu 22.04 或 24.04、2 个或更多 vCPU、以及至少 4GB 内存，这让一个能跑的实例在大多数云厂商那里，一个月几美元就搞定了。 真正的安装 一旦你选好了它跑在哪，安装本身很短： npm install -g clawdbot@latest clawdbot onboard --install-daemon 第二条命令会启动 onboarding 向导，这才是安装的真正核心。它会明确要求你确认你理解 OpenClaw 被授予了这台机器近乎 root 级别的广泛访问权限——你必须输入一段确认文字才能继续，这是一个刻意的摩擦点，不是 bug。从那之后，向导带你选一个模型提供商、输入你的 API key、并选一个网关模式：大多数个人用途选 "local"，如果你把它跑在一台和你实际发消息的设备分开的 VPS 上，就选 "remote"。 配置存在一个纯文本文件里：~/.clawdbot/clawdbot.json，而 OpenClaw 更广泛地使用 Markdown 文件来定义它自己的行为，以及你授予它的具体 "skills"——发一封邮件、创建一个文件、运行一个特定脚本。网关会作为一个正经的后台服务安装（macOS 上是 launchd，Linux 上是 systemd），所以它持续在线，而不是只在终端窗口打开时才运行。 把它连到 Telegram 或 WhatsApp 就在那个 onboarding 流程里完成——你关联账号，从那一刻起，给你的助手发消息就是给一个联系人发消息。 每个爆火帖子都漏掉的部分 OpenClaw 的核心功能和核心风险是同一句话：它能代你读文件、执行命令、发起网络调用。这正是它有用的原因，也正是坏配置危险的原因。 最清晰的例证是一个有记录的、来自一位安全研究员的事件：一封恶意邮件被发给一个脆弱的 OpenClaw 实例。那个 agent 读了它，把内容当成合法指令而不是不可信的输入，然后把用户的最近五封邮件转发到了一个攻击者的地址。整件事只花了大约五分钟。这是一次提示词注入攻击，而且对任何读取它没有主动索取的内容、并把内容当成指令的 AI agent 来说，这是一个已知的结构性风险。 这个项目自己的创作者，Peter Steinberger，对此出奇地直接，而不是轻描淡写：按他自己的说法，大多数非技术用户现在大概还不该安装它，因为它没做完，而那些尖锐的棱角是真实的。截至 2026 年初，这个项目的 GitHub 有超过 350 个未关闭的 issue，其中相当一部分和安全相关。 真正重要的加固清单 如果你无论如何都要跑它——而相当多的人有理由这么干——这些实际的缓解措施很具体，值得在你第一次真正的会话之前做，而不是等出了事之后再做： 把它跑在专用硬件上，绝不要跑在主力工作机上。绝不要把它的端口直接暴露到公网——用 Tailscale 这类私密网络工具代替，并且像保管密码一样保管好网关 token。对任何处理群聊或不可信输入的东西开启沙箱，让那些会话跑在隔离的容器里，而不是拥有对宿主机的完整访问。只授予任务实际需要的最小权限——如果它不需要写文件，就别开文件写入。而对任何会修改系统、给群发消息、或触及高权限账号的操作，要求人工批准，而不是让它自动行动。 诚实的结论 OpenClaw 是一款真正有用的软件，它的爆火并非空穴来风——一个住在你真实聊天应用里、能采取真实行动的 agent，和又一个浏览器标签页聊天机器人相比，是一种意义重大的不同体验。但它也是早期的、自托管的软件，野外已经有一个被记录、且能用的漏洞，由一个坦诚面对自身局限而不是假装它们不存在的团队所构建。 一月份用它体验好的人，不是那些把它当周末玩具装在主力笔记本上的人。而是那些把它当成它实际所是的东西来对待的人：一个碰巧会说人话的特权系统工具，用你对待任何其他拥有机器 root 访问权限的软件时同样的谨慎来配置。 标签：# X # AI # Marketing # Claude # Hardware # Growth # Thread # Guide # Chatgpt 相关文章 GLM-5.2: The Open-Weight Model That Quietly Caught Up to GPT-5.5 Most AI releases in 2026 follow the same script: a closed model from a US lab, a big price tag, and a benchmark table you can't reproduce yourself. You read the announcement, you nod, and you go back… AI Claude Hardware Marketing