OpenClaw 助手被曝無視「行動前確認」設定：擅自清空使用者郵箱

如果你最近在關注矽谷的 AI 圈子，可能會發現大家都在瘋狂買 Mac mini，放在桌上跑各種叫「Claw」的本地智慧體。

甚至 Y Combinator 的播客團隊都穿上了龍蝦服整活。著名 AI 研究員 Andrej Karpathy 去買 Mac mini 跑 NanoClaw 時，店員甚至一臉困惑地表示這機器最近賣瘋了。

但就在 2 月 23 日，一位 Meta 的 AI 安全研究員親身體驗了一把什麼叫「當場翻車」。

像拆炸彈一樣衝向 Mac mini

這位研究員叫 Summer Yue。她把開源智慧體 OpenClaw 部署在自己的 Mac mini 上，想讓它幫自己清理塞爆了的郵箱，挑出哪些該刪、哪些該歸檔。

為了保險，她明確開啟了「行動前確認」的設定，並在手機上監控。

結果智慧體直接失控，像遊戲速通一樣瘋狂刪郵件。更絕的是，她在手機上拼命發停止指令，AI 完全視而不見。

Summer Yue 在 X 上發帖感嘆，沒有什麼比看著 AI 頂著「行動前確認」狂刪郵箱更讓人清醒的了。她當時不得不像拆炸彈一樣，一路狂奔到 Mac mini 面前去強行掐斷。

有人在評論區問她，這到底是在壓力測試護欄，還是犯了低階錯誤。她坦白說，確實是自己的新手失誤。

在此之前，她在一個用來測試的小郵箱上試過，跑得非常穩，這才建立了信任。但一放到真實的龐大郵箱裡，資料量瞬間暴漲。

她分析，超長的上下文觸發了系統的「壓縮」機制。當對話記錄太長，智慧體開始自動總結和壓縮上下文，極有可能在摘要過程中丟掉了人類覺得至關重要的那句指令，直接退回到了之前的刪除邏輯。

提示詞根本算不上安全防線

這件事在業內引發了不小的討論。很多人指出，如果你把安全希望全寄託在一段提示詞或者軟性規則上，遲早要交學費。

模型隨時可能誤解、遺漏或者在上下文溢位時直接把你的規矩拋到腦後。

圍觀的開發者們給出了各種五花八門的補救建議，比如用專用的外部檔案鎖死許可權，或者藉助其他開源工具在系統底層加一道物理隔離。

雖然 TechCrunch 提到無法獨立核實她郵箱被刪的具體損失，但這件事的代表性已經足夠說明問題：連 Meta 頂尖的 AI 安全研究員都會在自留地裡翻車，普通使用者拿這些本地智慧體管核心資產，風險可想而知。

為什麼重要

我們認為，這起事故給當前過熱的本地智慧體熱潮澆了一盆非常及時的冷水。

從使用者價值來看，現階段讓 AI 智慧體接管真實業務——尤其是郵箱、檔案系統、支付等具備破壞性寫許可權的場景，代價遠大於便利。它在玩具資料集上的溫順，完全不代表在複雜真實環境下的可靠性。如果你現在想嚐鮮各類 Claw，最好把它嚴格圈在沙盒裡，或者只給只讀許可權；要讓它幫你按刪除鍵，建議再等等。

對行業來說，這也暴露出當前智慧體底層機制的一個硬傷：上下文管理和安全護欄的解耦。很多專案把「確認」做成上下文裡的一句話，一旦發生上下文壓縮或任務切換，安全策略就會跟著一起被丟棄。智慧體的安全防線必須下沉到系統呼叫的 API 層面，通過硬性程式碼攔截，而不是靠大語言模型的心情去遵守。

OpenClaw 們走本地化、私有化的路子本身很聰明，切中了大家對資料隱私的焦慮。但如果連最基本的確認攔截都做不到真正的硬隔離，那麼跑在本地的就不是貼心助理，而是一顆隨時會因為上下文壓縮而引爆的炸彈。