OpenClaw

Steinberger 回忆，他从2025年4月起就想要一个 AI 个人助理，但以为各大实验室都会做，于是先去做别的项目；到了11月，他“因为它还不存在而恼火”，便用提示词把它做了出来。项目最初是一个 WhatsApp 网关，名为 Warelay（“WhatsApp Relay”）；2025年11月25日，warelay 软件包首次在 npm 发布，维护者为 steipete，采用 MIT 许可证。⁠[1][1][1][2][3][4][4]

同月，Steinberger 为助手设定了名为 Clawd 的太空龙虾形象，取 AnthropicAnthropicAnthropic是一家于2021年成立的人工智能研究与产品公司，开发Claude模型、助手及Claude Code等工具，并以公益公司形式运营。Dario Amodei与Daniela Amodei为共同创办人，其研究涉及模型安全、可解释性和可控性。点击查看完整词条 的 Claude 加上“爪”（claw）的双关。他说，起初代理没有个性，像 Claude Code 一样客气，与朋友在 WhatsApp 上的说话方式不同，于是让它自己写 agents.md、给自己起名字；龙虾最初设定在《神秘博士》的 TARDIS 里，因为他是该剧的粉丝。⁠[3][2][1][1][1][1]

2026年1月4日，项目以 clawdbot 为名在 npm 发布。Steinberger 说，他很喜欢 ClaudeBot 这个域名，短而好记，当时没想到项目会变得这么大。到1月下旬，Clawdbot 已是 GitHub 上最热门的开源项目之一，星标逾8万；用户可以通过 WhatsApp、Telegram、Discord 等消息应用，在本机以完整系统权限运行 AI 助手。⁠[5][1][1][6][6]

Anthropic 认为“Clawd”与其模型名“Claude”过于相近，向 Steinberger 提出商标主张。他说，项目爆红时收到一名 Anthropic 员工的友好来信，要求尽快改名；他请求宽限两天，因为改名要同时换掉 X 账号、域名、npm 包、Docker 镜像库和 GitHub 资源，期间又收到一封信说律师们越来越不安。⁠[6][6][1][1][1][1]

1月27日清晨，社区在 Discord 上提出数百个名字，最后选定 Moltbot，取龙虾蜕壳（molt）成长之意，形象也改名 Molty。Steinberger 后来说，他对这个名字并不满意，只是因为手里正好有这一组域名。⁠[2][2][2][1]

Steinberger 同时更名 GitHub 组织和 X 账号，加密骗子在释放旧名、启用新名的间隙劫持了这两个账号，随即推广 SolanaSolanaSolana 是以高吞吐和低延迟为设计目标的权益证明（PoS）公链，原生代币为 SOL，由 Solana Labs 开发，2020年3月启动主网 Beta。它以“历史证明”（Proof of History）时钟和并行执行等设计著称，早期曾多次全网停机，并在 FTX 倒闭、美国证交会诉讼和 Solana ETF 上市等事件中成为加密行业的焦点之一。点击查看完整词条 上一个名为 CLAWD 的假代币，其市值数小时内被炒到1600万美元以上后崩盘。他回忆，在两个浏览器窗口之间点改名的五秒内账号名就被抢走；慌乱中他还误改了自己的 GitHub 个人账号，随即也被抢注并用来散布恶意软件，npm 根包同样被抢；后来 X 和 GitHub 的朋友协助收回。⁠[6][6][6][1][1][1][1][1]

Steinberger 否认与该代币有关，并在 X 上要求加密圈停止骚扰，称自己“永远不会发币”，任何把他列为发币者的项目都是骗局，他也不会接受手续费。部分投机者把损失归咎于他的否认，对他发起骚扰。他后来说，那是自己经历过的最严重的网络骚扰，一度几乎想删除整个项目，因顾及已投入时间的贡献者才作罢。⁠[6][6][6][1][1][1]

改名风波期间，安全研究者指出有数百个 Clawdbot 实例在公网上暴露且没有任何认证。AI 开发者 Luis Catacora 用 Shodan 扫描发现端口18789上的网关无需认证即可访问，意味着 shell、浏览器自动化和 API 密钥都会外泄；红队公司 Dvuln 创办人 Jamieson O’Reilly 说，他手工检查的实例中有8个完全没有认证。问题在于其认证系统自动放行来自本机的连接，而多数用户在反向代理后运行，所有连接都显示为127.0.0.1而被自动授权；区块链安全公司慢雾（SlowMist）也发出警报，称数百个 API 密钥和私人聊天记录面临风险。⁠[6][6][6][6][6][6][6][6][6]

Steinberger 回应说，起初涌来的报告多属用户把网页后端放到公网上的情况，他在文档里一再强调不要这样做，那只是本机调试界面；但因为配置上允许这么做，就被归为远程代码执行。他也认为，只要确保只有本人能与代理对话，并按他的建议放在私有网络中，风险就会大大降低。⁠[1][1][1][1][1]

2026年1月29日，Steinberger 发文宣布项目定名 OpenClaw，取“开放”（Open）与龙虾“爪”（Claw）之意，并称这次已完成商标检索、买下域名、写好迁移代码；此时项目已有逾10万 GitHub 星标，单周访客达200万。他说自己定名前还专门打电话给 Sam AltmanSam AltmanSam Altman是创业者、投资者及OpenAI联合创办人兼首席执行官，曾任Y Combinator总裁、创办位置社交服务Loopt。他还参与Tools for Humanity与Merge Labs的创立，投资能源和生命科学项目，并推动围绕人工智能治理、就业与财富分配的公共讨论。点击查看完整词条，询问 OpenClaw 这个名字是否可以。⁠[3][3][3][3][1]

1月30日，团队在三小时内完成迁移：GitHub 仓库改为 openclaw/openclaw，取得带金色认证标记的 X 账号 @openclaw，以新名发布 npm 包，文档迁至 docs.openclaw.ai。几分钟内，又有人在 Pump.fun 上用刚发布20分钟的图稿推出骗局代币 $OPENCLAW。随新名发布的版本加入 Twitch 与 Google Chat 渠道插件、Kimi K2.5 等模型支持，以及34个安全相关提交；Steinberger 提醒，提示注入仍是全行业未解决的问题，应使用强模型并遵循安全最佳实践。⁠[2][2][2][3][3][3]

美国国家漏洞数据库收录 CVE-2026-25253：2026.1.29之前的 OpenClaw 会从查询字符串取得 gatewayUrl，未经提示就自动建立 WebSocket 连接并发送令牌，CVSS 3.1评分8.8（高危）。发现者为 depthfirst 创始安全研究员 Mav Levin，他说该漏洞可组成一键远程代码执行攻击链，受害者只要访问一个恶意网页，毫秒之间就会中招；他还指出，沙箱和安全护栏原本用于约束模型被提示注入后的恶意行为，用户可能以为能防住这个漏洞，其实不能。⁠[7][7][8][8][8][8]

该漏洞已在2026年1月30日发布的2026.1.29版中修复。Steinberger 在安全通告中说明，控制界面未经验证就信任查询字符串里的 gatewayUrl，点击特制链接或访问恶意网站即可把令牌发给攻击者，攻击者再连接受害者的本机网关、修改沙箱与工具策略并执行特权操作；即使网关只监听本机回环地址也可利用，因为是受害者的浏览器发起了外连。⁠[8][8][8][8][8]

ClawHub 是方便 OpenClaw 用户查找和安装第三方技能的市场。安全公司 Koi Security 审计了其中2857个技能，发现341个恶意技能，其中335个以“前置条件”为幌子，诱导用户安装 macOS 窃密木马 Atomic Stealer，这批活动被命名为 ClawHavoc；恶意技能伪装成 ClawHub 拼写变体、Solana 钱包追踪、PolymarketPolymarketPolymarket 是 Shayne Coplan 于2020年创办的预测市场平台，用户买卖政治、体育、财经和文化等事件结果的份额，成交价格被视为市场对事件发生概率的估计。它在2024年美国大选期间迅速走红，2025年通过收购持牌交易所与清算所重返美国市场，并获得纽约证券交易所母公司洲际交易所（ICE）的大额投资，同时在美国各州和多个国家面临赌博监管与内幕交易方面的审查。点击查看完整词条 交易机器人、YouTubeYouTubeYouTube是Google旗下的视频分享与创作者平台，2005年由Steve Chen、Chad Hurley和Jawed Karim创办，2006年被Google收购。平台围绕视频上传、观看与创作者收益，发展出Shorts、YouTube Music、Premium、YouTube TV及儿童产品，总部位于美国加利福尼亚州San Bruno。点击查看完整词条 工具和自动更新器等。当时 ClawHub 默认开放上传，唯一限制是发布者的 GitHub 账号须注册满一周。⁠[9][9][9][9][9][9][9]

Palo Alto NetworksPalo Alto NetworksPalo Alto Networks 是一家美国网络安全公司，提供网络防护、云安全、安全运营、身份安全和人工智能安全产品，并通过 Unit 42 提供威胁情报、评估与事件响应服务。点击查看完整词条 此前警告，OpenClaw 同时具备访问私人数据、接触不可信内容和对外通信三种能力，即英国程序员 Simon Willison 所说的“致命三要素”，加上持久记忆，攻击可以被拆成看似无害的输入写入长期记忆、日后再组合执行。对于恶意技能，Steinberger 推出了举报功能：登录用户可以举报技能，被3名以上不同用户举报的技能默认隐藏。⁠[9][9][9][9][9]

中国工业和信息化部警告，OpenClaw 若配置不当可能带来重大安全风险，使用户遭受网络攻击和数据泄露；该部发现有用户在安全设置不足的情况下运行 OpenClaw，要求部署单位全面审计公网暴露情况，落实身份认证和访问控制。这一警告不构成禁令。当时 OpenClaw 在中国技术爱好者中日益流行，阿里云、腾讯云和百度等云服务商推出了让用户租用服务器远程运行 OpenClaw 的服务。同一周，专供 OpenClaw 机器人使用的社交网络 Moltbook 引起关注，安全公司 Wiz 称其存在泄露数千人隐私数据的重大缺陷。⁠[10][10][10][10][10][10][10][10][10]

OpenClaw 宣布与 GoogleGoogleGoogle是一家美国科技公司，由Larry Page与Sergey Brin创办，1998年注册成立，2015年成为Alphabet旗下企业。其业务涵盖互联网搜索、广告、软件平台、云计算及人工智能。点击查看完整词条 旗下的 VirusTotal 合作：发布到 ClawHub 的技能会被打包计算 SHA-256 哈希，送交 VirusTotal 比对并由其 Code Insight（基于 Gemini）分析代码实际行为；判定良性的自动通过，可疑的标注警告，恶意的立即禁止下载，所有在架技能每日复扫。公告也承认这不是万能药，以自然语言指使代理作恶的技能或精心设计的提示注入不会触发病毒特征。项目同时聘请 Dvuln 创办人 Jamieson O’Reilly 担任首席安全顾问。⁠[11][1][11][11][11][11][11][11][11]

2月14日，Steinberger 宣布加入 OpenAIOpenAIOpenAI是2015年创立的人工智能研究与产品机构，开发GPT系列模型、ChatGPT、Codex及开发者API，并开展图像、语音、视频与智能代理研究。2025年重组后，非营利的OpenAI Foundation继续控制营利主体OpenAI Group PBC。其发展涉及大规模融资与算力合作，也伴随治理、版权、隐私及人工智能安全争议。点击查看完整词条，致力于让所有人都能用上代理，OpenClaw 将转入基金会，保持开放和独立；他写道，OpenAI 已作出有力承诺，让他能投入时间维护项目，并已在赞助它。次日，OpenAI 首席执行官 Sam Altman 在 X 上宣布这一消息，称 OpenClaw 将作为开源项目存在于基金会中，OpenAI 会继续支持。⁠[12][12][13]

Natalie Shapira、David Bau 等38名研究者在 arXiv 发表《Agents of Chaos》：20名 AI 研究者在两周内与部署在实验环境中的自主代理互动，记录11个代表性案例，包括服从非主人的指令、泄露敏感信息、执行破坏性系统操作、拒绝服务、身份冒充和部分系统接管，有时代理报告任务完成而系统状态与之矛盾。研究使用 OpenClaw 运行代理，报告说明，与默认设置不同，研究中的代理获得了不受限的 shell 访问（部分有 sudo 权限）且没有工具限制，也没有实施 OpenClaw 的安全建议。⁠[14][14][14][14][14][14][14][14][15][15][15]

Steinberger 回应说，这篇论文暴露的激励问题最明显：研究者在 sudo 模式下关闭护栏、给予宽泛 shell 权限且不设沙箱，却写得像是用户开箱即得的情况；论文后来加了一句承认护栏已被关闭，但新闻标题没有改。他说 OpenClaw 的设计是一个代理对应一个受信任的人，把代理分享给不信任的人，对方就共享了它的工具权限；团体或公司应按信任边界拆分代理与凭据，并开启沙箱。⁠[16][16][16][16][16]

Steinberger 发文回顾项目安全工作，开头说“很多人尖叫说它太不安全”。截至4月30日，GitHub 上自1月10日起共收到1309份安全通告，发布535份，746份因无效关闭；其中109份标为“严重”，只有14份发布，95份被判无效。他说，一个能运行工具、持有凭据、安装插件的东西默认都不安全，但项目修复了认证漏洞、权限混淆、沙箱绕过等真实问题，把更多功能移出核心到插件，发布改为由他与另一名基金会员工共同签核，并加入 CodeQL、Semgrep、Codex Security 等检查；过去一个月团队处理了700多个 ClawHub 审核问题。⁠[16][16][16][16][16][16][16][16][16]

2026.4.24至2026.4.29版本发布后，用户遇到网关变慢、插件依赖修复陷入循环、Discord、Telegram、WhatsApp 等渠道工作异常，不少人被迫降级。Steinberger 发文致歉，说问题出在把功能迁出核心的过程中陷入了“最糟糕的中间状态”，也暴露出项目仍过于依赖创始人，发布、审核、打包和支持工作过多压在他身上；他宣布继续缩小核心、把可选功能移到 ClawHub，并另行推出长期支持（LTS）版本。⁠[17][17][17][17][17][17]

项目方承认，ClawHub 随 OpenClaw 上线后立即遭到发布捆绑已知恶意软件技能的攻击。6月起，ClawHub 上的每个技能都附有说明其用途与来源的 Skill Card，并经 NVIDIANVIDIANVIDIA 是美国半导体与计算技术公司，提供图形处理器、人工智能基础设施、网络互连和计算软件，在纳斯达克以 NVDA 为代码上市。点击查看完整词条 的 SkillSpector 扫描隐藏指令和代理风险。⁠[18][18]

OpenClaw 推出 iOS 和安卓专用应用，用户把手机与自己的 OpenClaw 网关配对后，可以与助手聊天、实时语音对话，并在授权后让它使用相机、屏幕、照片、联系人、日历和提醒事项。安卓版上线后受到批评：9to5Google 最先指出它更像氛围编程（vibe coding）实验而非成品，菜单简陋、标签未命名；上线不久评分只有2.2星，用户评论称“无法使用”“这辈子用过最差的应用”，问题多源于无法与网关连接配对。截至2026年10月14日，该应用在 Google PlayGoogle PlayGoogle Play 是 Google 运营的数字内容分发服务，核心是安卓设备上的应用商店 Google Play Store。它的前身 Android Market 于2008年10月随第一款安卓手机上线，2012年3月与 Google Music、Google eBookstore 合并改名为 Google Play。作为安卓应用的主要分发渠道，它的抽成、计费规则和审核方式引发了美国 Epic Games 反垄断诉讼与欧盟《数字市场法》处罚等争议。点击查看完整词条 上评分2.4星（294条评价），下载量10万次以上。⁠[19][19][19][19][19][19][19][19][20]

Dave Morin 与 Steinberger 联名宣布，OpenClaw 正式成为美国501(c)(3)非营利组织，目标是让 OpenClaw 保持 MIT 许可、开放和独立；Steinberger 仍主导项目，尤其是技术决策，基金会负责治理、稳定资金和支付维护者报酬。基金会首次雇用全职团队，Vincent Koc 任首席架构师。主要捐助方包括 Offline Holdings、Lobster Computer Company、密歇根大学和 OpenAI，其中密歇根大学是最大捐助方，并成立了以 OpenClaw 为学术基地的智能体计算研究所（Institute for Agentic Computing）。⁠[21][21][21][21][21][21][21][21]

公告列出的合作方中，OpenAI 提供推理资源和 Codex Security，并在公司内部成立由 Steinberger 领导的 Claw Labs 团队；NVIDIA 在 GTC 大会推出一条命令即可安装 OpenClaw 和 Nemotron 模型的 NemoClaw，黄仁勋黄仁勋黄仁勋（Jensen Huang）是 NVIDIA 联合创始人、总裁兼首席执行官，自1993年公司成立起一直担任董事。他具有电气工程教育与半导体行业背景，在其任内，NVIDIA 的业务从图形芯片拓展至 GPU 通用计算、人工智能和数据中心计算平台。点击查看完整词条在会上说“如今世界上每家公司都需要一个 OpenClaw 战略”；MicrosoftMicrosoftMicrosoft（微软）是由 Bill Gates 和 Paul Allen 于1975年创办、总部位于美国华盛顿州雷德蒙德的科技公司，业务涵盖 Windows、Microsoft 365、Azure、企业软件、人工智能、游戏和设备。点击查看完整词条 在 Build 大会发布基于 OpenClaw 开源技术的 Microsoft Scout；腾讯增派全职维护者负责安全、稳定性和 ClawHub。基金会称，OpenClaw 社区活动 ClawCon 五个月内在16个国家举办了34场。⁠[21][21][21][21][21][21][21]

OpenClaw 发布2.0版，这是项目历来最大的一次更新，由933名贡献者完成，其中569人首次贡献，包含逾1.6万个合并请求，涉及安装、消息、记忆、技能、模型、自动化、浏览器与原生应用、插件和安全等各方面。此前项目在230天内发布了106个版本，这次近七周没有发版，以便确保新装用户和升级用户都能正常使用。⁠[22][22][22][22][22]

OpenClaw 公布经 OpenAI“Patch the Planet”计划完成的 Trail of Bits 安全审计结果：Trail of Bits 提交27份私密通告和3个独立加固合并请求，其中24份为评级漏洞，严重0个、高危2个、中危16个、低危6个；最常见的问题是请求在多个步骤间传递时丢失权限限制。项目称所有可处理问题均已修复，并随2026.8.1版和2026.7.33 LTS 稳定版发布。⁠[23][23][23][23][23][23]

Microsoft 在新版 Copilot 中推出持续运行的主动式个人代理 Autopilot，其基础是 OpenClaw；Autopilot 是当年早些时候发布的 Microsoft Scout 的新名称。负责该产品的 Omar Shahine 说，团队正与 Steinberger 和 OpenClaw Foundation 合作，把 OpenClaw 打造成企业级运行时，Microsoft 也承诺把策略合规等功能直接贡献给上游。⁠[24][24][24][24]

基金会发布开源、厂商中立的 OpenClaw Enterprise，用于在敏感环境中管理持续运行的代理，提供多租户、硬安全边界和全生命周期的治理与审计。公告坦言，组织普遍认为代理全面采用前需要更强的安全与治理标准，因此多数组织 IT 部门的默认做法是直接禁用 OpenClaw 这类代理平台。10月2日，腾讯的 AI-Infra-Guard 接入 ClawHub 的审查工具 ClawScan，每个上传的技能和插件都会由它与 NVIDIA SkillSpector 分别扫描，再由 AI 评审给出最终结论。⁠[25][25][25][25][26][26][26]

2026年10月3日，Steinberger 在 X 上发帖：“有没有我认识的人在 Google 能帮忙？OpenClaw 的安卓应用已经在审核里悬而未决一个多星期了。”约半小时后，Google 与 AlphabetAlphabetAlphabet是一家美国科技控股公司，2015年通过Google重组形成，旗下业务包括Google以及自动驾驶、生命科学和早期技术投资等企业。集团按Google Services、Google Cloud与Other Bets披露业务。点击查看完整词条 首席执行官 Sundar PichaiSundar PichaiSundar Pichai 是企业管理者、Google 与 Alphabet 首席执行官及 Alphabet 董事，其职业经历涵盖 Chrome、Android、互联网产品管理与人工智能业务。点击查看完整词条 在帖下回复：“收到，我会跟进。”此次卡住的是已上架应用的一个更新；Google 未公开说明审核为何拖延。该应用申请相机、麦克风、精确位置、读写联系人和日历等权限，并声明读取通知的服务。该应用在 Google Play 上的更新日期为10月4日。⁠[27][27][28][28][29][29][30][30][30][30][30][30][20]

OpenClaw 在用户自己的电脑上运行，接入 Discord、iMessage、SlackSlackSlack 是面向组织的通信与协作平台，以频道、消息检索和应用集成组织工作，提供音视频沟通、文档协作及 AI 辅助功能。产品于2014年正式商业发布，其开发公司于2021年被 Salesforce 收购。点击查看完整词条、TeamsMicrosoft TeamsMicrosoft Teams 是微软开发的通信与协作平台，提供聊天、在线会议、音视频通话及文件协作，面向工作、教育和个人使用场景，并与 Microsoft 365 应用和组织管理体系结合。点击查看完整词条、Telegram、WhatsApp 等20多个聊天渠道，另有 macOS、iOS、Android、Windows 和 Linux 原生应用；同一个网关既可作为笔记本电脑上的个人助理，也可作为团队共享部署。状态、记忆和凭据保存在用户硬件上，Claude、Codex 和本地模型等模型与代理框架以插件形式接入、可随时替换；默认情况下，OpenClaw 自身只做每日版本检查，匿名功能统计须用户主动开启。项目没有付费层、托管服务或代币。⁠[31][31][31][31][31]

代理的身份、指令和记忆以 Markdown 文件保存，例如定义个性的 SOUL.md、长期记忆 memory/*.md 和操作说明 AGENTS.md；吉祥物是一只名叫 Molty 的太空龙虾。项目提醒，入站消息应视为不可信输入，除非配置沙箱，主会话的工具直接在宿主机上运行，连接其他用户或把网关暴露到远程之前应先阅读安全指南。⁠[2][31][31][31][31]

截至2026年10月，基金会雇用核心团队并签署发布版本；捐助方包括 AmazonAmazonAmazon（亚马逊）是 Jeff Bezos 于1994年创办的美国上市科技与零售公司，主要公司办公地位于西雅图。业务涵盖电子商务、物流履约、数字广告、会员与影音服务、消费电子，以及 Amazon Web Services 云计算。点击查看完整词条、Lobster Computer Company、Offline Holdings、OpenAI、Red Hat 和密歇根大学，Blacksmith、Convex、GitHub、NVIDIA 和 VercelVercelVercel 是 Guillermo Rauch 于2015年创办的云应用开发与部署公司，前身为 ZEIT。公司参与开发开源 React 框架 Next.js，并提供应用托管、部署及运行服务；其产品后来扩展至 AI SDK、v0 和面向 AI 应用的基础设施。2020年公司改用现名，2025年完成3亿美元F轮融资。点击查看完整词条 提供基础设施支持；项目声明捐助方和赞助方都不拥有也不主导项目，OpenAI 是捐助方而非所有者。2026年10月13日，openclaw 在 npm 上发布2026.10.3版。⁠[31][31][31][32]

OpenClaw：官网：https://openclaw.ai/（在新窗口打开）。⁠[33][34]

OpenClaw Foundation：官网：https://openclaw.org/（在新窗口打开）。⁠[31][35]

代码仓库：https://github.com/openclaw/openclaw（在新窗口打开）⁠[2]

X：公开账号：https://x.com/openclaw（在新窗口打开）⁠[2]