360集团把个大消息放出来了。3月22日那天，他们那边传来了风声，说360的安全云团队收到了一封很正式的邮件，信是OpenClaw的创始人Peter写的。Peter在信里头明明白白地确认了，那个Gateway WebSocket无认证升级的漏洞，就是360团队最先独家给挖出来的。现在360把这个高危漏洞已经同步报上去了，目的是帮大伙儿最快速度把风险给掐断。这一次被确认的WebSocket漏洞其实是个零日漏洞，要是给攻击者钻了空子，他们就能通过WebSocket神不知鬼不觉地绕过权限认证，直接把智能体的控制权给抢走。一旦控制了网关，系统的资源可能就会被耗干，甚至整台机子都有可能崩溃。 这个事也给全行业敲了个警钟。现在的智能体不光是个聊天的工具了，成了执行系统，安全风险也就不只是停留在模型层了，很快就延伸到了接口层、技能调用链和系统权限层这些地方。公网暴露接口、恶意Skill投毒、提示词注入还有行为没审计机制这些问题，成了大家在养“虾”（就是指培养智能体）的时候共有的毛病。 360的周鸿祎以前就说过，智能体时代得坚持“以模治模”，也就是用安全的能力去管AI。所以360搞出了一套用AI监督AI、用Skill治理Skill的核心招数。他们还给企业和开发者推出了“360安全云·龙虾保”，专门用来检测智能体部署的风险。针对个人用户他们也搞了个一体化的解决方案叫“360安全龙虾”，里头还有个叫“360龙虾卫士”的组件，能把运行环境给隔离开来再加上严格的权限控制，好让大家在用本地智能体的时候更安心一点。 有业内的朋友觉得，这次能拿到原作者的邮件确认说明国内安全团队开始在智能体的核心执行链路上有了真本事了。这对现在快速发展的智能体生态来说可是个重要的安全参考。360安全云团队也说了以后会一直盯着OpenClaw生态的漏洞挖掘和修复支持，争取让智能体应用在实战里的防御更过硬。