本地人工智能代理：私密，但安全吗？

在自己的电脑上运行人工智能，可以让数据远离云服务商，但并不能保证安全。一旦本地人工智能代理能够读取你的文件、打开你的邮件并执行命令，任何能把文字放到它面前的人都可能操纵它；这是单靠隐私无法解决的安全问题。

本文解释人们和企业为何把人工智能搬到自己的机器上、一个流行的本地代理出了什么问题，以及如何在获得隐私好处的同时不留后门。

人们为什么在本地运行人工智能？

为了隐私和控制。在自己设备上运行的模型不会把你的提示、文档或代码发送给服务商。像Jan这样的桌面应用是免费开源的ChatGPT替代品，让人们下载开放模型并在本地运行。

还有工作场所的原因。微软和领英的2024年工作趋势指数发现，在工作中使用人工智能的人有78%自带工具。一些组织把本地人工智能视为一种方式，既让员工用上人工智能，又不把公司数据发送给外部服务。

本地人工智能安全吗？

只回答问题的本地聊天应用攻击面很小。本地*代理*则不同。它会行动：读取文件、浏览网页、发送消息、执行命令。这让两个众所周知的风险变得严重。

间接提示注入。 研究人员在2023年描述了隐藏在人工智能读取的内容（如网页或文档）中的指令如何接管其行为。OWASP将提示注入列为基于大语言模型的应用的首要风险，并指出间接注入来自网站或文件等外部来源。

过度代理。 OWASP的LLM06指出代理被误导时造成损害的根本原因：功能过多、权限过多和自主性过高。一个能完全访问笔记本电脑的代理三者兼具。

代价是真实的。IBM的《2026年数据泄露成本报告》发现，针对组织人工智能的提示注入事件平均造成589万美元损失。

Clawdbot和OpenClaw发生了什么？

2026年初，一个先后名为Clawdbot、Moltbot和OpenClaw的开源人工智能助手迅速走红，因为它能在用户自己的电脑上自主完成任务。安全研究人员很快发出警告。Tenable描述说，由于该工具会读取邮件、聊天消息和网页，攻击者可以发送消息诱骗它执行未经授权的命令，而代理存储的密钥也可能被盗用来接管账户。

Tenable的建议很直接：限定代理的密钥和令牌范围，只给予刚好够用的访问权限并禁止危险操作；由于代理可以被加入群组频道并读取不可信消息，只允许可信的人和渠道访问它。

分析： 教训并不是某个工具做得不好。任何把不可信输入、私密数据和行动能力混在一起的代理，无论在哪里运行，都面临同样的风险。

隐私还是安全：必须二选一吗？

不必，但需要为两者都做设计。本地处理保护数据不被服务商获取；隔离和有限权限保护数据不被代理滥用。云端也并非天然更差：运营良好的服务可以提供个人笔记本永远得不到的监控和补丁。正确的选择取决于数据、任务以及由谁来维护。

如何安全地使用本地人工智能代理？

1. 把聊天和行动分开。 私密问题用普通本地模型；只在需要时才打开代理工具。
2. 授予最少访问权限。 给代理一个工作文件夹，而不是整个磁盘，不给它不需要的已保存密码或密钥。
3. 隔离它。 在容器或虚拟机中运行代理，使被误导的代理无法触及系统其他部分。
4. 保留人工把关。 在它执行命令、发送消息或连接互联网之前要求批准。
5. 限制不可信输入。 不要让拥有强大工具的代理读取公共频道或陌生邮件。
6. 更新并监控。 及时安装安全更新，并记录代理的操作。
7. 制定公司政策。 如果员工自带人工智能，给他们经批准的工具和明确的规则，而不是一纸会被绕过的禁令。

关于如何构建人工智能系统、使一个被攻破的部分无法触及全部，见一个大模型还是多个智能体？。

常见问题

本地人工智能比云端人工智能更私密吗？

就数据本身而言通常如此：在自己设备上运行的模型不会把你的提示或文件发送给服务商。但隐私不等于安全。能访问你的文件、邮件和命令行的代理，仍可能被诱骗泄露这些内容。

什么是间接提示注入？

这是一种攻击：把指令隐藏在人工智能读取的内容中，例如网页、邮件或文件。OWASP将提示注入列为基于大语言模型的应用的首要风险。

Clawdbot和OpenClaw出了什么问题？

这个先后名为Clawdbot、Moltbot和OpenClaw的开源代理在2026年初引发安全警告。Tenable描述了通过邮件、聊天和网页进行的间接提示注入以及API密钥被盗，并建议只允许可信的人和渠道访问该代理。

如何安全地运行本地人工智能代理？

只给它所需的最少权限，在隔离的容器或虚拟机中运行，在它执行命令或发送数据前要求你批准，尽量让它远离不可信内容，并及时更新。

参考资料

1. Jan, Open-source ChatGPT replacement — 一个在本地运行人工智能模型的免费开源桌面应用示例。
2. Tenable (2026), Agentic AI Security: How to Mitigate Clawdbot, Moltbot, OpenClaw Vulnerabilities — 通过邮件、聊天消息和网页进行的间接提示注入；密钥暴露；建议只允许可信的人和渠道访问。
3. Greshake et al. (2023), Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection — 首次描述间接提示注入的研究论文。
4. OWASP (2025), LLM01:2025 Prompt Injection — 定义直接和间接提示注入，包括隐藏在网站或文件中的指令。
5. OWASP (2025), LLM06:2025 Excessive Agency — 根本原因：功能过多、权限过多和自主性过高。
6. IBM (2026), AI-powered adversaries and the enterprise risk challenge (Cost of a Data Breach Report 2026) — 提示注入事件平均造成589万美元损失。
7. Microsoft and LinkedIn (2024), AI at Work Is Here. Now Comes the Hard Part (Work Trend Index) — 78%的人工智能用户自带人工智能工具上班。