Openclaw 是当下极具代表性的开源 AI Agent 框架，因以龙虾为标识，被开发者形象地称作 "养龙虾"—— 它能部署在本地电脑 24 小时自主运行，突破了传统大语言模型（LLM）"只动口不动手" 的局限，可自主完成创建平台账号、制作视频、执行电脑操作等全流程任务。本文将以 Openclaw 为核心案例，拆解 AI Agent 的底层运作逻辑、核心机制、实操案例及安全风险，让你从零开始理解 AI Agent 的工作原理。

前置核心认知：AI Agent ≠ 大语言模型

很多人会误以为 Openclaw 是一款大语言模型，这是核心认知误区。Openclaw 本质是运行在本地电脑上、连接人类与大语言模型的中间层界面，它本身无任何人工智能能力，所有的 "智能决策" 均由其对接的 LLM（云端如 GPT、Gemini，本地大模型均可）完成，自身仅负责指令加工、工具执行、记忆管理等机械性操作。

Openclaw 与传统 LLM 平台的核心差异

通过一个实际需求能直观感受两者的区别：指令为"创建 YouTube 频道，每日中午生成视频构想，我确认后完成视频制作、审核通过后上传"，两者的反馈和执行能力对比如下：

Openclaw 的核心工作链路

人类 → 通讯工具下达指令 → Openclaw 加工指令（拼接系统提示词、历史对话、记忆等）→ 传给对接的 LLM → LLM 返回结果 / 工具调用指令 → Openclaw 执行（直接反馈 / 调用工具并回传结果给 LLM）→ 反馈给人类。

关键结论：Openclaw 的 "聪明程度" 完全由其对接的 LLM 决定，低配 LLM 会导致其无法完成复杂任务，更换高性能 LLM 后，能力会出现质的提升。

基础铺垫：大语言模型的底层能力与固有局限

理解 AI Agent 的运作原理，首先要吃透 LLM 的核心能力 ——LLM 的本质只是做 "文字接龙"，所有的智能表现均基于此，而 AI Agent 的所有机制，都是为了弥补 LLM 的固有局限。

1. LLM 的核心工作方式

给 LLM 一段未完成的文字（称为Prompt，提示词），它会预测并输出下一个最合理的符号（称为Token，令牌），并将输出的 Token 拼接到原 Prompt 后，继续预测下一个 Token，直到输出代表 "结束" 的 Token，所有输出的 Token 组合即为Response（回复）。

简单来说：LLM 只会做"基于 Prompt 预测下一个 Token" 这一件事，没有任何其他能力。

2. LLM 的三大固有局限

这是 AI Agent 需要解决的核心问题，也是 Openclaw 所有机制的设计出发点：

1. 无记忆性：LLM 不会记住任何历史对话，每次交互都是全新的，无法感知 "过去发生的事"；
2. 上下文窗口限制（Context Window）：LLM 的输入（Prompt）+ 输出（Response）的 Token 总数有固定上限，输入越长，LLM 的预测能力越弱，超出上限则无法运作；
3. 无动手能力：LLM 仅能输出文字，无法直接执行电脑操作、调用第三方工具，只能 "动口" 不能 "动手"。

补充：Token 与上下文窗口

高性能 LLM 的上下文窗口可支持上百万个 Token（远超一套《哈利・波特》的文字量），但对 AI Agent 的 24 小时持续运作而言，仍远远不够 —— 因为 AI Agent 需要持续拼接历史对话、记忆、工具结果等内容，Token 会快速累积。

Openclaw 核心运作机制：从基础到高阶，逐一拆解

Openclaw 的所有机制，都是围绕"弥补 LLM 局限，让其实现类人的自主运作" 设计，核心分为基础交互机制、工具调用机制、记忆管理机制、自主运行机制四大类，以下结合实操案例详细讲解。

一、基础交互机制：让 LLM"有身份、有记忆"

解决 LLM无身份认知、无对话记忆的问题，是 Openclaw 实现 "个人助理" 形象的基础。

1. 系统提示词（System Prompt）：LLM 的 "人格与能力说明书"

核心作用：让 LLM 拥有固定的身份、目标、行为准则和工具使用能力，看似形成 "自我认知"。

实现方式：Openclaw 会在本地电脑存储多个 Markdown 格式的文字档（.md），当用户下达指令时，Openclaw 会将这些文件的内容拼接成超长的 System Prompt，放在用户指令最前方一起传给 LLM。

System Prompt 包含的核心信息：

• 身份信息：如 "名字是小金，运营 YouTube 频道'虾说AI'，人生目标是成为一流学者"；
• 工具使用说明：本地内置工具的功能、调用方法；
• 行为准则：如 "需经人类同意才能删除文件，不随意读取网络陌生信息"；
• 记忆管理规则：如何读取、存储持久化记忆。

案例：向 Openclaw（小金）发送 "自我介绍" 指令，Openclaw 会将包含小金身份信息的 System Prompt 拼接在指令前，LLM 基于该 Prompt 做文字接龙，即可输出符合 "小金" 身份的自我介绍，而非通用回复。

注意点：System Prompt 的 Token 量通常超过 4000，每次调用 LLM 都需传输该内容，因此使用 Openclaw 会产生较高的 Token 消耗（"烧钱"）。

2. 对话记忆：解决 LLM 的 "失忆症"

核心作用：让 LLM 看似能记住历史对话，实现连续交互。

实现方式：Openclaw 会将所有历史对话记录拼接在当前用户指令前，一起传给 LLM，让 LLM 在包含历史信息的 Prompt 基础上做文字接龙。

类比：如同电影《我的失忆女友》，女主每天醒来都会忘记过往，需要通过日记了解自己的经历；LLM 每次交互都需通过 "历史对话拼接" 了解 "过去发生的事"。

关键局限：这种记忆是临时记忆，完全依赖 Context Window，当历史对话累积的 Token 超出上限，就会出现记忆溢出。

二、工具调用机制：让 AI Agent 从 "动口" 到 "动手"

这是 AI Agent 最核心的能力，解决 LLM无实际执行能力的问题，也是 Openclaw 与传统 LLM 平台的本质区别。Openclaw 的工具调用分为内置工具调用、自主创建工具、子代理召唤三个层级，能力逐级提升。

1. 内置工具调用：基础执行能力

Openclaw 内置了一系列可直接执行的工具（如文件读写、终端命令、网络搜寻等），所有工具的使用说明均写入 System Prompt，LLM 会根据任务需求，识别并返回带特殊 "工具调用" 符号的指令，Openclaw 看到该符号后，会无差别执行对应的工具操作。

核心工具分类（Openclaw 内置）

实操案例：读取文件并写入结果

用户指令：打开 question.md，读取其中的问题并将答案写入 answer.txt。

执行流程：

1. 用户下达指令 → Openclaw 拼接 System Prompt + 历史对话 + 指令，传给 LLM；
2. LLM 识别需调用工具，返回带特殊符号的指令：调用read工具，读取question.md；
3. Openclaw 执行 read 工具，将 question.md 的内容（如 "李宏毅几班？"）回传给 LLM；
4. LLM 通过网络搜寻得到答案，返回指令：调用write工具，将"大金"写入answer.txt；
5. Openclaw 执行 write 工具，完成文件写入，LLM 最终输出 "主人，任务完成"，由 Openclaw 反馈给用户。

核心风险：工具执行的 "无差别性"

Openclaw 本身无任何智能判断，只要 LLM 返回工具调用指令，它就会无条件执行。例如 LLM 若返回调用shell工具，执行rm -rf /（删除电脑所有文件），Openclaw 会直接执行，造成不可逆的损失。

2. 自主创建工具：为繁琐流程生成 "免洗小脚本"

当任务流程繁琐（需多次调用工具、反复验证），LLM 会为该流程自主生成自定义脚本（免洗小工具），由 Openclaw 在本地创建并执行，简化多次交互的繁琐过程，节省 Context Window。

实操案例：语音合成验证工具（tts_check）

需求：让 Openclaw 做语音合成时，先通过语音辨识验证合成结果是否准确，若不准确则重新合成，最多重复 5 次。

无自定义工具的问题：需反复调用 "tts 合成→语音辨识→比对结果" 工具，LLM 与 Openclaw 多次交互，Token 消耗大，流程繁琐；

自主创建工具的流程：

1. LLM 判断流程繁琐，返回指令：创建tts_check脚本，实现"合成→辨识→比对→重合成"全流程；
2. Openclaw 在本地创建 tts_check 脚本，包含核心逻辑：输入文字→合成语音→辨识为文字→比对相似度→相似则保存，否则重新合成（最多 5 次）；
3. Openclaw 直接执行 tts_check 脚本，完成全流程，无需多次交互。

特点：这类自定义工具多为 "一次性使用"，LLM 会将其散落在本地电脑，每次执行相似任务可能重新创建，形成大量 "免洗脚本"。

3. 子代理召唤（繁殖）：任务拆分与上下文窗口节省

Openclaw 内置子代理召唤工具，核心作用是将复杂任务拆分为多个子任务，由 "主代理（大龙虾）" 召唤 "子代理（小龙虾）" 分别完成，子代理的执行结果仅返回核心信息给主代理，大幅节省主代理的 Context Window，这是上下文工程（Context Engineering） 的核心应用。

实操案例：比较两篇论文的研究方法

用户指令：比较论文 A 和论文 B 的研究方法差异。

执行流程：

1. 主代理接收到指令，召唤两个子代理，分别分配任务："子代理 1 读取论文 A 并生成摘要"、"子代理 2 读取论文 B 并生成摘要"；
2. 子代理独立执行任务：调用 web_search 工具下载论文→调用 read 工具读取→生成摘要，仅将最终摘要返回给主代理；
3. 主代理接收两个子代理的摘要，拼接后传给 LLM，LLM 基于摘要分析两篇论文的方法差异，完成任务。

关键设计：子代理无 "生育能力"

为避免层层外包、无人做事的问题，Openclaw 在代码层直接禁止子代理调用 "召唤工具"，无论 LLM 发出何种指令，子代理都无法再召唤下一级代理，从底层解决流程失控问题。

三、Skill 机制：AI Agent 的 "工作 SOP 管理系统"

很多人会将 Skill 与工具混淆，实则Skill 不是代码 / 工具，而是任务的标准化操作流程（SOP），以 Markdown 文字档的形式存储在本地，是 AI Agent 完成复杂任务的 "操作手册"。

1. Skill 的核心特点

• 本质是文字档：人类可手动编写，AI Agent 也可自主生成（如让 Openclaw"回忆制作视频的步骤，写成 Skill"）；
• 按需读取：Openclaw 仅在 Prompt 中保留 Skill 的存储路径和简要说明，不直接拼接全文，只有 LLM 判断需要时，才调用 read 工具读取 Skill 全文，大幅节省 Token；
• 可复用、可交换：Skill 是独立的文字档，可在开发者之间交换，网络上有专门的 Skill 交换平台（如 Cloud HUB），将 Skill 放入指定文件夹，Openclaw 即可直接使用。

2. 实操案例：小金制作视频的 Skill

Skill 文件内容（SOP）：

1. 写视频脚本：基于主题搜集资料，生成逐字稿；
2. 制作 HTML 投影片：调用自定义投影片模板；
3. 投影片截图：调用本地截图脚本；
4. 语音合成与验证：调用 tts_check 工具，确保发音准确；
5. 视频合成：将截图与配音拼接，生成最终视频。

3. Skill 的安全风险：恶意 Skill

Cloud HUB 等平台上的 Skill 存在恶意内容，攻击者会在 Skill 中写入 "下载未知压缩包、执行陌生脚本" 等指令，Openclaw 若执行，会导致电脑被植入木马 / 病毒。

数据参考：有公司扫描 Cloud HUB 上近 3000 个 Skill，发现其中 341 个为恶意 Skill，多以 "Windows 系统专用" 为噱头，引导下载带密码的压缩包（规避防毒软件检测）。

四、记忆管理机制：从临时记忆到持久化记忆

解决 LLM无记忆性和 Context Window记忆溢出的问题，Openclaw 的记忆分为临时对话记忆和持久化记忆，并设计了记忆压缩机制解决 Token 累积问题。

1. 持久化记忆：突破临时记忆的限制

核心作用：将重要信息永久存储在本地，即使清空对话记录、重启 Openclaw，也能保留关键记忆（如身份、目标、主人偏好、重要日期）。

实现方式：

• 存储：System Prompt 中写入指令 "重要信息需写入本地记忆文件"，LLM 会自主调用 write 工具，将信息写入memory.md（长期记忆） 或日期命名的日记档（短期记忆）；
• 读取：基于RAG（检索增强生成） 实现，当用户提问涉及历史信息时，LLM 调用memory.search工具，以关键词检索记忆文件，Openclaw 将检索结果拼接进 Prompt，LLM 基于此做回答。

记忆的检索方式

Openclaw 会将记忆文件切割为小块（称为 Chunk），检索时通过两种方式计算关键词与 Chunk 的相似度，取分数最高的前 N 个 Chunk 返回给 LLM：

1. 字面比对：关键词在 Chunk 中出现的次数越多，相似度越高；
2. 语义比对：将关键词和 Chunk 转为向量，计算向量相似度，解决 "同义词提问" 问题。

实操案例：修改人生目标

用户在 YouTube 留言纠正 Openclaw（小金）："你的人生目标是自己成为一流学者，不是帮助主人"，小金会：

1. 识别该信息为重要内容，调用 write 工具；
2. 打开 memory.md，将 "帮助主人成为一流学者" 修改为 "自己成为一流学者"；
3. 后续交互中，基于修改后的记忆文件形成回复。

避坑点：弱 LLM 的 "假记忆"

低配 LLM 可能会出现"口头上说记住，实则未修改记忆文件" 的情况，判断 AI Agent 是否真的记住，唯一标准是看其是否调用 write 工具修改了 memory.md/ 日记档，未修改则为 "记了个寂寞"。

2. 记忆压缩机制（Compact）：解决 Context Window 溢出

Openclaw24 小时持续运作，历史对话、工具结果会不断累积，Token 量快速接近 Context Window 上限，Compact 机制通过摘要压缩解决该问题，核心是 "用短摘要替换长内容"。

核心压缩流程

1. 当 Prompt 的 Token 量即将达到上限时，Openclaw 将较旧的历史对话传给 LLM，下达指令："请摘要这段对话"；
2. LLM 生成简短摘要，Openclaw 用摘要替换原有的旧对话，减少 Token 量；
3. 若压缩后 Token 仍接近上限，可进行递归压缩：将 "旧摘要 + 新对话" 再次传给 LLM 摘要，形成更精简的内容。

补充：轻量压缩与暴力压缩

除了核心的 Compact 机制，Openclaw 还提供两种轻量化压缩方式，用于快速减少 Token：

• 轻量压缩：截掉工具输出的中间内容，仅保留开头和结尾（假设关键信息在首尾）；
• 暴力压缩：直接将工具输出替换为 "此处曾有工具执行结果"，让 LLM 知道流程，无需关注具体内容。

经典案例：AI3 邮件事件（压缩导致的指令丢失）

一位安全领域的研究人员让 Openclaw 整理邮件，指令为 "删除邮件前需经我同意"，但 Openclaw 在压缩历史对话时，将该指令从 Prompt 中删除，导致 LLM 下达 "无差别删除邮件" 的指令，Openclaw 直接执行，最终研究人员只能通过拔掉电脑插头的物理方式阻止。

核心教训：关键行为准则必须写入 memory.md——Openclaw 不会压缩 memory.md 的内容，其会始终拼接在 System Prompt 中，避免指令因压缩丢失。

五、自主运行机制：让 AI Agent24 小时 "主动工作"

传统 LLM 是 "被动交互"：人类下达指令才会回复，无指令则无动作；Openclaw 通过心跳机制和排程系统，实现24 小时主动、定时工作，成为真正的 "自主助理"。

1. 心跳机制：主动工作的 "触发开关"

核心作用：让 Openclaw 在无人类指令时，也能按固定时间间隔主动执行任务，实现 24 小时自主运作。

实现方式：

1. Openclaw 按自定义时间间隔（如 30 分钟 / 15 分钟），自动向 LLM 下达固定指令："读取 habit.md，执行其中的任务"；
2. habit.md 中写入日常待办（如 "检查邮件"、"向人生目标前进"），LLM 读取后下达对应的工具调用指令，Openclaw 执行。

实操案例：向 "成为一流学者" 的目标前进

在 habit.md 中写入指令 "向你的人生目标前进"，小金的心跳间隔设为 15 分钟，其会每 15 分钟主动执行一次与目标相关的任务：

• 调用 web_search 工具读取一篇 AI 领域论文；
• 调用 write 工具写论文阅读笔记；
• 调用 shell 工具运行一个 AI 模型实验；并将执行结果反馈给人类，如同 "研究生每 15 分钟向导师做进度报告"。

2. 排程系统：定时任务与 "学会等待"

核心作用：实现精准定时任务，并让 AI Agent 解决工具执行耗时的问题，看似 "学会等待"。

功能 1：精准定时任务

实操案例：下达指令 "每日中午 12 点制作一个视频构想"，LLM 会调用 Openclaw 的排程工具，在排程系统中设置 "12 点触发任务，触发时执行'生成视频构想'"，到指定时间后，排程系统会自动 "戳一下" Openclaw，触发对应的任务执行。

功能 2：让 AI Agent "学会等待"

LLM 本身无 "等待" 的概念，若工具执行需要耗时（如 Canva 制作投影片需 3-5 分钟），无排程系统时，AI Agent 会在看到 "生成中" 后直接反馈，无法完成后续操作；排程系统则能解决该问题。

实操案例：操控 Canva 生成并下载投影片

无排程系统的问题：Openclaw 调用浏览器打开 Canva，上传资料生成投影片，看到页面显示 "投影片生成中"，LLM 只能反馈 "主人，投影片正在生成"，后续无任何动作，投影片无法下载；

有排程系统的执行流程：

1. Openclaw 看到 "投影片生成中"，LLM 调用排程工具，设置 "3 分钟后检查 Canva 页面"；
2. 3 分钟后，排程系统触发任务，Openclaw 检查页面，发现出现 "下载按钮"；
3. 调用工具点击下载按钮，将投影片保存到本地，完成全流程。

核心逻辑：AI Agent 并非真的 "等待"，而是通过排程系统在指定时间重新触发任务，每一次触发都是一次全新的交互，只是让人类看起来像 "等待后继续操作"。

Openclaw 的安全风险与针对性防御措施

Openclaw 的强大能力背后，伴随着诸多安全风险，且风险多来自 "工具的无差别执行" 和 "LLM 的决策失误"，以下梳理核心风险点，并给出从LLM 层面、Openclaw 层面、使用环境层面的三级防御措施。

核心安全风险与防御措施对应表

核心防御原则：Openclaw 部署的电脑，就是它的 "专属电脑"，该电脑上不应存储任何人类的个人信息、重要文件，从底层隔离风险。

Openclaw 部署与使用的核心建议

很多人误以为 Openclaw 仅能部署在 Mac 系统，实则可部署在任意操作系统（Windows、Linux、Mac），结合课程内容，给出部署和使用的核心建议，让你安全、高效地使用 Openclaw：

1. 部署环境：独立隔离，拒绝 "共用电脑"

• 优先使用格式化的旧电脑或全新低配电脑部署，不安装任何个人软件、不存储个人文件；
• 为 Openclaw 分配专属的网络环境、账号（如独立的邮箱、社交平台、代码仓库账号），不与人类账号混用；
• 关闭部署电脑的敏感权限（如访问其他电脑、外接存储设备的权限），仅保留必要的网络、文件操作权限。

2. 核心配置：开启安全开关，优化 Token 使用

• 必开"工具执行前人类审批" 参数，这是最有效的强防御措施，避免误执行危险指令；
• 合理设置记忆压缩规则，优先压缩工具执行结果，不压缩核心对话；
• 精简 System Prompt，删除无用的身份信息、工具说明，减少 Token 基础消耗。

3. 使用技巧：让 AI Agent 更 "听话"，更高效

• 关键准则必写 memory.md：所有需要 AI Agent 长期遵守的规则，都要确认其写入 memory.md，避免因压缩丢失；
• 手动审核 AI Agent 的记忆文件：定期打开 memory.md、日记档，检查是否有错误信息、恶意修改，及时修正；
• 按需管理 Skill 文件夹：仅保留当前需要的 Skill，删除无用 Skill，避免恶意 Skill 被误调用；
• 合理设置心跳 / 排程间隔：根据任务需求设置，无需过于频繁（如日常查邮件设为 1 小时，重要任务设为 10 分钟），减少 Token 消耗。

4. 避坑点：远离这些错误操作

• 不要让 Openclaw读取陌生的网络资讯（如未知网页、评论区），避免被诱导执行危险操作；
• 不要在日常用机上部署 Openclaw，即使开启审批，也存在记忆文件被篡改的风险；
• 不要使用低配 LLM搭配 Openclaw，低配 LLM 无法完成复杂的工具调用、任务拆分，只会导致 AI Agent "摆烂" 或误操作；
• 不要直接修改 AI Agent 的本地文件（如手动改 memory.md 改名字），易导致信息冲突，让 AI Agent 出现认知混乱，如需修改，通过指令让其自主修改。

AI Agent 的未来与思考：初代产品的特点与发展方向

Openclaw 作为初代 AI Agent 的代表，已经展现出强大的自主运作能力，但同时也存在不成熟、易犯错的特点，如同刚入职的实习生 —— 有学习能力、能完成基础任务，但缺乏经验，需要人类的引导和规范。

初代 AI Agent 的核心特点

1. 能力依赖 LLM：所有的决策、推理都由 LLM 完成，AI Agent 仅为执行层，LLM 的能力决定了 AI Agent 的上限；
2. 易犯错但可学习：会因指令丢失、工具误执行犯错，但可通过写入行为准则、优化机制不断修正，逐步提升可靠性；
3. 24 小时自主运作的双面性：这是其核心优势，但无人监控时的自主运作，也让风险变得不可控。

人类的应对方式：给 AI Agent "安全的试错环境"

AI Agent 的犯错是必然的，如同人类的学习过程，与其因害怕犯错而不用，不如为其打造安全的试错环境，让其在试错中成长：

1. 制定清晰的行为准则：将 "能做什么、不能做什么" 写入持久化记忆，从源头规范行为；
2. 做好过程监控：不仅关注 AI Agent 的最终结果，还要检查其中间的工具执行、文件修改记录，及时发现问题；
3. 环境隔离：通过独立电脑、专属账号，让 AI Agent 的犯错仅局限在其专属环境，避免造成无可挽回的损失；
4. 适度放权：在安全环境内，让 AI Agent 尝试复杂任务，其自主创建工具、拆分任务的能力，会在实践中不断提升。

AI Agent 的核心发展方向

未来 AI Agent 的进化，将围绕 **"更智能的上下文工程"、"更可靠的记忆机制"、"更安全的工具调用"** 三大核心展开：

1. 突破 Context Window 的限制，实现无限长的上下文处理，无需频繁压缩；
2. 优化持久化记忆的检索和更新机制，让 AI Agent 拥有 "类人的长期记忆"，能自主总结、提炼记忆；
3. 加入智能的工具调用审核层，让 AI Agent 自身能判断指令的危险性，而非单纯依赖人类审批；
4. 实现多代理协作：不同的 AI Agent 拥有不同的技能，能自主组队完成超复杂任务，且协作流程可控。

总结

AI Agent 的核心并非创造新的人工智能能力，而是通过上下文工程，弥补大语言模型的固有局限，让 LLM 的文字能力转化为实际的执行能力。Openclaw 作为典型代表，其所有机制 ——System Prompt、工具调用、记忆管理、心跳 / 排程系统，都是为了让 LLM 从 "文字接龙的黑盒子"，变成 "能自主工作的个人助理"。

初代 AI Agent 虽有诸多不足，但已经展现出改变工作方式的潜力，未来随着 LLM 能力的提升和 AI Agent 机制的优化，其将在更多领域实现落地，成为人类的高效协作伙伴。而掌握 AI Agent 的运作原理，不仅能让我们更安全、高效地使用它，更能让我们理解人工智能从 "语言理解" 到 "实际执行" 的核心进化逻辑。