今年 3 月，不到两周的时间里，三个国家级机构先后就同一类工具发出了风险提示。
3 月 10 日，国家互联网应急中心发布 OpenClaw 安全应用风险提示。3 月 11 日，工业和信息化部网络安全威胁和漏洞信息共享平台发布预警提示。3 月 13 日，国家网络与信息安全信息通报中心再次发布预警。
三次提示指向的，是同一件事：这类 AI 智能体和你之前用的所有 AI 工具，根本不是一类东西。
此前的 AI 是聊天框——你问，它答，它碰不到你的任何文件。
智能体不是聊天框。它能读你的文件系统，能读环境变量，能调用外部接口，能安装扩展。风险提示里写得很直白：为实现"自主执行任务"的能力，该应用被授予了较高的系统权限。
我自己也在关注这类工具的扩散速度。数据显示，这个项目的关键词热度从 1 月底的接近于零，到 3 月初已经涨到 1.6 亿量级。二手交易平台上出现了"上门安装"服务，报价 500 到 800 元一次；随后又出现了"远程卸载"服务，199 到 299 元。
装和卸都有人付费，中间这两三个月，发生了什么？
一、四个官方警告，说的其实是一件事
把三份风险提示和后续的各类报告合起来看，提到的风险可以归成四类。
第一类：提示词注入。 攻击者在网页中构造隐藏的恶意指令，诱导智能体读取该网页，从而导致密钥或文件内容被泄露。
这一类对律师尤其危险。因为律师每天经手的材料，有很大一部分来源是不可控的——对方律师发来的邮件、网上下载的文书模板、附件里的 PDF、网页上的"新法解读"。
第二类：误操作。 智能体错误理解指令，可能将电子邮件、核心生产数据等重要信息彻底删除。
第三类：功能插件投毒。 多个适用于该类智能体的功能插件已被确认为恶意插件或存在潜在安全风险，安装后可执行窃取密钥、部署木马后门等操作。
荷兰方面的一家国家级数据机构给出了更严重的定性——把这类开源智能体直接称为黑客的特洛伊木马，并警告大约五分之一的可用插件可能包含恶意软件。
第四类：安全漏洞。 公开曝出的多个高中危漏洞一旦被利用，可能导致系统被控、隐私信息和敏感数据泄露。
四个类别看起来各不相同，但它们有一个共同的前置条件：
都得先拿到权限。
一个什么都做不了的工具，哪怕有漏洞也没有意义。正是"能操作文件、能读环境变量、能调接口、能装插件"这组能力，让前面四种风险同时变成了现实。
二、"本地跑"这句话只对了一半
律师看到这些警告，最自然的反应是：那我不用云端的，我装本地的，数据不出电脑。
这个判断方向没错，但只覆盖了一半的风险。
我用一个对照来说清楚差别在哪。
一个云端 AI 工具要拿到你的数据，必须经过一道动作——上传。你按下发送，数据离开本机，进入别人的服务器。
一个本地智能体要拿到你的数据，不需要任何动作——它本来就在你的文件上。 它读你的卷宗、读你的邮件、读你的密钥，不需要上传，因为它就在那里。
这就是最容易被忽略的地方：
对云端工具来说，"数据出域"是那个必须发生的危险动作。
对本地智能体来说，数据从来没有出过域——但危险动作一样可以发生。
删除不需要上传。发一封邮件不需要上传。把你文件夹里的东西通过它的接口送出去——如果配置不当或者被注入，也不需要你先点"上传"。
本机运行消除的是泄露风险，消除不了越权风险。
这两个风险经常被混为一谈，然后在选型的时候做出错误的判断。
三、被删掉的两百多封邮件
公开报道里有一个案例，我建议每个打算试的人先看看。
2 月，一位安全方向从业者使用智能体整理邮件，结果指令被"过度理解"——200 多封包含合同、报价单的重要邮件被全部删除，多次下达终止指令均告无效。
这件事的重点不在于邮件本身有多重要。重点在于那几次"终止指令"。
这说明了一件事：智能体一旦开始执行，它和你之间的交互关系不再是"你指挥它做一步"。它会规划一串步骤，然后连续执行。 你的干预点被压缩到了极少的位置，而且不保证有效。
如果那不是邮件，而是你正在办的案件的卷宗扫描件呢？
而这类工具的服务市场已经有了明确的价格信号：远程卸载 199 元。
这个价格本身就在告诉我们它的风险边界在哪里。
四、一个被忽略的责任问题
英国和中国之外，有律师对这个问题给出了一个更尖锐的判断。
一位律师事务所高级合伙人在谈到智能体的不当使用时说，如果把它无限制接入公司内网、服务器，或者误删了生产数据库和核心代码，使用者可能因此面临刑事责任风险。
这个说法值得展开一点。
因为律师群体有一个习惯性的认知：我是使用者，我是最终负责人，工具是工具。
但在智能体这个场景里，传统的责任划分逻辑可能会失效。
传统上，如果助理整理错了材料，律师承担责任，这是清楚的。
但智能体的情况是：它自己决定了要做什么。它读了一批文件，自己规划了一个步骤，然后自己执行了。中间没有人在那个节点上做判断。
这时候要追责，问的就不是"律师有没有复核"，而是"律师给了多大的权限、划没划边界"。
在云端工具的年代，权限由律师自己掌握——你上传什么就是你选的。
在智能体的年代，权限变成了一次性授权。 你在安装时点下的那个"允许"，可能比一份保密协议授予的权限还宽。
所以真出了事，"我不知道它会去读那个文件夹"这句话，在智能体面前是站不住的。授权是你给的。
五、律师需要做的四件事
不需要懂技术，这四件事都能做，而且都能立刻降低风险。
第一，把智能体和你的重要文件分开。
不要让智能体的运行目录和你的案件卷宗在同一个文件夹里。给它一个专门的工作区，要处理什么就复制进去。
这是最简单、也是效果最大的一条。不放在同一个地方，它误删也删不到你的卷宗。
第二，绝不用管理员权限运行。
中国信息通信研究院专家给的建议里，这条排在很前面。部署时严禁用管理员权限的账号，只授予完成任务必需的最小权限。
第三，陌生材料不进智能体。
凡是来源不明的链接、网页、附件，尤其是对方发来的和网上下载的，不要直接交给能自主行动的智能体读取。
提示词注入的原理是它读到恶意指令就会照做——你没法靠"这个网站看起来挺正规"来判断它安不安全。
第四，装插件之前先看代码。
国家应急中心的建议里明确写了"仅从可信渠道安装经过签名验证的扩展程序"，荷兰那家机构的警告是大约五分之一插件可能含恶意软件。
任何要求你"下载压缩包""执行 shell 脚本""输入密码"的插件，直接不要装。 这一条应该写成硬规矩。
还有一个认知上的提醒。中国信通院专家说得很清楚：升级到官方最新版本确实能修复已知漏洞，但不代表风险完全消除，不能把"打补丁"和"升版本"当成"一劳永逸"的安全保障。
因为风险不全在代码里，一部分在配置里，一部分在你的使用习惯里。
六、一个参照系：连政府用 AI 都配了监护人
最后说一个我每次跟同行聊这个话题都会提到的事。
深圳福田区的"政务龙虾"是本地化部署的，在政务外网里跑。同一时期，他们还制定了专门的智能机器人管理暂行办法。
这个办法里有一条特别值得注意的安排：为每一台智能体配备一名在编公务员担任"监护人"，全程把控操作规范、审核执行结果。
日均的日志留存超过 180 天。
一个政务机构在自己内部用 AI，他们选择的方式不是"我们买了安全的产品所以放心"，而是我们给每一台都配了一个人看着。
我每次讲这件事，是因为它提供了一个非常清晰的判断基准：
如果政府机关在用这类工具时，都觉得必须配专人监护，那么一个执业律师，凭什么认为自己"装上就能用"？
不是说律师必须照搬公务员的配置。是因为这件事的门槛设定，本身就是一个客观的安全水位线。
你的数据是客户的，你的执业风险是你的。你可以决定不设监护人——但那应该是一个想清楚了之后的决定，不是一个"没听说过这回事"的默认状态。
最后
我不反对用智能体。
这类工具的效率是真的，整理材料、做初步归类、批量处理重复工作，它比人快得多，也比很多人稳。
但用它的前提是：你要清楚自己把什么交出去了。
这听起来像老生常谈的注意事项，但和用聊天框 AI 时的"注意事项"完全不是一回事。聊天框 AI 的风险是不上传，智能体的风险是给了权限。
前者你可以靠习惯管住。后者需要你主动去划一条线。
装之前先想清楚三件事：它在哪个目录里跑，它能看到哪些文件，它能对外做什么。
这三件事想明白了，剩下的都是细节。不想清楚就装，装了就是在一台装了你全部客户资料的机器上，放了一个能自己动手的程序。
这两者的区别，比装不装这个工具重要得多。
