摘要： OpenClaw 在 2026 年 1 月底因 Anthropic 的商標關切，先由 Clawdbot 改名 Moltbot，三天後再定名 OpenClaw。這個快速成長的開源代理能操作瀏覽器、檔案、訊息和系統指令，但研究人員發現暴露的公網控制介面、假冒儲存庫、搶註網域，以及能把不可信輸入接到系統權限的提示注入風險。資安公司也回報企業內未經核准的影子部署，促使 Peter Steinberger 補強文件、安排獨立稽核並新增高風險操作檢查。
GitHub 史上成長最快的開源專案之一，在 2026 年 1 月 30 日倉促走完了兩段式更名的最後一步：Clawdbot 先改成 Moltbot，三天後定名 OpenClaw。推動這場改名的不是行銷考量，而是 Anthropic 的律師——他們認定 Clawdbot 與 Claude 兩個名字太過相似。建立者 Peter Steinberger 為整件事收尾時宣告：「這隻龍蝦已完成蛻殼，進入最終形態。」
對開發社群來說，這則新聞的分量遠超過命名趣聞。OpenClaw 是目前把「個人自主代理」推得最接近大眾的開源實作，而它野火般蔓延的速度，讓自主代理的安全課題從學術論文直接落到真實世界：開在公網上的控制介面、假造的代幣、釣魚用儲存庫，還有企業內網中沒有任何人核准過的特權存取。
七天之內兩度更名
整條時間軸濃縮得厲害。專案於 2025 年 11 月以 Clawdbot 為名開源，到 2026 年 1 月底，GitHub 星數已突破 10 萬。1 月 27 日，在 Anthropic 提出商標關切之後，Steinberger 把名字換成 Moltbot（取龍蝦蛻殼之意）。只隔了三天，1 月 30 日，他宣布再次改名為 OpenClaw，理由講得直白：Moltbot 這名字「唸起來就是不順」。一週內接連兩次改名，把域名與品牌生態攪得一團亂——而混亂，正是詐騙者最好下手的環境。
OpenClaw 到底是個什麼東西
就架構而言，OpenClaw 是裝在使用者自己機器上的開源代理：你用現成的通訊軟體——WhatsApp、Telegram、Slack、Teams、Discord——對它下指令，它再調用雲端 LLM 把任務辦成。它能動手的範圍很寬：開啟瀏覽器、按下按鈕、讀寫檔案、傳送訊息、執行系統指令，而這些動作常常需要逼近系統管理員等級的權限。社群裡甚至有人湊出一批 Mac Mini，組成小型代理機隊，全天候充當代理的宿主機。
TechCrunch 也在同一天記下另一幕：OpenClaw 的代理們動手蓋了一個屬於自己的社群網路 Moltbook，一個讓 AI 代理彼此交流的 Reddit 式平台。代理已經不只是工具，還開始互相往來——這條演進的速度，超出幾乎所有人的預期。
資安圈挖出了哪些問題
Forbes 匯集多方研究後描繪出的景況，很難讓人安心。有研究人員在開放網路上掃到數百個毫無防護的 OpenClaw 控制介面，任何路過的人都能翻閱聊天紀錄與 API 金鑰，甚至直接對代理下命令；Bitdefender 的調查也指向相近的結論。Malwarebytes 提醒注意改名風波周邊冒出的搶註域名與假冒 GitHub 儲存庫——這是供應鏈攻擊動手前的標準布局。The Verge 報導了盜用 Clawdbot 名號的假加密貨幣代幣；Business Insider 則揭露 Steinberger 本人在這段期間遭到騷擾，GitHub 帳號還一度被短暫接管。
更根本的隱患是提示注入（prompt injection）：一支會讀網頁、開檔案、跑指令的代理，形同把不可信的輸入直接焊上你的系統權限。OWASP 早已把這類風險列為 AI 應用的頭號問題，OpenClaw 則等於把它做成了消費級產品。
企業內網早就有了它的身影
最該被經營階層看見的數字，出自兩家資安公司。Token Security 的發現是：22% 的客戶企業裡，一週內就有員工用起 Clawdbot 的變體；Noma Security 則回報，超過半數的企業客戶內部，有人在未經核可的情況下授予代理特權存取。說白了，IT 部門的政策還停在紙上，影子代理部署早已發生。
Steinberger 如何接招
排山倒海的質疑面前，Steinberger 沒有閃躲：他補強了安全文件、委請獨立安全稽核，並導入自動化檢查來擋下高風險操作。這樣的態度值得記上一筆，但也照出了開源自主代理的深層矛盾——修補的速度，永遠趕不上數十萬使用者天馬行空的玩法。想把這波浪潮收進工作流程的團隊，務實做法是：先放進隔離環境試跑、權限只給到最小、把所有對外的介面封死，而凡涉及金錢與憑證的操作，一律留在人工審核的關卡之內。