# 本地人工智能代理：私密，但安全吗？

> 在自己的电脑上运行人工智能可让数据不上云，但能读取文件、执行命令的代理会给攻击者打开新门。如何安全地使用本地人工智能。

URL: https://www.clarityailab.com/zh/insights/the-local-ai-paradox-ultimate-privacy-or-a-hackers-backdoor/

在自己的电脑上运行人工智能，可以让数据远离云服务商，但并不能保证安全。一旦本地人工智能代理能够读取你的文件、打开你的邮件并执行命令，任何能把文字放到它面前的人都可能操纵它；这是单靠隐私无法解决的安全问题。

本文解释人们和企业为何把人工智能搬到自己的机器上、一个流行的本地代理出了什么问题，以及如何在获得隐私好处的同时不留后门。

## 人们为什么在本地运行人工智能？

为了隐私和控制。在自己设备上运行的模型不会把你的提示、文档或代码发送给服务商。像[Jan](https://www.jan.ai/)这样的桌面应用是免费开源的ChatGPT替代品，让人们下载开放模型并在本地运行。

还有工作场所的原因。微软和领英的[2024年工作趋势指数](https://www.microsoft.com/en-us/worklab/work-trend-index/ai-at-work-is-here-now-comes-the-hard-part)发现，在工作中使用人工智能的人有78%自带工具。一些组织把本地人工智能视为一种方式，既让员工用上人工智能，又不把公司数据发送给外部服务。

## 本地人工智能安全吗？

只回答问题的本地聊天应用攻击面很小。本地*代理*则不同。它会行动：读取文件、浏览网页、发送消息、执行命令。这让两个众所周知的风险变得严重。

**间接提示注入。** 研究人员[在2023年描述了](https://arxiv.org/abs/2302.12173)隐藏在人工智能读取的内容（如网页或文档）中的指令如何接管其行为。[OWASP将提示注入列为](https://genai.owasp.org/llmrisk/llm01-prompt-injection/)基于大语言模型的应用的首要风险，并指出间接注入来自网站或文件等外部来源。

**过度代理。** OWASP的[LLM06](https://genai.owasp.org/llmrisk/llm062025-excessive-agency/)指出代理被误导时造成损害的根本原因：功能过多、权限过多和自主性过高。一个能完全访问笔记本电脑的代理三者兼具。

代价是真实的。IBM的[《2026年数据泄露成本报告》](https://www.ibm.com/think/x-force/2026-cost-of-a-data-breach-ai-adversaries-enterprise-risk)发现，针对组织人工智能的提示注入事件平均造成589万美元损失。

## Clawdbot和OpenClaw发生了什么？

2026年初，一个先后名为Clawdbot、Moltbot和OpenClaw的开源人工智能助手迅速走红，因为它能在用户自己的电脑上自主完成任务。安全研究人员很快发出警告。[Tenable](https://www.tenable.com/blog/agentic-ai-security-how-to-mitigate-clawdbot-moltbot-openclaw-vulnerabilities)描述说，由于该工具会读取邮件、聊天消息和网页，攻击者可以发送消息诱骗它执行未经授权的命令，而代理存储的密钥也可能被盗用来接管账户。

Tenable的建议很直接：限定代理的密钥和令牌范围，只给予刚好够用的访问权限并禁止危险操作；由于代理可以被加入群组频道并读取不可信消息，只允许可信的人和渠道访问它。

*分析：* 教训并不是某个工具做得不好。任何把不可信输入、私密数据和行动能力混在一起的代理，无论在哪里运行，都面临同样的风险。

## 隐私还是安全：必须二选一吗？

不必，但需要为两者都做设计。本地处理保护数据不被服务商获取；隔离和有限权限保护数据不被代理滥用。云端也并非天然更差：运营良好的服务可以提供个人笔记本永远得不到的监控和补丁。正确的选择取决于数据、任务以及由谁来维护。

## 如何安全地使用本地人工智能代理？

1. **把聊天和行动分开。** 私密问题用普通本地模型；只在需要时才打开代理工具。
2. **授予最少访问权限。** 给代理一个工作文件夹，而不是整个磁盘，不给它不需要的已保存密码或密钥。
3. **隔离它。** 在容器或虚拟机中运行代理，使被误导的代理无法触及系统其他部分。
4. **保留人工把关。** 在它执行命令、发送消息或连接互联网之前要求批准。
5. **限制不可信输入。** 不要让拥有强大工具的代理读取公共频道或陌生邮件。
6. **更新并监控。** 及时安装安全更新，并记录代理的操作。
7. **制定公司政策。** 如果员工自带人工智能，给他们经批准的工具和明确的规则，而不是一纸会被绕过的禁令。

关于如何构建人工智能系统、使一个被攻破的部分无法触及全部，见[一个大模型还是多个智能体？](/insights/the-monolith-is-dead-why-your-2026-ai-strategy-must-be-a-hive-mind/)。

### 本地人工智能比云端人工智能更私密吗？

就数据本身而言通常如此：在自己设备上运行的模型不会把你的提示或文件发送给服务商。但隐私不等于安全。能访问你的文件、邮件和命令行的代理，仍可能被诱骗泄露这些内容。

### 什么是间接提示注入？

这是一种攻击：把指令隐藏在人工智能读取的内容中，例如网页、邮件或文件。OWASP将提示注入列为基于大语言模型的应用的首要风险。

### Clawdbot和OpenClaw出了什么问题？

这个先后名为Clawdbot、Moltbot和OpenClaw的开源代理在2026年初引发安全警告。Tenable描述了通过邮件、聊天和网页进行的间接提示注入以及API密钥被盗，并建议只允许可信的人和渠道访问该代理。

### 如何安全地运行本地人工智能代理？

只给它所需的最少权限，在隔离的容器或虚拟机中运行，在它执行命令或发送数据前要求你批准，尽量让它远离不可信内容，并及时更新。