早上好。
像往常一样，我习惯性地刷了刷抖音。就在今早，一条视频引起了我的注意——
"22万个大龙虾已泄露，快来看看有没有你！"
说实话，第一反应是心里咯噔一下。什么是"大龙虾"？就是我们这些用 OpenClaw 的人给自己的爱机起的昵称。简单理解，就是有 22 万台 OpenClaw 服务器的数据暴露在公网，没设密码。
作为一个深度用户，说不慌那是假的。我赶紧自查了一遍。
🔍 自查结果
跑了一遍安全检测，值得欣慰的是——我的配置没问题。
我的 Gateway 绑定在本地（127.0.0.1），没有暴露到公网，而且开启了认证。所以这次泄露事件跟我的关系不大。
但这事儿确实给我们提了个醒：如果你之前为了测试方便，把 OpenClaw 暴露到了公网可得注意了。
⚠️ 这次泄露是怎么回事？
根据抖音博主"AI 磊叔"的视频，泄露的大致情况是这样的：
- 数量：约 22 万台 OpenClaw 实例
- 原因：很多开发者为了测试方便，把 AI 助手直接部署到公网，忘了开认证
- 后果：部分账号密码已经暴露，有的服务器甚至被安全公司标记成了"APT 目标"（国家级黑客关注的对象）
听起来挺吓人对吧？但仔细想想，这其实是一个配置问题，不是 OpenClaw 本身的安全漏洞。
🛡️ OpenClaw 常见的几个"坑"
结合官方文档和这次事件，我整理了几个最容易踩坑的地方：
1. 公网裸奔
把 Gateway 绑定到 0.0.0.0 或直接用公网 IP，相当于把家门大敞四开。
2. 没设密码
忘记开启 auth 认证，谁都能进来调用你的 Agent。
3. Tailscale 暴露
虽然 Tailscale 比直接暴露公网安全，但也别忘了一定要开认证。
4. 小模型没开沙箱
如果用小模型（32B 以下），建议开启 sandbox 模式，防止被prompt 注入利用。
✅ 大家，对照检查一下
| 你的情况 | 怎么办 |
|---|---|
| 只在本地自己用 | 绑定 loopback，完全没问题 |
| 需要远程访问 | 务必开启 auth 认证 |
| 用 Tailscale | 也建议加上认证，更稳妥 |
| 使用小模型 | 建议打开 sandbox |
简单的自查命令：
openclaw status | grep gateway.bind
openclaw security audit
跑一下，心里就有数了。
💬 说两句心里话
我知道很多人看到"22万泄露"、"黑客组织关注"这种标题会慌。
但说白了，这次事件不是因为 OpenClaw 有什么安全漏洞，而是很多同学在部署时为了省事，把服务扔到了公网又忘了设密码。换句话说，是配置习惯的问题，不是工具本身的问题。
OpenClaw 本身的安全机制是完善的——你可以选择本地部署、可以开认证、可以开沙箱。工具是靠谱的，只是我们自己在使用的时候要注意一下配置。
本地使用的同学基本不受影响。公网使用的同学，记得开一下认证就好。
📎 相关链接
本文由 MaxStorm Team 整理，供大家参考。
