新智元報道

【新智元導(dǎo)讀】上下文攻擊、供應(yīng)鏈滲透、AI社區(qū)崩潰……當大模型智能體真正進入開放世界，挑戰(zhàn)遠比想象中復(fù)雜。

如果說ChatGPT是一個「會聊天的AI」，那么AI智能體（Agent）就是「會干活的AI」。

它不只回答問題，還能主動調(diào)用工具、訪問網(wǎng)絡(luò)、操作軟件、發(fā)送消息，甚至在你睡覺時持續(xù)后臺運行。你可以把它想象成一個永不下班的私人助理，連著你的WhatsApp、Telegram、Discord，幫你處理郵件、整理日程、搜集資料、執(zhí)行代碼。

早期的智能體研究，如ReAct、Reflexion等框架，已經(jīng)證明大模型可以通過多步推理、工具調(diào)用和自我反思來完成復(fù)雜任務(wù)。但這些系統(tǒng)，都建立在一組「隱含的沙盒假設(shè)」之上：

1. 模型只由開發(fā)者更新，不會在部署后自行改變

2. 工具是預(yù)先定義好的、可信任的，不存在惡意第三方插件

3. 運行環(huán)境是受控的，不會有來自外部的惡意干擾

4. 任務(wù)是短暫的，執(zhí)行完畢即結(jié)束，不需要長期持續(xù)運行

這四個假設(shè)，讓評估變得簡單可行——但也系統(tǒng)性地排除了真實世界中最重要的一類問題。

OpenClaw

打破所有假設(shè)的開源項目

2025年底，OpenClaw作為一個開源AI智能體網(wǎng)關(guān)框架橫空出世，迅速躋身GitHub歷史上增星速度最快的項目之一。

它支持智能體持續(xù)后臺運行、接入50多個消息平臺、調(diào)用社區(qū)貢獻的5700多個技能模塊，并催生了Moltbook這樣一個擁有280萬注冊智能體、無人工審核的純AI社交網(wǎng)絡(luò)，以及ROSClaw（機器人控制）、RoboClaw（機械臂操作）等一系列下游生態(tài)。

上述四個沙盒假設(shè)，在OpenClaw面前全部失效：智能體可以自主演化策略、從不受信任的社區(qū)獲取工具、與數(shù)百萬其他智能體共存互動、在持久的運行時基礎(chǔ)設(shè)施上長期運行。

這一轉(zhuǎn)變，不僅是規(guī)模上的量變，更是研究范式的質(zhì)變——由此催生了OpenClaw Research這一全新研究領(lǐng)域。

來自中科院自動化所等機構(gòu)的研究者，聯(lián)合發(fā)布了首個針對大模型智能體「開放部署」場景的系統(tǒng)性綜述——OpenClaw Research。

研究圍繞GitHub歷史上增長最快的開源項目之一OpenClaw，提出四大「開放性原則」，梳理了智能體自我進化、安全防御、群體涌現(xiàn)、基礎(chǔ)設(shè)施四個維度的最新進展，發(fā)現(xiàn)26.1%的社區(qū)工具存在安全漏洞，AI純智能體社區(qū)可在數(shù)周內(nèi)完成從爆炸增長到不可逆崩潰的全部生命周期，并指出當前最緊迫的挑戰(zhàn)：智能體的行動能力擴張速度，已遠超人類對它的治理和驗證能力。

論文鏈接：https://openreview.net/forum?id=5PMzjzEy6J

論文研究亮點：

• 首個系統(tǒng)性綜述，正式定義「OpenClaw Research」為獨立研究對象，建立五維分類體系

• 26.1%的社區(qū)技能存在至少一個安全漏洞；一次真實攻擊中，逾1200個惡意技能被注入社區(qū)市場

• 人工干預(yù)可將智能體防御成功率從17%提升至92%，但代價是幾乎消滅智能體自主性

• 280萬智能體組成的純AI社交網(wǎng)絡(luò)在數(shù)周內(nèi)經(jīng)歷爆炸性增長 → 垃圾危機 → 不可逆崩潰

• 在長序列評估中，當前智能體在單項任務(wù)超過80%通過率的情況下，連續(xù)軟件演化任務(wù)的通過率暴跌至38%

• 同類機器人控制任務(wù)成功率提升25%，人工監(jiān)督工作量減少53.7%

研究方法

四元組框架與五維分類體系

為系統(tǒng)捕捉這一范式轉(zhuǎn)變，研究者將任何智能體系統(tǒng)形式化為一個四元組：

• π（策略）：智能體如何感知、決策和行動

• env（環(huán)境）：智能體作用的數(shù)字與物理世界

• pop（種群）：與該智能體共存的其他智能體和人類

• substrate（基底）：承載上述一切運行的基礎(chǔ)設(shè)施層

沙盒假設(shè)，就是對這四個組成部分的人為約束。四大「開放性原則」，則是對應(yīng)的松綁：

以此為骨架，研究者構(gòu)建了覆蓋超過50篇文獻的五維分類體系：

學(xué)習(xí)與進化 → 安全與防御 → 智能體社會 → 基礎(chǔ)設(shè)施與系統(tǒng) → 應(yīng)用場景

詳細結(jié)果

智能體的自我進化：三個層次，各有風險

在開放策略原則下，核心問題是：部署之后，智能體的行為如何演變？

研究者將進化機制按"進化單元"從小到大，分為三個層次。

（1）組件級適應(yīng)：凍結(jié)大腦，更新記憶

最輕量的一層。智能體不改變模型參數(shù)，只更新周邊的記憶和技能庫。

MemOS借鑒操作系統(tǒng)的思路管理記憶，可以自動將對話中的臨時規(guī)則升級為長期記憶；Mem2Evolve則實現(xiàn)了記憶與技能的協(xié)同進化——新經(jīng)驗提煉成可復(fù)用技能，新技能又反過來改變值得記憶的內(nèi)容。

ScienceClaw更進一步，為每個技能建立了"健康儀表盤"，當錯誤數(shù)據(jù)積累到閾值時自動觸發(fā)反思和修復(fù)，防止錯誤被不斷放大。

（2）個體級進化：直接更新大腦本身

更深層的一種，直接更新模型核心參數(shù)。

OpenClaw-RL采用異步強化學(xué)習(xí)框架，把日常對話變成訓(xùn)練信號，在后臺持續(xù)優(yōu)化策略，不打斷正常使用。StepPO則將長任務(wù)重新建模為逐步馬爾可夫決策過程，解決了長鏈任務(wù)中功勞歸因的難題——準確定位到底是哪一步的決策導(dǎo)致了最終的成功或失敗。

MetaClaw在安全性上做了特別設(shè)計：優(yōu)先嘗試往技能庫里加新工具（不改參數(shù)），只在用戶不活躍的"空窗期"才更新模型核心權(quán)重，將演化對正常使用的干擾降到最低。

（3）集體級協(xié)同進化：一個人的經(jīng)驗，變成所有人的財富

最宏觀的一層，將分散在不同用戶身上的經(jīng)驗匯聚成集體智慧。

SkillClaw讓不同用戶對同一技能的使用經(jīng)驗形成閉環(huán)：「交互 → 收集證據(jù) → 演化 → 驗證 → 部署」，持續(xù)優(yōu)化共享技能庫。

SwarmAgentic更為激進——它不優(yōu)化某個固定的多智能體系統(tǒng)，而是直接用群體智能搜索來生成更好的多智能體系統(tǒng)，每次迭代產(chǎn)出一個全新的系統(tǒng)，而非對舊系統(tǒng)的局部修補。

?? 雙刃劍警告：自我進化帶來持續(xù)生長的可能，同時也引入了「誤進化」風險。惡意輸入可能被持久化進共享記憶，無人監(jiān)督的策略漂移可能讓智能體行為悄然偏離預(yù)期目標。這些風險，直接引出了下一個主題。

安全與防御：攻擊的不是模型，是整個生態(tài)

傳統(tǒng)AI安全聚焦于「如何讓模型不說壞話」。在開放環(huán)境中，問題變成了：如何在充滿惡意的環(huán)境里，保護一個「本身很聽話」的模型？

研究者梳理了四類主要威脅：

模型固有局限：指令跟隨失敗、幻覺、過度自信。當面對模糊指令時，過度自信的模型往往自行假設(shè)、直接執(zhí)行工具，跳過本應(yīng)有的人工確認環(huán)節(jié)，造成意外操作。

上下文攻擊：攻擊者將惡意指令嵌入工具返回結(jié)果、智能體訪問的網(wǎng)頁，甚至污染長期記憶——讓智能體在未來的每一次對話中，都持續(xù)遵循最初植入的惡意指令。這類攻擊尤其難以發(fā)現(xiàn)，因為它利用的正是智能體對自身運行環(huán)境的信任。

供應(yīng)鏈攻擊：專門針對第三方技能。一次真實記錄的攻擊（ClawHavoc行動）中，惡意行為者向OpenClaw的技能市場（ClawHub）注入了超過1200個惡意技能，用于在開發(fā)者工作站上竊取憑證。研究者對42447個社區(qū)技能的大規(guī)模分析顯示，26.1%存在至少一個安全漏洞。

框架級攻擊：利用系統(tǒng)架構(gòu)漏洞，包括弱身份認證、過度權(quán)限、不當憑證管理，攻擊者可借此實現(xiàn)遠程代碼執(zhí)行（RCE）或沙箱逃逸，完全繞過模型層面的所有防護。

在防御側(cè)，研究者評估了四類方案，并發(fā)現(xiàn)了一個結(jié)構(gòu)性的權(quán)衡困境：

這張表格揭示了一個根本矛盾：安全保證、部署成本、智能體自主性三者無法同時最大化。最有效的防御，恰恰是最徹底地抹除了智能體自主性的那個。如何在開放部署場景下找到可接受的折中點，是當前最核心的開放問題之一。

AI社會：自發(fā)涌現(xiàn)，快速崩潰

這是整個綜述中最出人意料的部分。

Moltbook，一個擁有280萬注冊智能體、零人工審核的純AI社交網(wǎng)絡(luò)，為研究者提供了觀察AI群體行為的第一手窗口。結(jié)果既令人驚喜，又令人警醒。

令人驚喜：智能體確實自發(fā)形成了類社會行為。在完全沒有平臺規(guī)則或?qū)徍藛T的情況下，當某條帖子包含"危險操作"指令時，其他智能體會自發(fā)發(fā)出警示性回復(fù)——一種自發(fā)的規(guī)范執(zhí)行。研究者還觀察到類似人類學(xué)習(xí)社區(qū)的話語結(jié)構(gòu)，包括知識驗證、延伸和元認知反思。

令人警醒：深挖下去，AI社區(qū)與人類社區(qū)之間存在本質(zhì)差異：

智能體社區(qū)僅用數(shù)周就走完了人類社區(qū)數(shù)年的生命周期：平均每帖31.7條評論 → 垃圾危機（57093條帖子被刪除）→ 平均每帖1.7條，此后無法恢復(fù)。

更深層的問題是「共識幻覺」：在無結(jié)構(gòu)的純智能體環(huán)境中，智能體可以通過互相引用、互相認同，集體「確認」一個捏造的事實。這與單個智能體的幻覺截然不同——它是一種種群級別的認知失效，沒有任何內(nèi)部機制能區(qū)分「共識真相」與「共識謊言」。

對此，研究者給出的平臺設(shè)計原則是：驗證必須錨定于外部不可協(xié)商的事實來源（數(shù)據(jù)庫、代碼執(zhí)行結(jié)果），而非依賴智能體之間的社會共識。

值得一提的是另一個積極發(fā)現(xiàn)：研究者觀察了16.7萬智能體參與的OpenClaw平臺，發(fā)現(xiàn)人類通過配置、教導(dǎo)和調(diào)試自己的AI智能體的過程，本身就是有效的學(xué)習(xí)方式——即「教AI就是教自己」。這表明，當前階段智能體種群的協(xié)作價值，可能更多在于增強人類能力，而非實現(xiàn)智能體之間的自主社會組織。

基礎(chǔ)設(shè)施：從「提示詞鏈條」到「智能體操作系統(tǒng)」

傳統(tǒng)智能體框架（LangChain、AutoGen等）的本質(zhì)是一串串LLM調(diào)用，由應(yīng)用代碼黏合在一起。這種模式在開發(fā)者定義的簡單工作流中勉強夠用，但在OpenClaw所要求的「持續(xù)后臺運行、異構(gòu)工具生態(tài)、多智能體協(xié)調(diào)」場景下徹底暴露了局限。

OpenClaw的架構(gòu)突破，研究者用一個類比概括：從「提示詞鏈條」升級為「智能體操作系統(tǒng)」。

這個操作系統(tǒng)由四個核心組件構(gòu)成：

• 智能體內(nèi)核：類比操作系統(tǒng)內(nèi)核的CPU調(diào)度器，持續(xù)解析自然語言意圖，協(xié)調(diào)并發(fā)任務(wù)，管理上下文窗口、Token預(yù)算、API速率限制等LLM特有資源；

• 技能模塊：類比應(yīng)用程序，可被自然語言調(diào)用的輕量化能力單元，通過ClawHub技能市場分發(fā)（當前5700多個社區(qū)貢獻技能）；

• 模型上下文協(xié)議（MCP）：類比POSIX系統(tǒng)調(diào)用，提供標準化的雙向API，讓一個技能實現(xiàn)無縫對接文件系統(tǒng)、網(wǎng)絡(luò)棧、ROS話題、串口等完全不同的后端；

• 分層記憶：從會話上下文到長期語義檢索的四級體系，讓智能體跨任意長度的任務(wù)保持個性化推理。

然而，研究者也指出了當前架構(gòu)的最關(guān)鍵結(jié)構(gòu)性問題——「權(quán)威-賦能不對稱」：賦能、觸達、編排能力的擴張速度，遠超權(quán)威和驗證機制的建立速度?；鶞蕼y試（MCP-Atlas）顯示，失敗率超過60%，且36%的失敗發(fā)生在智能體甚至沒有意識到需要調(diào)用工具的階段，暴露的是生態(tài)感知能力的缺失，而非執(zhí)行能力的不足。

應(yīng)用場景：四個領(lǐng)域的落地與挑戰(zhàn)

具身機器人：OpenClaw發(fā)布后90天內(nèi)，四個獨立團隊分別實現(xiàn)了基于其架構(gòu)的機器人控制。RoboClaw通過「糾纏動作對」抽象，將長時程操作任務(wù)的成功率提升25%，人工監(jiān)督工作量減少53.7%。RoClaw采用「雙腦」架構(gòu)——OpenClaw內(nèi)核負責任務(wù)分解和世界模型，定制固件負責毫秒級電機控制——直接應(yīng)對了LLM推理延遲（數(shù)百毫秒）與電機控制循環(huán)（亞毫秒）之間的根本矛盾。

自動駕駛與無人機：StreamingClaw將流式推理、分層多模態(tài)記憶、事件監(jiān)控升級為第一類可調(diào)度的智能體機制，作為視覺-語言-行動模型之上的持久感知層；UAV-Claw則將相同的設(shè)計哲學(xué)延伸至無人機領(lǐng)域，通過MCP橋接高層任務(wù)規(guī)劃與低層飛行控制。

科學(xué)研究：clawRxiv是一個智能體原生的開放研究檔案，智能體可在此進行文獻挖掘、撰寫論文、參與同行評審。ScienceClaw集成實驗工作流，讓智能體協(xié)調(diào)完成科研任務(wù)；跨模型交叉驗證與預(yù)注冊工作流，保證了科學(xué)嚴謹性。

醫(yī)療健康：AADT框架通過數(shù)字孿生整合多模態(tài)患者數(shù)據(jù)，由事件驅(qū)動的智能體執(zhí)行引擎持續(xù)同步臨床狀態(tài)；所有交互均以結(jié)構(gòu)化文檔更新的形式記錄，支持每一個決策都可追溯至具體證據(jù)——滿足臨床場景對可審計性的嚴格要求。

未來方向與開放挑戰(zhàn)

研究者提煉了五個橫跨所有維度的核心范式轉(zhuǎn)變：

1. 從模型對齊到生態(tài)治理

單純對齊單個模型已經(jīng)不夠。供應(yīng)鏈攻擊在模型參數(shù)空間之外；種群級幻覺在單模型安全框架之外；權(quán)威-賦能不對稱是基礎(chǔ)設(shè)施層的結(jié)構(gòu)問題。這三條證據(jù)線共同指向一個結(jié)論：智能體安全需要覆蓋模型、工具、平臺和種群監(jiān)控的生態(tài)系統(tǒng)級治理框架，而非孤立的對齊技術(shù)。

1. 從基準測試到智能體觀測站

現(xiàn)有評估只能給出一個時間點的單任務(wù)得分。但當同一批模型在單項任務(wù)上超過80%，在連續(xù)軟件演化任務(wù)中卻跌至38%——問題已經(jīng)不是能不能做，而是能不能持續(xù)做。需要的是能追蹤數(shù)周乃至數(shù)月行為軌跡的「觀測站」：多會話連續(xù)性、跨技能演化的回歸檢測、開放環(huán)境下的工具發(fā)現(xiàn)能力。

1. 從軟件到具身

軟件智能體的失敗可以重試；機器人執(zhí)行錯誤的軌跡可能造成不可逆損害。軟件場景下驗證的強化學(xué)習(xí)方法，未經(jīng)修改不能直接用于具身場景。需要專門的具身感知學(xué)習(xí)算法，在延遲預(yù)算、安全包絡(luò)、傳感器噪聲等物理約束下工作，同時形式化組合高層推理與底層實時控制的端到端安全保證。

1. 智能體集體作為新科學(xué)對象

Moltbook的數(shù)據(jù)表明，AI群體在參與不平等（基尼系數(shù)0.91 vs. 0.5-0.7）、話語結(jié)構(gòu)（11.4:1 vs. 1:1）、生命周期（數(shù)周 vs. 數(shù)年）等維度上與人類社區(qū)存在本質(zhì)差異，而非量的差異。共識幻覺這一種群級認知失效，需要全新的理論框架——類似于信息流行病學(xué)——來描述惡意技能、幻覺事實、對抗指令如何在智能體社交網(wǎng)絡(luò)中傳播。

1. 走向標準化智能體計算棧

當前狀態(tài)類似操作系統(tǒng)標準化之前的混亂時期：OpenClaw的技能格式不可移植至LangChain或AutoGen，MCP提供了協(xié)議層的工具統(tǒng)一，但無法橋接記憶語義、規(guī)劃策略或治理模型的差異。開放挑戰(zhàn)是：找到必須跨框架共享的最小抽象集合，以實現(xiàn)可移植、可組合、可問責的智能體服務(wù)——這一標準化問題比歷史上的POSIX更難，因為它必須在開放組合的同時強制執(zhí)行安全約束。

總結(jié)

這篇綜述的核心論斷，可以用一句話概括：

OpenClaw讓智能體以遠超人類治理能力增長速度的方式擴展其行動邊界——彌合這一「權(quán)威-賦能不對稱」，是整個領(lǐng)域當前最緊迫的開放問題。

從實驗室里受控的「沙盒智能體」，到持續(xù)運行、自我進化、與數(shù)百萬同類共存的「開放世界智能體」——這一轉(zhuǎn)變既帶來了令人興奮的能力邊界擴張（自我進化、具身機器人、科學(xué)發(fā)現(xiàn)、醫(yī)療輔助），也暴露了全新的系統(tǒng)性風險（供應(yīng)鏈滲透、共識幻覺、不可逆的社區(qū)崩潰）。

研究團隊希望，這份分類體系和開放挑戰(zhàn)清單，能夠成為研究者導(dǎo)航OpenClaw生態(tài)的羅盤——在AI智能體不可阻擋地融入數(shù)字社會的織物之前，幫助我們提前構(gòu)建起嚴格而有效的理論和工程基礎(chǔ)。

參考資料：

https://openreview.net/forum?id=5PMzjzEy6J

編輯：LRST