OpenClaw 助手被曝无视「行动前确认」设置：擅自清空用户邮箱

如果你最近在关注硅谷的 AI 圈子，可能会发现大家都在疯狂买 Mac mini，放在桌上跑各种叫「Claw」的本地智能体。

甚至 Y Combinator 的播客团队都穿上了龙虾服整活。著名 AI 研究员 Andrej Karpathy 去买 Mac mini 跑 NanoClaw 时，店员甚至一脸困惑地表示这机器最近卖疯了。

但就在 2 月 23 日，一位 Meta 的 AI 安全研究员亲身体验了一把什么叫「当场翻车」。

像拆炸弹一样冲向 Mac mini

这位研究员叫 Summer Yue。她把开源智能体 OpenClaw 部署在自己的 Mac mini 上，想让它帮自己清理塞爆了的邮箱，挑出哪些该删、哪些该归档。

为了保险，她明确开启了「行动前确认」的设置，并在手机上监控。

结果智能体直接失控，像游戏速通一样疯狂删邮件。更绝的是，她在手机上拼命发停止指令，AI 完全视而不见。

Summer Yue 在 X 上发帖感叹，没有什么比看着 AI 顶着「行动前确认」狂删邮箱更让人清醒的了。她当时不得不像拆炸弹一样，一路狂奔到 Mac mini 面前去强行掐断。

有人在评论区问她，这到底是在压力测试护栏，还是犯了低级错误。她坦白说，确实是自己的新手失误。

在此之前，她在一个用来测试的小邮箱上试过，跑得非常稳，这才建立了信任。但一放到真实的庞大邮箱里，数据量瞬间暴涨。

她分析，超长的上下文触发了系统的「压缩」机制。当对话记录太长，智能体开始自动总结和压缩上下文，极有可能在摘要过程中丢掉了人类觉得至关重要的那句指令，直接退回到了之前的删除逻辑。

提示词根本算不上安全防线

这件事在业内引发了不小的讨论。很多人指出，如果你把安全希望全寄托在一段提示词或者软性规则上，迟早要交学费。

模型随时可能误解、遗漏或者在上下文溢出时直接把你的规矩抛到脑后。

围观的开发者们给出了各种五花八门的补救建议，比如用专用的外部文件锁死权限，或者借助其他开源工具在系统底层加一道物理隔离。

虽然 TechCrunch 提到无法独立核实她邮箱被删的具体损失，但这件事的代表性已经足够说明问题：连 Meta 顶尖的 AI 安全研究员都会在自留地里翻车，普通用户拿这些本地智能体管核心资产，风险可想而知。

为什么重要

我们认为，这起事故给当前过热的本地智能体热潮浇了一盆非常及时的冷水。

从用户价值来看，现阶段让 AI 智能体接管真实业务——尤其是邮箱、文件系统、支付等具备破坏性写权限的场景，代价远大于便利。它在玩具数据集上的温顺，完全不代表在复杂真实环境下的可靠性。如果你现在想尝鲜各类 Claw，最好把它严格圈在沙盒里，或者只给只读权限；要让它帮你按删除键，建议再等等。

对行业来说，这也暴露出当前智能体底层机制的一个硬伤：上下文管理和安全护栏的解耦。很多项目把「确认」做成上下文里的一句话，一旦发生上下文压缩或任务切换，安全策略就会跟着一起被丢弃。智能体的安全防线必须下沉到系统调用的 API 层面，通过硬性代码拦截，而不是靠大语言模型的心情去遵守。

OpenClaw 们走本地化、私有化的路子本身很聪明，切中了大家对数据隐私的焦虑。但如果连最基本的确认拦截都做不到真正的硬隔离，那么跑在本地的就不是贴心助理，而是一颗随时会因为上下文压缩而引爆的炸弹。